CRA : l'UE impose le signalement des failles en 24h

Ce qui s'est passé

Le 11 septembre 2026 marque une étape majeure dans la régulation de la cybersécurité en Europe : les obligations de signalement du Cyber Resilience Act (CRA) sont officiellement entrées en vigueur. Cette date était attendue depuis l'adoption du règlement par le Parlement européen, car elle précède de plus d'un an l'entrée en vigueur complète du CRA, prévue pour le 11 décembre 2027. Le législateur européen a délibérément choisi d'activer les obligations de reporting en premier, donnant aux fabricants le temps de se conformer aux exigences techniques plus larges tout en instaurant immédiatement une transparence accrue sur les incidents de sécurité.

Les nouvelles règles s'appliquent à tout fabricant, importateur ou distributeur de produits avec des éléments numériques commercialisés sur le marché de l'Union européenne. La définition est volontairement large : elle couvre les logiciels, les appareils connectés, les équipements industriels dotés de capacités de communication, les composants logiciels intégrés dans des produits physiques, et même les applications mobiles et les produits SaaS dans certaines configurations. Selon les estimations de la Commission européenne, plus de 100 000 entreprises pourraient être concernées à des degrés divers.

Les obligations concrètes sont les suivantes : dès qu'un fabricant a connaissance d'une vulnérabilité activement exploitée dans son produit, il doit soumettre une alerte précoce à l'ENISA dans les 24 heures. Cette alerte doit indiquer l'existence de l'incident et préciser si une activité malveillante est suspectée. Dans les 72 heures suivant cette prise de connaissance, une notification complète doit être soumise, incluant une évaluation initiale de la gravité, les informations techniques disponibles sur la vulnérabilité et les premières mesures correctives ou d'atténuation mises en place.

Un aspect particulièrement notable du règlement concerne les produits en fin de vie (EOL). Les obligations de signalement s'appliquent même après la fin de la période de support d'un produit, dès lors que ce produit est encore disponible sur le marché européen. Cette disposition contraste avec les pratiques habituelles de l'industrie, où les éditeurs et fabricants cessent généralement toute communication officielle sur les vulnérabilités de leurs produits EOL. Le CRA impose ici une responsabilité continue qui pourrait inciter les fabricants à retirer activement leurs anciens produits du marché européen plutôt que de les laisser en vente sans support.

En France, l'autorité compétente pour superviser l'application du CRA est l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information), qui coordonne avec l'ENISA pour la remontée des incidents. L'ANSSI a publié en août 2026 une note d'orientation technique précisant les modalités pratiques de déclaration pour les entreprises françaises, notamment le portail de notification centralisé d'ENISA prévu à cet effet.

Le volet sanctions du CRA est particulièrement dissuasif. Les violations des obligations de signalement sont passibles d'amendes pouvant atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Pour les grandes entreprises technologiques dont le chiffre d'affaires mondial dépasse plusieurs milliards d'euros, la sanction potentielle peut donc dépasser largement les 15 millions d'euros. Les autorités compétentes peuvent également imposer des mesures correctives, des retraits de produits du marché et des interdictions temporaires de commercialisation.

Le contexte dans lequel s'inscrit cette réglementation est celui d'une multiplication des incidents impliquant des vulnérabilités non divulguées ou tardivement communiquées. Selon le rapport annuel de l'ENISA pour 2026, la durée médiane entre la découverte d'une vulnérabilité critique par un fabricant et sa divulgation publique est encore de 47 jours pour les produits grand public. Dans le secteur industriel et IoT, ce délai peut dépasser six mois. Le CRA vise explicitement à réduire ces fenêtres d'exposition en imposant une transparence accélérée vers les autorités compétentes.

Plusieurs cabinets juridiques spécialisés, dont DLA Piper et Crowell et Moring, ont publié des analyses détaillées sur les implications pratiques de la règle des 24 heures. Ces analyses soulignent que la conformité nécessite non seulement des processus techniques de détection des vulnérabilités, mais aussi des procédures organisationnelles claires désignant les responsables internes de la déclaration et définissant les critères permettant de qualifier une exploitation comme active. Les entreprises qui n'ont pas encore mis en place ces processus se retrouvent en situation de non-conformité depuis le 11 septembre 2026.

Pourquoi c'est important

L'entrée en vigueur des obligations de signalement CRA représente un changement structurel dans la relation entre les fabricants de produits numériques et les autorités de cybersécurité européennes. Jusqu'ici, la divulgation des vulnérabilités obéissait principalement à des normes volontaires, comme le cadre Coordinated Vulnerability Disclosure (CVD) promu par l'ENISA et repris par la plupart des grands éditeurs. Le CRA transforme cette bonne pratique en obligation légale contraignante avec des sanctions financières substantielles, créant une pression normative radicalement différente pour les fabricants qui auraient pu jusqu'ici choisir de gérer discrètement leurs incidents.

Pour les entreprises françaises et européennes qui sont à la fois fabricantes et clientes de produits numériques, l'impact est double. En tant que fabricantes, elles doivent désormais mettre en place des processus robustes de détection et de qualification des exploitations actives, avec des délais de réponse organisationnelle très courts. En tant que clientes, elles bénéficieront d'une meilleure visibilité sur les incidents affectant leurs fournisseurs, ce qui améliorera leur capacité à prendre des décisions de patch management éclairées. Le CRA crée ainsi un mécanisme indirect de partage d'information à l'échelle européenne.

L'articulation entre le CRA et les autres réglementations en vigueur mérite une attention particulière. Les entreprises soumises à NIS2, DORA ou au RGPD disposent déjà de processus de notification d'incidents, mais ceux-ci ciblent des périmètres différents : DORA vise les entités financières, NIS2 les opérateurs de services essentiels, le RGPD les violations de données personnelles. Le CRA ajoute une obligation spécifique orientée sur les produits numériques, avec des critères de déclenchement (exploitation active d'une vulnérabilité) distincts de ceux des autres régimes. La Commission européenne travaille sur une interface unifiée gérée par l'ENISA permettant à terme de déposer une seule notification couvrant plusieurs régimes, mais ce portail commun n'est pas encore opérationnel.

Sur le long terme, le CRA vise à modifier les pratiques de développement logiciel à l'échelle de l'industrie. Les exigences substantielles qui entrent en vigueur en décembre 2027 imposent aux fabricants de garantir la sécurité by design de leurs produits, d'assurer un support de sécurité pendant toute la durée de vie commerciale et de proposer des mises à jour de sécurité gratuites. Combinées aux obligations de reporting actuelles, ces exigences créent une pression économique favorable au développement de pratiques DevSecOps robustes et à l'investissement dans des programmes de bug bounty et de divulgation coordonnée.

Ce qu'il faut retenir

• Depuis le 11 septembre 2026, tout fabricant de produit numérique vendu dans l'UE doit déclarer les vulnérabilités activement exploitées à l'ENISA : alerte dans les 24 heures, notification complète dans les 72 heures.
• Les sanctions atteignent 15 millions d'euros ou 2,5 % du CA mondial et s'appliquent même aux produits EOL encore commercialisés sur le marché européen.
• Les équipes de sécurité doivent auditer leurs processus de détection et de qualification des incidents dès maintenant : la non-conformité est caractérisée dès la première exploitation active non déclarée dans les délais.