Voir les titres Ne plus voir les titres
- Ce que l’article 14 oblige désormais à déclarer
- Les entreprises concernées débordent du secteur numérique
- Trois rapports, trois horloges à tenir
- La chaîne d’autorités qui récupère les signalements
- Quinze millions d’euros, ou 2,5 % du chiffre d’affaires mondial
- Ce que décembre 2027 impose de préparer maintenant
Un fabricant de caméras, un éditeur de logiciel métier, un intégrateur de passerelles domotiques : depuis le vendredi 11 septembre 2026, tous trois disposent de vingt-quatre heures pour alerter les autorités européennes lorsqu’une faille de leurs produits est activement exploitée. La règle ne dépend ni de leur taille, ni de leur secteur.
Elle vient du Cyber Resilience Act, le règlement (UE) 2024/2847 adopté fin 2024 pour imposer un socle de cybersécurité à tous les produits comportant des éléments numériques vendus dans l’Union. Le texte couvre le cycle de vie complet d’un produit et s’applique sans transposition nationale, puisqu’il s’agit d’un règlement et non d’une directive. Son cœur, lui, n’entrera en application que le 11 décembre 2027.
Une première marche vient donc d’être franchie, et elle concerne bien plus d’entreprises que son intitulé technique ne le laisse penser. Qu’est-ce qui est devenu obligatoire cette semaine, et à quel prix pour celui qui l’ignore ?
Ce que l’article 14 oblige désormais à déclarer
Deux événements distincts déclenchent l’obligation. Le premier est toute vulnérabilité activement exploitée affectant un produit numérique, c’est-à-dire une faille dont le fabricant apprend qu’elle sert effectivement à des attaques, et non une faille théorique découverte en laboratoire. Le second est tout incident grave ayant un impact sur la sécurité du produit.
Le compteur démarre à la prise de connaissance, pas à la publication d’un correctif. Une alerte précoce part dans les 24 heures, une notification complète dans les 72 heures, puis un rapport final au plus tard 14 jours après la mise à disposition d’un correctif, un mois pour un incident grave. Ces délais reprennent exactement ceux de la directive NIS2, pour qu’une même entreprise ne jongle pas avec deux horloges réglementaires.
Un point mérite l’attention des directions techniques : l’obligation est rétroactive. Elle ne vise pas les seuls produits mis sur le marché après le 11 septembre, mais l’ensemble du parc déjà commercialisé, y compris des équipements vendus il y a huit ans et toujours en service. Reste à savoir qui, précisément, porte cette charge.
Les entreprises concernées débordent du secteur numérique
La formulation retenue est volontairement large : est visée toute structure commercialisant dans l’Union un produit intégrant au moins un composant numérique. Le périmètre recouvre donc des acteurs qui ne se pensent pas comme des industriels de la tech.
- les éditeurs de logiciels installés sur un poste ou un terminal, y compris les outils métier vendus à quelques dizaines de clients ;
- les fabricants d’objets connectés, des montres aux babyphones en passant par les caméras et les serrures ;
- les industriels qui embarquent de l’électronique communicante dans des machines ou des équipements de production ;
- les importateurs et distributeurs qui placent sur le marché européen un produit conçu hors de l’Union ;
- les responsables de briques logicielles intégrées par d’autres, dont la responsabilité remonte la chaîne d’approvisionnement.
Quelques secteurs échappent au texte parce qu’ils relèvent de cadres sectoriels plus stricts : dispositifs médicaux, automobile, aviation. Pour le reste, la ligne de partage tient à la connexion : un logiciel sans accès réseau sort du champ, un produit relié directement ou indirectement y entre.
Cette extension du périmètre prolonge une trajectoire réglementaire européenne déjà ancienne, celle-là même qui avait conduit la cybersécurité à s’inviter dans les arbitrages budgétaires et dans les décisions des dirigeants d’entreprise. Encore faut-il savoir dans quel ordre les échéances s’enchaînent.
Trois rapports, trois horloges à tenir
Le signalement n’est pas un acte unique mais une séquence graduée en trois temps, dont chaque étape appelle un niveau de détail différent. Le tableau ci-dessous récapitule ce que le fabricant doit transmettre, et dans quel délai.
| Étape | Délai | Point de départ | Contenu attendu |
|---|---|---|---|
| Alerte précoce | 24 heures | Prise de connaissance | Signalement minimal, produit et nature du fait |
| Notification complète | 72 heures | Prise de connaissance | Description, impact, mesures d’atténuation |
| Rapport final (vulnérabilité) | 14 jours | Correctif disponible | Analyse, correctif, produits affectés |
| Rapport final (incident grave) | 1 mois | Notification complète | Chronologie, cause, remédiation |
L’entrée dans ce dispositif suppose un compte sur la plateforme de signalement unique opérée par l’ENISA, ouverte le jour même de l’entrée en application. L’agence recommande de le créer au moment de la première notification, mais l’enregistrement prend un temps que les 24 heures ne laissent pas, ce qui pousse la plupart des équipes sécurité à s’inscrire par anticipation.
La chaîne d’autorités qui récupère les signalements
Le fabricant ne déclare qu’une fois. La plateforme de l’ENISA redistribue ensuite l’information au CSIRT désigné comme coordinateur, puis à ses homologues des États membres où le produit est commercialisé. En France, ce point d’entrée est le CERT-FR, rattaché à l’ANSSI, qui reçoit, analyse et coordonne le traitement avec les autres pays touchés.
Une foire aux questions publiée par l’ANSSI en juillet 2026 a précisé la répartition des rôles nationaux. L’agence y assume deux fonctions, autorité notifiante et point de centralisation des signalements, la première consistant à désigner les organismes qui certifieront les produits sensibles après accréditation du COFRAC. La surveillance du marché et le pouvoir de sanction reviennent à l’Agence nationale des fréquences.
Les vulnérabilités des produits numériques sont souvent exploitées par des acteurs malveillants pour détourner ou entraver des services critiques, comme la santé, l’énergie, les transports ou les télécommunications. La déclaration et le partage simplifiés des informations sur les vulnérabilités activement exploitées et les incidents graves contribuent à bâtir un marché unique numérique plus résilient.
Juhan Lepassaar, directeur exécutif de l’ENISA, communiqué du 11 septembre 2026 annonçant le lancement de la plateforme de signalement unique
Cette architecture tranche avec la lenteur observée sur d’autres textes cyber : la transposition française de NIS2 patine toujours quand le règlement, lui, s’applique sans attendre le législateur national. Un règlement européen ne laisse aucune marge de calendrier, et c’est ce qui rend la date du 11 septembre opposable dès à présent.
Quinze millions d’euros, ou 2,5 % du chiffre d’affaires mondial
Le manquement expose à une amende pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. L’autorité de surveillance peut aussi ordonner le retrait du produit du marché européen, une sanction dont l’effet commercial dépasse celui de l’amende.
Le plafond peut sembler théorique tant qu’aucun contrôle n’a eu lieu. Les autres textes numériques européens invitent pourtant à la prudence, la Commission ayant montré ces derniers mois qu’elle n’hésitait plus à frapper fort les plateformes. L’ANFR, de son côté, dispose désormais d’un appui technique de l’ANSSI pour ses vérifications en laboratoire.
Le risque immédiat tient moins à l’amende qu’à l’incapacité matérielle à tenir le délai. Un fabricant qui découvre une exploitation active un vendredi soir doit qualifier le fait, identifier les produits affectés et déposer une alerte en moins d’une journée. Cela suppose une astreinte, un inventaire logiciel à jour et une procédure écrite, trois éléments qui ne s’improvisent pas à la première alerte.
Ce que décembre 2027 impose de préparer maintenant
L’échéance de septembre ressemble à un galop d’essai. Dans quinze mois, la conformité portera sur les produits eux-mêmes : sécurité dès la conception, gestion documentée des vulnérabilités sur toute la période d’assistance, marquage CE conditionnant l’accès au marché. Pour les catégories importantes et critiques des annexes III et IV, l’évaluation passera par un organisme notifié indépendant, et l’ANSSI n’en envisage qu’une dizaine en France.
Le calcul se pose simplement. Une entreprise qui attend la désignation de ces organismes, prévue d’ici la fin de l’année, pour lancer son inventaire de composants et son analyse de risque se présentera devant un guichet étroit, en même temps que ses concurrents, avec un marquage CE en jeu. Ceux qui auront traité l’obligation de signalement comme une répétition générale aborderont 2027 avec une cartographie déjà faite, ce qui explique pourquoi la sécurité des produits quitte discrètement les équipes techniques pour rejoindre les arbitrages de direction générale.
