Les obligations de signalement du règlement européen sur la cyber-résilience entrent en vigueur

Les fabricants de produits comportant des éléments numériques (matériel et logiciel, des routeurs aux applications domotiques) doivent désormais signaler les vulnérabilités activement exploitées et les incidents de sécurité graves via la plateforme unique de signalement gérée par l'ENISA : une alerte précoce sous 24 heures, une notification complète sous 72 heures et un rapport final sous 14 jours ou un mois respectivement. L'obligation couvre aussi les produits mis sur le marché avant que le règlement sur la cyber-résilience ne devienne pleinement applicable en décembre 2027.

La date découle de l'art. 71 du règlement (UE) 2024/2847 (Cyber Resilience Act), entré en vigueur le 10 décembre 2024 : les obligations de signalement de l'art. 14 s'appliquent à partir du 11 septembre 2026, les règles relatives aux organismes d'évaluation de la conformité depuis juin 2026, et les exigences complètes applicables aux produits à partir du 11 décembre 2027. L'ENISA a lancé le même jour la plateforme unique de signalement ; les notifications sont ensuite acheminées vers les CSIRT nationaux compétents (Crowell & Moring, Freshfields, 11 septembre 2026).