Le 11 septembre 2026, une obligation européenne de signalement s’applique aux produits qui contiennent du logiciel. Vingt-quatre heures pour la première alerte. Voici ce qui s’applique vraiment, ce qui ne s’applique pas encore, et une fiche pour savoir qui appelle qui.
Le message arrive un vendredi, à 18 h 20, sur l’adresse contact@ de votre site. Il est courtois, un peu maladroit, et signé par quelqu’un qui se présente comme chercheur en sécurité. Il explique qu’une faille de votre boîtier — celui que vous vendez depuis 2019, dont le firmware a été écrit par un prestataire qui n’existe plus — est en train d’être exploitée. Il joint une capture d’écran.
Personne ne lit contact@ le vendredi soir. C’est une adresse de formulaire, elle reçoit surtout des propositions de référencement. Le lundi matin, votre assistante la parcourt, hésite, transfère au directeur technique, qui est en déplacement. Mardi, quelqu’un ouvre la pièce jointe.
Nous étions vendredi 18 h 20. Nous sommes mardi. Vingt-quatre heures se sont écoulées quatre fois.
La semaine dernière, nous parlions d’un courriel de 15 h 40 et d’un client qui posait quatre-vingt-sept questions. Celui-ci est plus court, et il ne demande rien. C’est précisément ce qui le rend intéressant.
Ce qui se passe vraiment
Vous ne vous considérez pas comme un éditeur de logiciels. Vous fabriquez des cartes électroniques, des pompes doseuses, des systèmes de pesage, des terminaux, des capteurs pour serres agricoles. Vous vendez du matériel, du savoir-faire, du service après-vente. Le logiciel, dans votre esprit, est une petite chose qui se trouve à l’intérieur et dont quelqu’un d’autre s’occupe.
C’est exactement le point de vue que le droit européen a cessé de partager.
Depuis quelques années, l’Union ne raisonne plus par industrie mais par objet. Elle observe qu’un thermostat, une caméra de comptage, un automate de production et une application de suivi de tournée ont une chose en commun : ils exécutent du code, ils se connectent à quelque chose, et lorsqu’ils sont pris en défaut, ils deviennent une porte. Peu lui importe que vous vous appeliez fabricant de matériel ou fabricant de logiciel. Elle regarde ce que vous mettez sur le marché.
Il y a deux façons de se retrouver concerné sans l’avoir cherché, et la seconde surprend davantage.
La première : vous vendez un objet qui contient du logiciel, même écrit par quelqu’un d’autre. La bibliothèque open source intégrée par votre sous-traitant en 2021 fait partie de votre produit. Le firmware que vous n’avez jamais ouvert fait partie de votre produit. Le composant acheté à un fournisseur asiatique fait partie de votre produit.
La seconde : vous vendez sous votre nom un objet fabriqué par un autre. L’entreprise qui appose sa marque sur un produit conçu ailleurs devient, au regard du droit, le fabricant de ce produit. C’est le cas de l’importateur qui débadge, du revendeur qui fait produire en marque blanche, de l’ingénieriste qui livre un ensemble sous son propre logo. Vous n’avez peut-être jamais écrit une ligne de code. Vous êtes fabricant.
Et puis il y a le point qui déplaît le plus, parce qu’il touche à ce qu’on croyait derrière soi : cela concerne aussi ce que vous avez vendu il y a cinq ans et qui fonctionne encore chez un client. Un produit n’est pas mis sur le marché puis oublié. Tant qu’il est en service, il peut faire l’objet d’un signalement.
Voici maintenant la bonne nouvelle, et elle est substantielle. Ce qui s’applique vendredi est une seule obligation, et elle est plus simple que sa réputation.
Ce que dit le texte
Le règlement (UE) 2024/2847, dit Cyber Resilience Act, est entré en vigueur le 10 décembre 2024 [1]. Il s’applique aux « produits comportant des éléments numériques » — matériels ou logiciels — mis à disposition sur le marché de l’Union, dès lors que leur usage prévu comporte une connexion de données, directe ou indirecte, à un appareil ou à un réseau [2].
Son calendrier est échelonné, et cet échelonnement est ce qu’il faut retenir aujourd’hui.
| Date | Ce qui s’applique |
|---|---|
| 11 juin 2026 | Chapitre IV : notification des organismes d’évaluation de la conformité. Ne vous concerne pas directement |
| 11 septembre 2026 | Article 14 : signalement des vulnérabilités activement exploitées et des incidents graves. C’est tout |
| 11 décembre 2027 | Le reste : exigences essentielles, évaluation de conformité, marquage CE, déclaration UE de conformité, documentation technique, période de support, obligations des importateurs et des distributeurs |
Autrement dit : vendredi, personne ne vous demandera un marquage CE cybersécurité. Personne n’exigera votre documentation technique. Vos obligations d’importateur ou de distributeur, si vous en avez, ne sont pas encore nées. Une seule chose commence : si vous êtes fabricant et que vous apprenez qu’une faille de votre produit est activement exploitée, ou que votre produit subit un incident grave, vous devez le dire [1].
À qui, et comment. Par un point d’entrée unique : la plateforme de signalement unique, établie et exploitée par l’ENISA au titre de l’article 16. Vous déposez une fois. Le signalement part simultanément vers le CSIRT désigné coordinateur dans l’État membre de votre établissement principal — la règle de détermination figure à l’article 14(7) — et vers l’ENISA. Ce CSIRT diffuse ensuite sans délai aux CSIRT des autres États membres où votre produit est disponible [3].
Dans quels délais. Trois échéances, et elles ne démarrent pas à la découverte de la faille : elles démarrent au moment où vous en avez connaissance.
- 24 heures — alerte précoce, sans retard injustifié.
- 72 heures — notification principale, avec les informations générales et une première évaluation.
- Rapport final — au plus tard 14 jours après la mise à disposition d’une mesure corrective, pour une vulnérabilité ; dans le mois suivant la notification à 72 heures, pour un incident grave [3].
Deux précisions qui allègent sensiblement la charge.
D’abord, les sanctions. Le chapitre VII prévoit que les fabricants qui sont des micro-entreprises ou des petites entreprises ne peuvent pas être sanctionnés pour un manquement au délai de 24 heures [2]. Le législateur a admis qu’une entreprise de trente personnes n’a pas de permanence le samedi. Cela ne vous dispense pas de signaler ; cela retire la panique, et c’est différent. Notez le seuil : petite entreprise, pas moyenne. Au-delà, la protection tombe.
Ensuite, l’antériorité. L’obligation naît lorsque vous prenez connaissance de l’exploitation. Elle ne s’étend pas aux exploitations dont vous aviez déjà connaissance avant que l’obligation ne s’applique [3]. La question de savoir à partir de quand un fabricant est réputé avoir eu connaissance est traitée par les orientations publiées par la Commission le 27 juillet 2026, au point 9.1 [4]. Nous vous y renvoyons plutôt que de la paraphraser — et nous observons simplement qu’une boîte contact@ que personne ne relève est une position inconfortable à défendre, quelle que soit la réponse juridique.
Ce qui n’est pas concerné. Certains produits sont exclus parce qu’ils relèvent d’autres textes de l’Union — dispositifs médicaux, véhicules à moteur, aéronautique notamment [2]. Un logiciel purement interne, qui n’est pas mis à disposition sur le marché, n’entre pas dans le champ [2].
Vous vendez dans cinq pays. Combien de signalements ?
Un. Le CRA est un règlement : il s’applique en termes identiques dans les vingt-sept États membres, sans transposition nationale. La plateforme est unique, le dépôt est unique, et c’est le CSIRT qui diffuse aux autres. Un fabricant français livrant en Belgique, au Luxembourg, en Espagne et en Allemagne dépose une fois, en un endroit.
Deux réserves à la date de publication : l’adresse publique de la plateforme n’était pas encore diffusée au 31 juillet 2026, et l’ENISA indiquait que la liste des CSIRT désignés coordinateurs serait publiée ultérieurement [3]. Les deux sont attendues pour l’ouverture.
La Méthode : L’Ours, la Voiture et l’Accident
Un mot sur le nom. On dit L’Ours, la Voiture et l’Accident parce que c’est ainsi qu’on le retient ; on l’applique dans l’autre sens, parce que c’est ainsi qu’il fonctionne. La Voiture d’abord — on ne priorise pas ce que l’on ne connaît pas. L’Ours ensuite. L’Accident, lui, ne se pratique pas : il arrive.
La Voiture
Pour conduire, vous n’avez pas besoin d’être ingénieur automobile ou garagiste. Mais pour la conduire, il vous faut une formation, un permis, être en bonne santé, une voiture en bon état, et quelques informations à propos de votre destination. Cela suffit à aller de A à B sans difficulté. La Voiture embarque deux étapes :
Connaître vos dix principaux risques. Sur ce sujet précis, le premier n’est pas la faille : c’est le délai. Une vulnérabilité se corrige ; vingt-quatre heures écoulées ne se rattrapent pas. Le deuxième est plus embarrassant — apprendre par un client, ou par la presse, ce qui se passe dans son propre produit.
Savoir ce que vous avez. Ici, cela signifie savoir ce que vous vendez, ce qu’il y a dedans, et sous quel nom il part. Trois questions, une ligne par produit. La plupart des entreprises n’ont jamais écrit cette liste, et la plupart des directeurs sous-estiment sa longueur — jusqu’à ce qu’ils incluent les gammes arrêtées qui tournent encore chez les clients.
L’Ours
Si un ours vous poursuit, vous n’avez pas besoin de courir vite. Vous avez besoin de ne pas être le dernier. L’Ours embarque deux étapes :
Prioriser. Vendredi, une seule obligation entre en application, et elle ne concerne que le fabricant. Si vous êtes uniquement distributeur, votre échéance est en décembre 2027. Traiter vendredi et décembre 2027 avec la même intensité est une manière distinguée de rater les deux.
Réduire. Une gamme officiellement arrêtée, dont la fin de support a été notifiée aux clients, est une ligne de moins sur votre inventaire. Un composant tiers remplacé par un composant maintenu est une source d’alerte de moins. Un produit que vous cessez de vendre sous votre nom est un produit dont vous n’êtes plus le fabricant. Réduire n’est pas se cacher : c’est décider, et écrire ce que l’on a décidé.
L’Accident
L’accident n’embarque pas d’étape. L’accident, c’est de la réaction. Pour cela, on s’y prépare avant. On s’y est préparé avant, sans le savoir, en sachant ce que l’on avait et en sachant ce qui comptait.
Le message du vendredi 18 h 20 est l’accident. Il ne se prépare pas le vendredi soir. Il se prépare le mercredi précédent, en décidant qui relève contact@, en écrivant un nom et un numéro de téléphone sur une feuille, et en sachant lequel de vos produits est concerné avant même d’ouvrir la pièce jointe.
L’outil de la semaine
La Boîte à Gants — n° 2 : l’inventaire des produits numériques
Elle remplit la ligne « CRA » de la fiche n° 1, et se lit très bien sans elle.
Une ligne par produit — y compris les gammes arrêtées encore en service. Cinq colonnes. Comptez trente minutes avec votre responsable technique, et une bonne heure si vous incluez les archives.
| Ce que nous mettons sur le marché | Contient du logiciel ? | Sous quel nom est-il vendu ? | Notre rôle | Qui reçoit l’alerte |
|---|---|---|---|---|
Comment la remplir.
Contient du logiciel ? — firmware, application, service à distance sans lequel le produit perdrait une fonction. En cas d’hésitation : oui.
Sous quel nom est-il vendu ? — c’est la colonne qui décide. Sous votre nom ou votre marque, vous êtes fabricant, quel que soit l’auteur du code.
Notre rôle — fabricant, importateur, distributeur. Seul le premier a une obligation vendredi.
Qui reçoit l’alerte — un prénom et un numéro de téléphone portable. Pas une adresse générique, pas une direction, pas un prestataire. La personne qui décroche un samedi.
La fiche réflexe des 24 heures. Ce que contient réellement la première alerte, d’après les champs obligatoires publiés par l’ENISA [3]. Elle tient sur une demi-page, et c’est le point que l’on ignore le plus souvent : à 24 heures, on ne vous demande pas un diagnostic.
| Échéance | Ce que vous envoyez |
|---|---|
| 24 h | Type de signalement (vulnérabilité ou incident) · nom du fabricant · produit concerné · intitulé · États membres où le produit est disponible · pour un incident, s’il est présumé malveillant |
| 72 h | Nature générale de la faille ou de l’incident · première évaluation · mesures correctives prises · mesures que les utilisateurs peuvent prendre |
| Final | Description complète · gravité · impact · date de mise à disposition du correctif |
À 24 heures, vous déclarez que quelque chose se passe. À 72 heures, vous dites quoi. Au rapport final, vous dites comment cela s’est terminé. Beaucoup d’entreprises retardent la première alerte parce qu’elles croient devoir déjà répondre à la troisième.
Cinq minutes, lundi matin
Cette semaine, n’attendez pas lundi. L’échéance est vendredi.
Répondez à une question, par écrit : sous quel nom nos produits sont-ils vendus ? Si la réponse est « le nôtre », vous êtes fabricant, et l’article 14 vous concerne. Si la réponse est « celui de notre client », vous ne l’êtes pas pour ces produits-là — mais lui, oui, et il vous appellera.
Ouvrez contact@ et regardez qui l’a relevée cette semaine. Puis désignez la personne qui la relèvera désormais, et notez son numéro de téléphone à côté de son nom. C’est la colonne la plus importante de la fiche, et la plus vite remplie.
Créez un compte EU Login. L’inscription à la plateforme de signalement se fait avec un compte EU Login, que l’on peut créer à l’avance et gratuitement [3]. Créez-le. En revanche, l’ENISA recommande de n’engager la procédure de validation auprès du CSIRT qu’au moment où vous avez effectivement un signalement à déposer, afin de ne pas saturer les équipes [3]. Suivez ce conseil : le compte à l’avance, la validation le jour venu.
Mercredi prochain
Vous venez d’écrire la liste de ce que vous vendez. Mercredi prochain, nous écrivons l’autre liste — celle de ce que vous détenez.
Une seule question d’ici là, et elle est plus perturbante qu’elle n’en a l’air : si un salarié partait demain avec l’ordinateur qu’on lui a confié, sauriez-vous dire, précisément, quels fichiers concernant quelles personnes s’y trouvent ?
Le registre dont tout le monde parle depuis huit ans, et que presque personne n’a vraiment. Mercredi prochain.
Références
- Règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 (Cyber Resilience Act), JOUE L, 20.11.2024. Entrée en vigueur le 10 décembre 2024 ; art. 14 applicable à compter du 11 septembre 2026 ; chapitre IV applicable à compter du 11 juin 2026 ; application générale le 11 décembre 2027 (chapitre VIII).
- Commission européenne, The Cyber Resilience Act — Summary of the legislative text, digital-strategy.ec.europa.eu, mise à jour du 3 décembre 2025 (champ d’application, définitions de fabricant, importateur et distributeur, chapitre VII sur les sanctions, chapitre VIII sur les dispositions transitoires).
- ENISA, Single Reporting Platform (SRP) — Frequently Asked Questions, mise à jour du 31 juillet 2026 (Q4 mise en service, Q7 délais, Q8 et Q18 routage vers le CSIRT, Q9 compte EU Login et validation, Q13 antériorité, Q16 champs obligatoires).
- Commission européenne, Guidance to support timely Cyber Resilience Act implementation, 27 juillet 2026, point 9.1 (obligations de signalement des fabricants et des gestionnaires de logiciels libres).
- Commission européenne, Cyber Resilience Act — Reporting obligations, digital-strategy.ec.europa.eu, mise à jour du 31 juillet 2026.
- Règlement délégué de la Commission du 11 décembre 2025 précisant les conditions de report de diffusion des notifications par les CSIRT.
- Règlement d’exécution (UE) 2025/2392 du 28 novembre 2025 relatif à la description technique des catégories de produits importants et critiques comportant des éléments numériques.
- Recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises.
- ISO/IEC 27001:2022 et ISO/IEC 27005:2022, Organisation internationale de normalisation.
Situation arrêtée au 9 septembre 2026.
