Brief — Routeur, smartphone, brosse à dents connectée : dans 17 jours, le fabricant aura 24 heures pour signaler une faille exploitée à Bruxelles — sous peine de 15 millions d'euros

Thème : cybersécurité des produits — Cyber Resilience Act, obligation de signalement des vulnérabilités activement exploitées, plateforme unique de l'ENISA et surveillance du marché

Mots-clés : #cyber #anssi #enisa #cra #vulnerabilite #divulgation-coordonnee #surveillance-du-marche

Le 11 septembre 2026, dans dix-sept jours, l'article 14 du règlement (UE) 2024/2847 — le *Cyber Resilience Act* — entre en application, alors que le reste du texte attendra le 11 décembre 2027 (article 71). À partir de cette date, tout fabricant d'un produit comportant des éléments numériques mis sur le marché de l'Union devra signaler, dans les 24 heures suivant sa prise de connaissance, toute vulnérabilité activement exploitée de son produit ainsi que tout incident grave affectant sa sécurité ; une notification plus complète suit à 72 heures, puis un rapport final au plus tard 14 jours après la mise à disposition d'un correctif, ou un mois après la notification à 72 heures pour un incident grave. Le signalement s'effectue une seule fois, sur la plateforme unique de signalement (*Single Reporting Platform*) gérée par l'ENISA et opérationnelle à la même date, qui relaie automatiquement au CSIRT coordinateur du pays d'établissement — le CERT-FR de l'ANSSI pour la France —, aux CSIRT des autres États membres où le produit est disponible, et à l'ENISA elle-même.

Le point qui intéresse directement un chercheur en sécurité tient dans une définition. L'article 3, point 42, réserve la qualification de vulnérabilité activement exploitée à celle « pour laquelle il existe une preuve fiable » qu'un acteur malveillant l'a exploitée dans un système sans l'autorisation de son propriétaire. Un test d'intrusion autorisé, une preuve de concept publiée ou un score CVSS élevé ne suffisent donc pas à déclencher le chronomètre : c'est la qualité de la preuve d'exploitation réelle — télémétrie, journaux, indicateurs de compromission — qui fait basculer le régime, et cette preuve est détenue par le fabricant lui-même. L'obligation pèse sur l'éditeur du code, non sur l'entreprise qui l'utilise, ce qui distingue nettement ce régime de l'article 33 du RGPD et des obligations de NIS 2. En parallèle, l'annexe I, partie II, impose depuis la conception une politique de divulgation coordonnée des vulnérabilités avec un point de contact accessible, et un SBOM lisible par machine — sans lequel il est matériellement impossible de savoir en vingt-quatre heures quelles versions d'un produit embarquent une dépendance compromise.

Côté français, l'architecture est déjà répartie : l'ANSSI, dirigée par Vincent Strubel, est autorité notifiante — elle évalue, notifie et contrôle les organismes d'évaluation de la conformité sur la base d'une accréditation du COFRAC — et agit comme CSIRT coordinateur via le CERT-FR ; la surveillance du marché revient à l'ANFR, avec l'appui technique de l'ANSSI, et peut aller jusqu'au retrait du produit ou à une amende de 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial. Le périmètre est délibérément large : la catégorie « par défaut » englobe, selon l'ANSSI, « tous les produits comportant des éléments numériques », brosses à dents électriques, smartphones et ordinateurs compris, tandis que systèmes d'exploitation, routeurs, navigateurs et gestionnaires de mots de passe relèvent des produits importants de classe I, et hyperviseurs, pare-feu, IDS/IPS et microprocesseurs *tamper resistant* de la classe II. L'agence a enfin rappelé, dans son actualité du 21 juillet 2026, que la conformité ne se suspend pas à la publication des normes harmonisées : leur usage reste volontaire et n'emporte qu'une présomption de conformité.

Brief — Routeur, smartphone, brosse à dents connectée : dans 17 jours, le fabricant aura 24 heures pour signaler une faille exploitée à Bruxelles — sous peine de 15 millions d'euros

Sources