Depuis le 11 septembre 2026, le signalement des vulnérabilités est obligatoire pour les fabricants au titre du règlement sur la cyberrésilience : ils doivent déclarer les vulnérabilités activement exploitées et les incidents graves ayant une incidence sur la sécurité de leurs produits, d’après la Commission européenne.
Les délais : une alerte précoce sous 24 heures, une notification complète sous 72 heures, puis un rapport final au plus tard 14 jours après qu’une mesure corrective est disponible, pour une vulnérabilité, ou un mois après la notification de 72 heures, pour un incident grave. Le signalement passe par une plateforme unique de l’ENISA, opérationnelle depuis le 11 septembre 2026, et la notification est adressée au CSIRT du pays de l’établissement principal du fabricant.
Le règlement est entré en vigueur le 10 décembre 2024 ; ses principales obligations s’appliqueront à partir du 11 décembre 2027.
Notre explicatif sur la cyberrésilience et le signalement des failles détaille les obligations, et celui sur les objets connectés rappelle les bons réglages côté utilisateur.
Pour retrouver nos prochains tests et bons plans en priorité, ajoutez TopActu à vos sources préférées sur Google.
Sources : Commission européenne, Cyber Resilience Act et déclarations de vulnérabilités, page mise à jour le 11 septembre 2026, consultée le 15 octobre 2026