Cyber Resilience Act : les obligations de signalement entrent en vigueur le 11 septembre

Le Cyber Resilience Act (CRA), ou règlement européen sur la résilience cyber, est un texte adopté par l’Union européenne sous la référence [UE 2024/2847](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R2847). Contrairement aux directives, qui doivent être transposées dans le droit national des États membres, un règlement s’applique directement et uniformément dans tous les pays de l’UE sans adaptation locale. Ce texte est entré en vigueur le 10 décembre 2024, mais sa pleine application est prévue pour décembre 2027. Le CRA impose des obligations strictes aux entreprises qui commercialisent des produits intégrant au moins un composant numérique, qu’il s’agisse de logiciels, de matériel ou de systèmes connectés. L’objectif est d’améliorer la sécurité des produits numériques en Europe en instaurant des normes communes.

Le CRA classe les produits numériques en trois catégories selon leur niveau de risque pour la sécurité. La première catégorie, la plus large, concerne les produits « courants », qui représentent la majorité des cas. Pour ces produits, le fabricant doit réaliser une auto-évaluation de leur sécurité, c’est-à-dire vérifier lui-même que le produit respecte les exigences du règlement. La deuxième catégorie, dite « importante », inclut des produits comme les systèmes de gestion d’identité, les navigateurs, les gestionnaires de mots de passe, les antivirus, les hyperviseurs (logiciels permettant de faire fonctionner plusieurs systèmes d’exploitation sur une même machine) ou les VPN (réseaux privés virtuels). Ces produits doivent être évalués par un organisme dédié, indépendant du fabricant. Enfin, la troisième catégorie, « critique », regroupe des produits comme les dispositifs matériels avec boîtier de sécurité, les passerelles pour compteur intelligent ou les systèmes de cartes à puce. Ces derniers nécessitent également une évaluation par un organisme externe.

Dès le 11 septembre 2026, une étape intermédiaire du CRA entre en application : l’obligation pour les fabricants de signaler certaines failles ou incidents de sécurité. Cette obligation repose sur l’article 14 du règlement et concerne deux types d’événements : d’une part, les vulnérabilités activement exploitées (c’est-à-dire des failles déjà utilisées par des pirates pour attaquer des systèmes), et d’autre part, les incidents graves ayant un impact sur la sécurité des produits. Les fabricants doivent notifier ces événements à l’ENISA (l’Agence de l’Union européenne pour la cybersécurité) dans les 24 heures suivant leur découverte. Ils doivent ensuite fournir un rapport complet sous 72 heures, puis un rapport final sous 14 jours. Ces délais sont les mêmes que ceux imposés par la directive NIS2, un autre texte européen sur la cybersécurité, afin d’harmoniser les règles dans l’UE.

L’ENISA joue un rôle clé dans la mise en œuvre de cette obligation de signalement. Elle agit comme un guichet central : une fois informée par un fabricant, elle transmet les informations aux CSIRT (équipes nationales de réponse aux incidents de sécurité informatique) des pays membres. En France, le CSIRT est le CERT-FR, géré par l’ANSSI (Agence nationale de la sécurité des systèmes d’information). Cette dernière est chargée de recevoir, analyser et coordonner la réponse aux incidents signalés. Si un produit est commercialisé dans plusieurs pays européens, le CERT-FR doit également transmettre les informations aux homologues étrangers concernés. Ce système permet une réaction rapide et coordonnée en cas de menace cyber, limitant ainsi les risques pour les utilisateurs.