Droit Vivant · Cybersécurité des produits · mardi 25 août 2026

Routeur, smartphone, brosse à dents connectée : dans 17 jours, le fabricant aura 24 heures pour signaler une faille exploitée à Bruxelles — sous peine de 15 millions d'euros

Principe-clé : à compter du 11 septembre 2026, l'article 14 du Cyber Resilience Act oblige le fabricant d'un produit numérique — et non l'entreprise qui l'utilise — à signaler en 24 heures toute vulnérabilité activement exploitée de son produit, c'est-à-dire, au sens de l'article 3, point 42, celle pour laquelle il existe une preuve fiable qu'un acteur malveillant l'a exploitée sans l'autorisation du propriétaire du système : un test d'intrusion autorisé ou une preuve de concept publiée ne déclenchent donc pas, à eux seuls, le chronomètre.

Textes de référence

Règlement (UE) 2024/2847 du 23 octobre 2024 (Cyber Resilience Act), art. 14 — obligations de signalement du fabricant : alerte précoce à 24 h, notification à 72 h, rapport final à 14 jours (vulnérabilité) ou 1 mois (incident grave)
Même règlement, art. 3, pt 42 (vulnérabilité activement exploitée) et art. 3, pt 44 (incident grave) ; critères de gravité à l'art. 14, § 5 ; CSIRT compétent à l'art. 14, § 7
Art. 15 — signalement volontaire, ouvert à toute personne physique ou morale
Art. 16 — plateforme unique de signalement gérée par l'ENISA ; art. 16, § 2 — report exceptionnel de la diffusion, précisé par le règlement délégué (UE) 2026/881
Annexe I, partie II — gestion des vulnérabilités : SBOM, politique de divulgation coordonnée, point de contact public
Art. 64 — sanctions : jusqu'à 15 M€ ou 2,5 % du chiffre d'affaires annuel mondial
Art. 71 — application différenciée : chapitre IV en juin 2026, article 14 le 11 septembre 2026, reste du règlement le 11 décembre 2027
Règlement d'exécution (UE) 2025/2392 — catégories de produits importants et critiques

L'affaire

Il ne s'agit pas d'un contentieux mais d'une échéance, et elle tombe dans dix-sept jours. L'ANSSI, dirigée par Vincent Strubel, publie un calendrier sans ambiguïté : juin 2026 – décembre 2026 pour l'accréditation et la notification des organismes d'évaluation de la conformité, septembre 2026 pour l'entrée en vigueur des obligations de signalement, décembre 2027 pour l'application pleine et entière.

Le 11 septembre 2026, la plateforme unique de signalement (Single Reporting Platform) opérée par l'ENISA devient opérationnelle. Le fabricant y dépose une notification unique, automatiquement relayée au CSIRT coordinateur de son pays d'établissement — le CERT-FR de l'ANSSI pour la France —, aux CSIRT des autres États où le produit est disponible, et à l'ENISA. Les CSIRT en partagent ensuite une partie avec les autorités de surveillance du marché : en France, l'ANFR, appuyée techniquement par l'ANSSI.

Le périmètre est volontairement banal : selon l'ANSSI, la catégorie « par défaut » couvre « tous les produits comportant des éléments numériques », brosses à dents électriques, smartphones et ordinateurs compris ; les systèmes d'exploitation, routeurs, navigateurs et gestionnaires de mots de passe relèvent des produits importants de classe I ; hyperviseurs, pare-feu, IDS/IPS et microprocesseurs tamper resistant de la classe II ; HSM, cartes à puce et passerelles de compteurs intelligents des produits critiques.

L'agence a par ailleurs rappelé, dans son actualité du 21 juillet 2026 sur le processus de notification des organismes notifiés, que la conformité ne dépend pas de la disponibilité des normes harmonisées : leur usage reste volontaire et ne vaut que présomption de conformité.

Pourquoi c'est important

Le CRA déplace le point de bascule juridique. Jusqu'ici, l'obligation de notifier en 72 heures pesait sur celui qui subissait la fuite (article 33 du RGPD) ou sur l'entité essentielle et importante au titre de NIS 2. Ici, c'est l'éditeur du code qui doit parler, y compris lorsque ses clients n'ont rien remarqué, et le délai est ramené à 24 heures — un ordre de grandeur qui n'est plus compatible avec un arbitrage manuel entre juridique, communication et ingénierie.

Pour qui audite ou automatise, l'obligation se traduit en artefacts vérifiables : capacité à établir la « preuve fiable » d'une exploitation réelle (télémétrie, journaux, IOC) et non un simple risque théorique ; SBOM à jour permettant de savoir en quelques minutes si une dépendance vulnérable est présente dans quelles versions ; politique de divulgation coordonnée réellement publiée et joignable, typiquement via un fichier security.txt ; procédure de notification testée à blanc, avec un titulaire et un suppléant, puisque le chronomètre part de la prise de connaissance et non de la découverte du correctif.

Le point le plus délicat pour un chercheur est l'asymétrie qu'installe l'article 3, point 42 : la même faille, testée avec autorisation, n'est pas notifiable ; exploitée par un tiers malveillant, elle l'est en 24 heures. La qualification dépend donc moins de la vulnérabilité que de la qualité de la preuve d'exploitation — et cette preuve, ce sont les journaux du fabricant qui la portent.

Mini-glossaire

Vulnérabilité activement exploitée: Faille pour laquelle il existe une preuve fiable qu'un acteur malveillant l'a exploitée dans un système sans l'autorisation de son propriétaire (art. 3, pt 42, CRA). Exclut par construction le test d'intrusion autorisé et la recherche de bonne foi.
Plateforme unique de signalement (SRP): Système électronique géré par l'ENISA, opérationnel le 11 septembre 2026, permettant de notifier une seule fois pour informer simultanément le CSIRT coordinateur national, les CSIRT des autres États membres concernés et l'ENISA (art. 16 CRA).
CSIRT coordinateur: Équipe nationale de réponse à incident désignée comme point d'entrée des signalements CRA. Pour la France, il s'agit du CERT-FR, au sein de l'ANSSI, qui centralise les signalements et coordonne les remédiations avec les fabricants.
SBOM (Software Bill of Materials): Inventaire lisible par machine des composants logiciels d'un produit, exigé par l'annexe I, partie II, du CRA. Format standardisé de type SPDX ou CycloneDX ; il conditionne la capacité à répondre dans les délais à une exploitation active touchant une dépendance.