Résumé

  • Depuis le 11 septembre 2026, les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves qui affectent la sécurité d’un produit. Le premier avertissement est attendu sous 24 heures, la notification complète sous 72 heures.
  • À RIPE 93, Mandalari a demandé à la communauté d’apporter des cas concrets d’équipements réseau, de distribution logicielle et de durée de support dans les travaux de normalisation du CRA.

Le Cyber Resilience Act a lancé un compte à rebours de 24 heures pour les fabricants. Il n’a pas confié la même tâche juridique à chaque entreprise qui exploite un réseau. C’est la frontière qu’Anna Maria Mandalari a mise en avant lors de RIPE 93 : quand une vulnérabilité apparaît, l’organisation doit déjà savoir quels produits elle met sur le marché européen, quel rôle elle joue dans leur chaîne d’approvisionnement et qui peut préparer le signalement.

La transcription de la session IoT de RIPE 93 identifie Mandalari comme l’intervenante à distance pour la dernière présentation. Elle a relié le règlement aux équipements ordinaires des réseaux — routeurs, modems et commutateurs — ainsi qu’aux logiciels utilisés pour les faire fonctionner. Elle a surtout demandé à la communauté d’apporter des situations réelles aux travaux sur les normes : durée de déploiement du matériel, responsabilité des mises à jour et passages de relais entre fabricant, distributeur et client.

Le calendrier rend cette demande pressante. Les principales dispositions du CRA s’appliquent à partir du 11 décembre 2027, mais le signalement prévu à l’article 14 s’applique depuis le 11 septembre 2026. Lorsqu’il apprend l’existence d’une vulnérabilité activement exploitée ou d’un incident grave affectant la sécurité d’un produit, le fabricant doit envoyer un premier avertissement sous 24 heures, puis une notification complète sous 72 heures.

Le rapport final doit suivre au plus tard 14 jours après la disponibilité d’une mesure corrective pour une vulnérabilité exploitée, ou dans le mois suivant la notification de 72 heures pour un incident grave. Le signalement passe par la plateforme unique du CRA.

Cette obligation incombe au fabricant, pas automatiquement à toute société qui achète un routeur ou exploite un réseau. Les orientations publiées par la Commission européenne en juillet traitent du champ des produits et des modifications substantielles. La Commission définit le fabricant comme la personne ou l’entreprise qui développe ou fait fabriquer un produit, puis le commercialise dans l’UE sous son nom ou sa marque. Acheter un appareil non modifié ne transforme pas, à lui seul, l’opérateur en fabricant.

La vente sous sa propre marque ou une modification substantielle peut changer l’analyse : le produit et son circuit de distribution doivent être examinés.

Les normes font le lien entre le texte et l’exploitation. Le 13 août, l’ETSI a annoncé que 17 projets finaux de normes sectorielles étaient soumis à enquête publique. Ils visent à devenir des normes harmonisées ; ils restaient des projets, pas des règles finales. Selon le secteur, la procédure devait se poursuivre de la mi-septembre à la mi-novembre 2026. Mandalari a encouragé les participants du RIPE à apporter des exemples portant sur la durée du support, les équipements réseau, la distribution logicielle et le traitement des mises à jour.

La question ne se limite pas à la promesse d’un fournisseur. Les opérateurs doivent savoir comment une mise à jour de sécurité est testée, auditée, déployée et évaluée. Le CRA demande aux fabricants de fixer et d’indiquer une durée de support, tandis que le calendrier de renouvellement du réseau peut être différent. Si le support s’arrête avant le renouvellement prévu, l’achat peut se transformer en migration d’urgence.

Mandalari peut porter cette question entre recherche, exploitation et normalisation. UCL la présente comme directrice adjointe de son Institute of Communications and Connected Systems ; l’ETSI indique qu’elle est secrétaire du groupe CYBER EUSR et présidente du groupe de travail IoT du RIPE. Son appel à la communauté tient en une question de réseau : qui prend en charge la prochaine mise à jour, et qui envoie le premier signalement quand le produit échoue ?

La Commission a publié des orientations et la plateforme de signalement fonctionne. Le travail restant consiste à relier l’identité du produit, le rôle du fournisseur, la durée du support et l’autorité chargée de l’incident avant qu’une vraie vulnérabilité ne transforme ces informations en course contre la montre.

Sources