À partir du 11 septembre, le droit européen impose aux fabricants de signaler toute vulnérabilité activement exploitée sur un produit connecté, jouets intelligents et objets connectés portables inclus, sous 24 heures : cette obligation couvre déjà les produits vendus depuis des années, 15 mois avant l'échéance du marquage CE prévue par le même règlement

Ce qui change le 11 septembre

Le Cyber Resilience Act est la première loi horizontale de cybersécurité de l'UE construite autour de produits plutôt que de services : il s'applique au matériel et aux logiciels constituant des « produits comportant des éléments numériques » vendus dans l'UE, une catégorie que les considérants du règlement décrivent comme couvrant notamment les jouets connectés, les objets connectés portables, les dispositifs domestiques intelligents tels que les serrures connectées et les moniteurs pour bébés, les routeurs, les ordinateurs portables, les smartphones et les capteurs industriels. Il exclut les produits déjà réglementés ailleurs en matière de cybersécurité : les dispositifs médicaux et de diagnostic in vitro relevant des règlements (UE) 2017/745 et 2017/746, les véhicules à moteur relevant du régime de réception par type fondé sur les règles UNECE prévu par le règlement (UE) 2019/2144, ainsi que les logiciels libres à usage non commercial et les produits conçus exclusivement pour la défense nationale. L'article 14 impose à un fabricant qui prend connaissance d'une vulnérabilité activement exploitée sur un produit relevant de ce champ, ou d'un incident grave affectant sa sécurité, de le notifier au CSIRT désigné comme coordinateur dans l'État membre de l'UE où il a son établissement principal, l'information étant mise à disposition de l'ENISA au même moment sauf circonstances exceptionnelles. La notification suit un calendrier fixe en trois étapes : une alerte précoce sous 24 heures signalant l'exploitation et, le cas échéant, sa portée transfrontalière ; une notification plus complète sous 72 heures décrivant la gravité et les mesures correctives prises ou disponibles ; et un rapport final sous 14 jours pour une vulnérabilité, ou sous un mois pour un incident grave, décrivant la vulnérabilité, tout acteur l'ayant exploitée et le correctif appliqué. La plateforme unique de signalement de l'ENISA (Single Reporting Platform), le portail partagé que les fabricants utilisent pour déposer ces trois notifications, doit être opérationnelle le jour même où l'obligation prend effet.

Les chiffres derrière le 11 septembre

Un chiffre montre le peu de temps dont dispose un fabricant une fois qu'une vulnérabilité est activement exploitée. Un autre montre l'avance que prend l'obligation de signalement sur l'échéance autour de laquelle la plupart des feuilles de route sont construites. Le troisième est le plafond que le droit européen fixe déjà en cas de manquement à cette obligation précise.

Le vrai sujet : une obligation de 24 heures qui suppose des données de classification et de distribution que la plupart des marques n’ont pas encore construites

Deux détails du texte transforment le 11 septembre d'une échéance pour l'équipe cybersécurité en un problème de données de conformité. Le premier est l'article 69, paragraphe 3. La règle transitoire générale du CRA prévoit qu'un produit mis sur le marché avant le 11 décembre 2027 n'est pas rétroactivement soumis au règlement, sauf s'il fait ensuite l'objet d'une modification substantielle, c'est le raisonnement derrière la plupart des analyses affirmant qu'il reste « jusqu'à 2027 ». L'article 69, paragraphe 3, exclut l'article 14 de cette protection : l'obligation de signalement s'applique à un produit comportant des éléments numériques déjà présent sur le marché de l'UE au 11 septembre 2026, quelle que soit la durée pendant laquelle il est déjà vendu, sans exemption liée à son ancienneté ni au fait qu'il ait été commercialisé avant même l'existence du règlement. Une marque ne peut pas répondre au délai de 24 heures pour un moniteur pour bébé de 2019 ou un traqueur d'activité de 2021 en invoquant l'échéance de 2027 ; elle doit déjà savoir que ce produit entre dans le champ d'application. Le second détail concerne le CSIRT lui-même. Un fabricant sans établissement principal dans l'UE, la situation de la plupart des marques vendant en Europe via des filiales, importateurs ou licenciés locaux, ne choisit pas librement son CSIRT : l'article 14 fixe un ordre précis, d'abord l'État membre de son représentant autorisé pour le plus grand nombre de ses produits, puis l'État membre de l'importateur mettant sur le marché le plus grand nombre de ses produits, puis l'État membre du distributeur faisant de même. Rien de tout cela n'est une donnée que détient une équipe sécurité. Il s'agit d'un volume de distribution, par ligne de produit, par pays de l'UE, suivi commercialement plutôt que techniquement, et une marque ne découvre laquelle de ces trois réponses s'applique à une ligne de produit donnée qu'en le déterminant à l'avance, car l'article 14 lui laisse 24 heures pour déposer la première notification une fois qu'une vulnérabilité est activement exploitée, pas 24 heures pour d'abord déterminer où l'envoyer.

Pourquoi c'est important pour les marques

L'exposition directe concerne toute marque du retail, des biens de consommation ou du luxe vendant dans l'UE un produit physique doté d'une quelconque connexion à un appareil ou à un réseau : jouets connectés, objets connectés portables, dispositifs domestiques ou de beauté intelligents, routeurs et emballages connectés ou étiquettes anticontrefaçon figurent parmi les catégories que le règlement cite lui-même en exemple. L'article 14 étant déjà en vigueur depuis le 11 septembre 2026 et couvrant déjà, en vertu de l'article 69, paragraphe 3, des produits mis sur le marché des années avant cette date, la tâche pratique n'est pas un chantier prévu pour 2027 ; ce sont trois questions auxquelles une équipe conformité doit répondre dès cette semaine. Premièrement, une liste de périmètre précise : quelles références, actuelles et anciennes, répondent à la définition de « produit comportant des éléments numériques », une hypothèse valable à l'échelle de l'entreprise ne suffisant plus dès lors que l'obligation s'applique produit par produit. Deuxièmement, une classification au regard des descriptions techniques du règlement d'exécution (UE) 2025/2392 de la Commission, par défaut, important de classe I ou II, ou critique, car cette classification détermine la voie de conformité que le produit devra suivre d'ici décembre 2027 et, plus immédiatement, conditionne la gravité et le contenu que doit comporter une notification sous 24 heures. Troisièmement, pour toute marque sans entité de fabrication basée dans l'UE, une réponse documentée sur le point de savoir quel représentant autorisé, importateur ou distributeur porte le plus grand volume de chaque ligne de produit, puisque c'est ce qui fixe le CSIRT national contre lequel le délai court. Une marque capable de produire ces trois éléments dès aujourd'hui peut déposer un signalement conforme dans les 24 heures suivant une exploitation active. Une marque qui ne le peut pas passe une partie de ces 24 heures à découvrir ses propres données produit et de distribution au lieu de contenir la vulnérabilité.

Deux lectures du 11 septembre

Questions fréquentes