Depuis le 11 septembre 2026, le règlement sur la cyberrésilience impose aux fabricants de signaler les vulnérabilités activement exploitées et les incidents graves qui touchent leurs produits comportant des éléments numériques. Une alerte précoce est due dans les 24 heures, une notification complète dans les 72 heures. Les autres obligations, dont la sécurité dès la conception, arrivent le 11 décembre 2027.
L’essentiel à retenir
- Le règlement (UE) 2024/2847, dit CRA, est entré en vigueur le 10 décembre 2024.
- Ses obligations de déclaration s’appliquent depuis le 11 septembre 2026 ; les principales obligations, à partir du 11 décembre 2027.
- Un fabricant qui a connaissance d’une faille activement exploitée doit envoyer une alerte précoce sous 24 heures et une notification complète sous 72 heures.
- Les déclarations passent par une plateforme unique de l’ENISA, opérationnelle depuis le 11 septembre 2026.
Règlement sur la cyberrésilience : un calendrier en deux temps
Le règlement sur la cyberrésilience, ou Cyber Resilience Act (CRA), vise à garantir que les produits numériques sont à l’abri des cybermenaces. La Commission européenne cite des baby-moniteurs aux montres connectées, des applications et des programmes informatiques. Il impose aux fabricants des exigences de cybersécurité pour la planification, la conception, le développement et la maintenance de ces produits, et la gestion des vulnérabilités pendant leur durée de vie.
Le texte est entré en vigueur le 10 décembre 2024. Les obligations de déclaration s’appliquent depuis le 11 septembre 2026, et les principales obligations à partir du 11 décembre 2027. Le 27 juillet 2026, la Commission a publié des orientations pratiques pour aider les fabricants, les développeurs et les entreprises.
Ce que les fabricants doivent déclarer depuis le 11 septembre
Depuis cette date, les fabricants doivent signaler deux types d’événements : les vulnérabilités activement exploitées et les incidents graves ayant une incidence sur la sécurité du produit. Le calendrier est serré :
- alerte précoce dans les 24 heures suivant la prise de connaissance ;
- notification complète dans les 72 heures ;
- rapport final au plus tard 14 jours après la disponibilité d’une mesure corrective pour une vulnérabilité exploitée, ou un mois après la notification de 72 heures pour un incident grave.
Une plateforme unique pour déclarer
Les fabricants ne déclarent qu’une fois, par la plateforme de déclaration unique mise en place par l’agence européenne ENISA, opérationnelle depuis le 11 septembre 2026. La notification est adressée à l’équipe d’intervention en cas d’incident de sécurité informatique, ou CSIRT, du pays où se trouve l’établissement principal du fabricant. Sauf circonstances très exceptionnelles, les informations sont mises simultanément à la disposition de l’ENISA, et le CSIRT récepteur les partage sans délai avec les autres CSIRT des pays où le produit est disponible.
Dans des circonstances exceptionnelles liées à la cybersécurité, un CSIRT peut retarder cette diffusion. Un acte délégué adopté le 11 décembre 2025 précise les conditions de cette exception.
Ce que cela change pour un acheteur
À court terme, rien n’apparaît sur la boîte : la déclaration concerne les fabricants et les autorités. À partir du 11 décembre 2027, les principales obligations s’appliqueront, et la Commission indique que les produits conformes porteront le marquage CE. Le règlement vise à corriger le niveau de cybersécurité jugé insuffisant de nombreux produits. Il cible aussi le manque de mises à jour de sécurité en temps utile et veut faciliter le repérage des produits bien protégés.
En attendant, appliquez les conseils de notre guide des mots de passe et des passkeys : mettre à jour les appareils, changer les mots de passe par défaut et désactiver les fonctions inutiles. Pour les caméras, sonnettes et autres appareils de la maison, voyez aussi notre guide de la maison connectée.
Pour aller plus loin
Le mois d’octobre est aussi celui du Cybermois, avec des conseils de l’État pour se protéger en ligne.
Pour retrouver nos prochains tests et bons plans en priorité, ajoutez TopActu à vos sources préférées sur Google.
Sources : Commission européenne, Législation sur la cyberrésilience, page mise à jour le 7 septembre 2026 ; Commission européenne, Législation sur la cyberrésilience, obligations de déclaration, page mise à jour le 11 septembre 2026