Signaler en vingt-quatre heures, avec un guide pas encore adopté

Le règlement (UE) 2024/2847, dit Cyber Resilience Act, est en vigueur depuis le 10 décembre 2024. Son application est étalée : le chapitre IV depuis le 11 juin 2026, l’article 14 depuis le 11 septembre 2026, le reste le 11 décembre 2027. La deuxième marche vient d’être franchie. C’est la plus visible.

Vingt-quatre heures, soixante-douze heures, quatorze jours

L’article 14 oblige le fabricant à notifier simultanément au CSIRT coordinateur et à l’ENISA toute vulnérabilité activement exploitée et tout incident grave affectant la sécurité de son produit. Trois échéances s’enchaînent : une alerte précoce sous 24 heures, une notification étoffée sous 72 heures, un rapport complet dans les 14 jours suivant la disponibilité d’un correctif — un mois après la notification à 72 heures pour un incident grave.

L’ENISA a ouvert le 11 septembre une plateforme unique de signalement, où le fabricant choisit l’organisme national destinataire. En France, c’est le CERT-FR de l’ANSSI. Le dépôt s’y fait encore à la main : la FAQ renvoie une éventuelle API « à l’avenir ».

Deux précisions comptent. L’obligation ne vise que les failles activement exploitées : une vulnérabilité remontée en privé, par un programme de bug bounty, n’a pas à être signalée. Et elle s’applique dès maintenant aux produits déjà commercialisés, y compris une fois leur période de support terminée — alors que les obligations de traitement des vulnérabilités, elles, s’éteignent avec ce support.

Le guide existe, il ne s’applique pas encore

L’article 26 imposait à la Commission de publier des orientations, avec une attention particulière aux PME. Elle l’a fait le 27 juillet 2026 : 84 pages, 67 exemples et cas d’usage.

Mais le document publié est l’annexe d’une communication d’approbation de contenu. La Commission l’écrit noir sur blanc : les orientations « seront formellement adoptées par la Commission à une date ultérieure, lorsque toutes les versions linguistiques seront disponibles », et « ce n’est qu’à partir de ce moment qu’elles s’appliqueront ». À ce jour, elles n’existent qu’en anglais.

Même adoptées, elles ne lieront personne : seule la Cour de justice peut donner une interprétation faisant autorité. Elles disent néanmoins la lecture de la Commission, et les autorités de surveillance s’y référeront.

Ce qu’elles tranchent déjà

Le point de départ du délai de 24 heures : le fabricant est réputé avoir connaissance du fait dès qu’après une première évaluation, il a un degré raisonnable de certitude que la faille est exploitée. Lecture calquée sur les lignes directrices 9/2022 du CEPD relatives à la notification des violations de données.

Les failles connues : une vulnérabilité l’est dès qu’elle figure dans une base publique, mais aussi par divulgation coordonnée, par test interne, ou après une couverture appuyée dans des médias fiables.

La durée de support : les cinq ans sont un plancher, jamais un défaut. Un produit dont l’usage attendu est plus long doit être soutenu plus longtemps.

Le logiciel libre, enfin, occupe quatorze pages — prix, dons, financement, « intendants », contributeurs. Le secteur, qui s’était alarmé des premières versions du texte, y trouve les critères qu’il réclamait.

Reste la sanction, applicable fin 2027 : jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial.

Sources

Commission européenne, Commission guidance on the application of Regulation (EU) 2024/2847 (Cyber Resilience Act), C(2026) 5252 final, annexe, 27 juillet 2026, 84 pages, en anglais.

Consulter les orientations de la Commission (PDF, 84 pages, en anglais)

L. Adam, « CRA : à partir de demain il faudra signaler les failles exploitées », ZDNET, 10 septembre 2026. B. Bruyndonckx, O. Santantonio et C. Comninos, « Les Orientations de la Commission européenne concernant la loi sur la cyber-résilience », Lydian, 9 septembre 2026.