L’article 14 du règlement européen sur la cyberrésilience (Cyber Resilience Act, CRA) est entré en application. Il impose désormais aux fabricants de produits connectés de signaler toute vulnérabilité activement exploitée à l’Agence de l’Union européenne pour la cybersécurité dans un délai de 24 heures. Une notification plus complète doit suivre sous 72 heures, puis un rapport final sous 14 jours, une fois le correctif disponible. L’obligation est également rétroactive : elle couvre les produits déjà commercialisés, et non les seules nouveautés.
Expert : Commentaire de Shane BARNEY, Responsable de la sécurité de l'information chez Keeper Security
Le périmètre est large. Il englobe les biens industriels et les produits IoT, notamment les capteurs d’usine et les machines connectées, ainsi que les équipements grand public, des objets connectés domestiques aux routeurs et aux écoute-bébés connectés. Les logiciels, les applications et les composants matériels comportant des éléments numériques sont également concernés.
La France prépare son propre dispositif. La loi Résilience, qui transpose la directive NIS2 en même temps que la directive REC sur la résilience des entités critiques et le règlement DORA dans un texte unique, est toujours en cours d’examen au Parlement. L’ANSSI deviendra l’autorité nationale compétente dès sa promulgation. Pour toute organisation qui commercialise des produits connectés dans l’Union européenne, un régime national de déclaration va donc s’ajouter à celui du CRA, et non s’y substituer.
Les organisations devraient moins s’inquiéter de la charge administrative du texte que de la vitesse de détection qu’il exige. Le compte à rebours de 24 heures démarre au moment où le fabricant acquiert une certitude raisonnable qu’une vulnérabilité est activement exploitée, et non lorsqu’une CVE est publiée ou qu’un correctif est mis à disposition. Ce seuil présuppose une visibilité en temps réel dont la plupart des organisations ne disposent pas. L’étude 2026 de Keeper Security montre que seules 22 % des organisations françaises sont capables de détecter en quelques minutes un usage détourné d’identifiants ou un accès privilégié non autorisé. Un peu plus de la moitié (51 %) ont besoin de plusieurs heures, et 26 % de plusieurs jours, voire davantage.
Une alerte précoce à 24 heures n’a de sens que si la détection se compte en minutes et non en jours. Les fabricants qui se préparent à la loi Résilience ont tout intérêt à traiter le déploiement européen comme un test grandeur nature : ce n’est pas le délai de déclaration qui sera sanctionné, mais le temps qu’il aura fallu pour s’apercevoir de quelque chose.
