Cyber Resilience Act : signaler une faille en 24 h, êtes-vous organisé ?
Depuis le 11 septembre 2026, les fabricants de produits numériques doivent signaler les failles exploitées en 24 h. Qui est concerné et comment s’organiser.
L’essentiel en 30 secondes
- Depuis le 11 septembre 2026, l’article 14 du Cyber Resilience Act s’applique.
- Les vulnérabilités activement exploitées et les incidents graves doivent être signalés : alerte en 24 h, notification en 72 h.
- L’obligation vaut aussi pour les produits déjà sur le marché.
- Les autres exigences du règlement (sécurité dès la conception, marquage CE) s’appliqueront le 11 décembre 2027.
Le Cyber Resilience Act (règlement européen 2024/2847) impose progressivement des règles de cybersécurité à tous les produits numériques vendus dans l’Union européenne. Sa première obligation concrète est entrée en application le 11 septembre 2026 : le signalement des vulnérabilités activement exploitées et des incidents graves, dans des délais très courts. Beaucoup d’éditeurs et de fabricants ne sont pas encore organisés pour y répondre.
Qui est concerné ?
Le CRA s’applique aux produits comportant des éléments numériques mis sur le marché européen, c’est-à-dire :
- les logiciels distribués : applications, logiciels installables, agents, bibliothèques commercialisées, extensions et connecteurs ;
- le matériel connecté : équipements industriels, objets connectés, routeurs, appareils embarqués ;
- les solutions de traitement à distance indispensables au fonctionnement de ces produits.
Sont visés les fabricants, mais aussi, dans une certaine mesure, les importateurs et distributeurs. Les services purement SaaS relèvent en principe d’autres réglementations, comme NIS 2.
Sont notamment concernés : les éditeurs de logiciels de sécurité, de réseau ou d’entreprise, les fabricants d’équipements télécoms, de broadcast ou industriels, et plus largement toute entreprise qui distribue un logiciel ou un appareil connecté.
Ce qui est obligatoire depuis le 11 septembre 2026
L’article 14 impose aux fabricants de signaler :
- les vulnérabilités activement exploitées dans leurs produits ;
- les incidents graves ayant un impact sur la sécurité de leurs produits.
Les délais sont serrés :
| Étape | Délai |
|---|---|
| Alerte précoce | 24 heures après en avoir pris connaissance |
| Notification détaillée | 72 heures |
| Rapport final (vulnérabilité) | Au plus tard 14 jours après la mise à disposition d’un correctif |
| Rapport final (incident grave) | Dans le mois suivant la notification |
Point important : l’obligation s’applique quelle que soit la date de mise sur le marché du produit, donc aussi aux produits déjà commercialisés.
Les signalements passent par une plateforme unique, qui les transmet au centre de réponse aux incidents coordinateur : en France, le CERT-FR (ANSSI). Le fabricant doit aussi informer les utilisateurs concernés et, le cas échéant, leur indiquer les mesures à prendre.
Le calendrier complet
| Date | Ce qui s’applique |
|---|---|
| 11 septembre 2026 | Obligations de signalement (article 14) |
| 11 décembre 2027 | Toutes les autres obligations : exigences essentielles de sécurité, gestion des vulnérabilités sur tout le cycle de vie, documentation, évaluation de conformité, marquage CE |
D’ici 2027, il faudra donc démontrer que vos produits sont sécurisés dès la conception, livrés sans vulnérabilité connue exploitable, mis à jour pendant leur durée de support et accompagnés d’une documentation (dont une nomenclature des composants logiciels, ou SBOM).
Comment s’organiser concrètement
Signaler en 24 heures suppose d’avoir préparé le processus. Voici les briques indispensables :
1. Savoir ce que contiennent vos produits
Établissez une SBOM (Software Bill of Materials) pour chaque produit : la liste des composants et bibliothèques utilisés, avec leurs versions. Sans elle, impossible de savoir rapidement si une faille publiée vous concerne.
2. Surveiller les vulnérabilités en continu
Intégrez dans vos pipelines des outils d’analyse de dépendances et de veille sur les vulnérabilités. C’est le cœur d’une approche DevSecOps.
3. Ouvrir un canal de signalement
Publiez une politique de divulgation des vulnérabilités et une adresse de contact sécurité, pour que chercheurs et clients puissent vous signaler une faille.
4. Définir les rôles et le circuit de décision
Qui qualifie une vulnérabilité ? Qui décide qu’elle est « activement exploitée » ? Qui fait la déclaration, y compris le week-end ? Ces questions doivent être tranchées avant le premier incident.
5. Préparer les correctifs et la communication
Capacité à produire et distribuer rapidement un correctif, modèles de messages aux utilisateurs, procédures de mise à jour : tout doit être prêt.
6. Tester le dispositif
Un exercice de simulation permet de vérifier que les délais de 24 et 72 heures sont tenables en conditions réelles.
Une opportunité autant qu’une contrainte
Les clients, en particulier les grands comptes et les acteurs publics, exigent de plus en plus de garanties de sécurité. Être en mesure de démontrer une gestion mature des vulnérabilités devient un argument commercial.
Conclusion
Le Cyber Resilience Act change la façon dont les produits numériques sont conçus et maintenus en Europe. La première étape, le signalement en 24 heures, est déjà en vigueur : elle demande une organisation et des outils. Nos ingénieurs cybersécurité et DevOps vous aident à mettre en place SBOM, surveillance des dépendances, processus de signalement et chaîne de correctifs.
Article rédigé à partir du règlement (UE) 2024/2847 et des analyses publiées au 15 octobre 2026. Pour toute décision de conformité, référez-vous au texte officiel et aux lignes directrices de la Commission européenne et de l’ENISA.
Nos experts vous répondent sous 24 h ouvrées.
