Que s'est-il passé ?
Depuis le 11 septembre 2026, les premières obligations concrètes de signalement du Cyber Resilience Act (CRA) sont entrées en vigueur. Les fabricants de produits comportant des éléments numériques doivent désormais signaler sans délai les vulnérabilités activement exploitées ainsi que les incidents de sécurité graves. Une enquête représentative de la fédération professionnelle Bitkom montre toutefois que seulement 29 % des entreprises en Allemagne sont en mesure d'évaluer l'importance du règlement européen pour leur propre structure. 38 % supplémentaires ont certes entendu parler de la réglementation, mais n'en comprennent pas les conséquences. 28 % ne connaissent pas du tout le CRA.
Les détails
Le Cyber Resilience Act impose aux fabricants de produits comportant des éléments numériques des normes minimales en matière de cybersécurité. Sont concernés non seulement les appareils connectés tels que les routeurs ou les systèmes de contrôle industriels, mais aussi les logiciels. La plupart des exigences de fond ne s'appliqueront qu'aux produits nouvellement mis sur le marché de l'UE à partir du 11 décembre 2027. Les obligations de signalement qui viennent d'entrer en vigueur concernent toutefois déjà la période actuelle.
Le calendrier des signalements est serré :
- Une alerte précoce est due dans les 24 heures suivant la découverte de l'incident.
- Dans un délai de 72 heures, les fabricants doivent fournir des informations complémentaires ainsi qu'une première évaluation.
- Pour les vulnérabilités, un rapport final doit suivre au plus tard 14 jours après qu'une mesure corrective – comme un correctif ou une solution de contournement – est disponible.
- Pour les incidents de sécurité graves, un délai d'un mois est accordé après le signalement à 72 heures.
Pour les signalements, l'agence de l'UE ENISA exploite la plateforme centrale Single Reporting Platform. Les fabricants peuvent y soumettre leurs signalements en une seule fois ; les informations sont ensuite transmises aux CSIRT nationaux compétents ainsi qu'à l'ENISA. Le Bitkom critique toutefois le fait que les entreprises n'ont pas pu s'inscrire sur la plateforme ni tester leurs processus au préalable – la plateforme n'a été mise en ligne qu'au moment de l'entrée en vigueur de l'obligation de signalement.
L'enquête Bitkom, menée par téléphone auprès de 1003 entreprises comptant au moins dix salariés et réalisant un chiffre d'affaires annuel d'au moins un million d'euros, porte principalement sur la notoriété du CRA. Elle ne répond pas à la question de savoir combien d'entreprises ont déjà mis en place concrètement leurs canaux de signalement, leurs responsabilités ou leurs processus de gestion des vulnérabilités.
Mise en perspective
Pour le secteur des technologies de sécurité, cette évolution est particulièrement pertinente : les systèmes d'alarme, les systèmes de vidéosurveillance et les systèmes de contrôle d'accès sont aujourd'hui majoritairement des produits connectés comportant des éléments numériques, et relèvent donc du champ d'application du CRA. Les fabricants de tels systèmes – des caméras IP aux centrales d'alarme en passant par les terminaux de contrôle d'accès – doivent donc se pencher sur les nouvelles obligations de signalement dès qu'une vulnérabilité activement exploitée est identifiée dans leurs produits.
L'obligation de signalement s'adresse en premier lieu aux fabricants qui développent ou commercialisent sous leur propre marque ce type de matériel ou de logiciel. Pour les entreprises purement utilisatrices, comme les prestataires de services de sécurité ou les installateurs qui se contentent d'utiliser des produits tiers, la question de leur propre implication devrait être moins pressante – elle reste néanmoins pertinente, car les marques de distribution peuvent également être considérées comme des fabricants au sens du règlement.
Conseils pratiques
Pour les fabricants concernés, le nouveau délai représente avant tout une pression organisationnelle. Ils doivent être en mesure de déterminer dans un délai très court si une vulnérabilité est effectivement activement exploitée, quels produits et versions sont concernés, et qui valide en interne le signalement. Selon les pistes d'action mentionnées dans le texte source, les points suivants sont particulièrement importants :
- Constituer un inventaire fiable des logiciels propres et des composants achetés – sans cela, il est pratiquement impossible de déterminer son implication dans un délai de 24 heures.
- Tenir à jour une nomenclature logicielle (Software Bill of Materials, SBOM) afin de documenter de manière traçable les composants et leur origine.
- Mettre en place des processus structurés de gestion des vulnérabilités afin que les canaux de signalement et les responsabilités soient clairs en cas d'urgence.
- Assurer une correspondance traçable entre les mises à jour de sécurité et les versions de produits livrées.
Ces mesures sont utiles non seulement pour une future preuve de conformité, mais constituent également une condition préalable pour pouvoir rapidement circonscrire l'ampleur d'un incident en cas de faille activement exploitée – que ce soit sur des caméras connectées, des centrales d'alarme ou d'autres composants de technologies de sécurité.
Perspectives
Les obligations de signalement qui viennent d'entrer en vigueur ne sont qu'un début : la plupart des exigences de fond du CRA ne s'appliqueront qu'aux produits nouvellement mis sur le marché de l'UE à partir du 11 décembre 2027. D'ici là, les fabricants disposent de temps pour construire et tester leurs processus internes. Compte tenu du faible niveau de connaissance des conséquences concrètes du règlement constaté par le Bitkom, le besoin d'action dans de nombreuses entreprises du secteur des technologies de sécurité pourrait toutefois être plus important qu'on ne le pensait jusqu'à présent. Le BSI (Office fédéral allemand de la sécurité informatique) propose un aperçu du champ d'application, tandis que les articles iX mentionnés dans le texte source fournissent des indications techniques et organisationnelles plus approfondies sur le Cyber Resilience Act.
