L’info
Depuis le 11 septembre 2026, les fabricants de produits comportant des éléments numériques vendus dans l'UE doivent signaler leurs problèmes de sécurité au titre du règlement sur la cyberrésilience (Cyber Resilience Act, CRA). Cela concerne les logiciels, les applications et les objets connectés. Selon la Commission européenne, deux types d'événements doivent être signalés, les vulnérabilités activement exploitées par des attaquants et les incidents graves qui touchent la sécurité d'un produit.
Les délais sont courts. Une alerte précoce est due dans les 24 heures après que le fabricant a pris connaissance du problème, puis une notification plus complète sous 72 heures. Le rapport final arrive au plus tard 14 jours après la mise à disposition d'une correction ou d'une mesure d'atténuation pour une vulnérabilité, ou dans un délai d'un mois pour un incident grave. Le fabricant doit aussi informer les utilisateurs concernés.
Les signalements passent par la plateforme unique de signalement que l'ENISA, l'agence de l'UE pour la cybersécurité, a ouverte le 11 septembre. Le fabricant signale une seule fois au centre national de réponse aux incidents de sécurité informatique (CSIRT) du pays de son établissement principal, et l'ENISA reçoit l'information en même temps.
Le cabinet Hogan Lovells Cadwalader relève que l'obligation couvre aussi les produits mis sur le marché de l'UE avant l'application du reste du règlement. Les principales exigences de sécurité du CRA s'appliquent à partir du 11 décembre 2027, date à laquelle les gestionnaires de logiciels libres commencent eux aussi à signaler.
Ce que cela change pour vous
- Si vous vendez dans l'UE une application, un logiciel ou un objet connecté sous votre propre marque, il vous faut un moyen de repérer une attaque et de la signaler sous 24 heures.
- L'obligation couvre aussi les produits que vous vendez déjà, pas seulement les nouveaux.
- Une personne de votre équipe doit savoir déposer un signalement sur la plateforme de l'ENISA avant qu'un incident ne survienne.
- Des règles de sécurité plus larges arrivent le 11 décembre 2027, le signalement n'est donc que la première étape.
Ce qu’il faut faire
- Dressez la liste des logiciels et des objets que vous vendez dans l'UE, avec la personne responsable de chacun.
- Désignez une personne qui surveille les problèmes de sécurité et peut signaler sous 24 heures, y compris le week-end.
- Lisez le guide de l'ENISA sur la plateforme et faites un exercice sur un cas fictif avec votre équipe.
- Préparez un court message pour prévenir les utilisateurs d'un problème et leur dire comment le corriger.
Comment Didset peut vous aider
Nous pouvons ajouter des journaux de sécurité et des alertes aux applications et systèmes que nous développons, pour que votre équipe repère une attaque à temps pour la signaler.
Parlons-en
