Cyber Resilience Act : le signalement des vulnérabilités devient obligatoire

Les obligations de signalement du règlement européen sur la cyberrésilience (Cyber Resilience Act, CRA) s’appliquent depuis le 11 septembre 2026. Les fabricants de produits comportant des éléments numériques doivent désormais signaler les vulnérabilités activement exploitées et les incidents graves affectant la sécurité de leurs produits. L’ENISA a ouvert sa plateforme unique de signalement (Single Reporting Platform) le même jour.

La plateforme permet à un fabricant de signaler une seule fois et d’atteindre toutes les autorités concernées : la notification parvient au CSIRT désigné comme coordinateur, qui la transmet aux CSIRT des autres États membres où le produit est commercialisé, tandis que l’ENISA la reçoit en même temps. L’ENISA indique que la capacité opérationnelle initiale est en place et sera étendue dans les mois à venir. Les gestionnaires de logiciels libres suivront le 11 décembre 2027, date à laquelle les principales exigences de cybersécurité du CRA s’appliqueront aussi.

Le directeur exécutif de l’ENISA, Juhan Lepassaar, a déclaré (traduit de l’anglais) : « Les vulnérabilités des produits numériques sont souvent exploitées par des acteurs de la menace pour détourner ou entraver des services critiques. »

Pourquoi c’est important Pour la première fois, l’exploitation d’une vulnérabilité dans un produit vendu dans l’Union européenne devient un événement à déclarer pour son fabricant, avec le chronomètre d’un régulateur qui tourne. Savoir tôt si une faiblesse est échangée ou discutée dans les communautés criminelles devient une question de conformité autant que de sécurité.