Les premières dispositions du Cyber Resilience Act sont entrées en vigueur. Depuis le 11 septembre 2026, les fournisseurs de logiciels ou de matériels en Europe ont l’obligation de signaler sur une plateforme unique les vulnérabilités activement exploitées.
C’est un premier jalon pour le CRA. Depuis le 11 septembre 2026, les fabricants d’objets connectés sont soumis aux premières exigences de déclaration du texte. Si le CRA est entré en vigueur le 10 décembre 2024, ses principales obligations ne s’appliqueront qu’à partir du 11 décembre 2027. Toutefois, les obligations de déclaration « énoncées à l’article 14 » du texte sont, elles, désormais en vigueur.
24h pour alerter
Très concrètement, les fabricants de produits embarquant des éléments numériques ont désormais l’obligation de signaler les vulnérabilités activement exploitées à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et au CSIRT national (Computer Security Incident Response Team), et ce, 24 heures maximum après en avoir pris connaissance.
A moins que les éléments aient déjà été fournis, une notification de vulnérabilité plus détaillée devra être communiquée dans les 72 heures. Elle devra comprendre des informations générales sur le produit, la nature de l’exploitation de la vulnérabilité, ainsi que les mesures correctives ou d’atténuation prises et celles que peuvent prendre les utilisateurs. Un rapport final devra en outre être livré au plus tard 14 jours après la mise à disposition des mesures correctives et d’atténuation.
Une plateforme unique gérée par l’ENISA
Les vulnérabilités devront être notifiées via une plateforme unique de signalement opérée par l’ENISA. Les fabricants doivent y effectuer le signalement en sélectionnant l’organisme national (CSIRT) concerné, en charge de traiter la notification. En France, il s’agit du CERT-FR. Ces obligations concernent également les produits mis sur le marché avant le 11 décembre 2027.
Pour mémoire, le CRA a pour objectif d’assurer aux consommateurs et entreprises du Vieux Continent que les produits numériques qu’ils utilisent sont protégés contre les cybermenaces. Il impose des exigences de cybersécurité aux fabricants dans la planification, la conception, le développement et la maintenance de leurs produits. Les fournisseurs devront notamment fournir des mises à jour pendant cinq ans et leurs solutions devront porter le marquage CE, gage de leur conformité.
En cas de non-respect, les contrevenants s’exposent à des sanctions pouvant aller jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial.