• Les obligations de signalement du Cyber Resilience Act de l'UE entrent en vigueur le 11 septembre
  • Les fabricants disposent de 24 heures pour la première alerte et de 72 heures pour un rapport plus complet

Le fait

Les obligations de signalement du Cyber Resilience Act de l'UE sont entrées en vigueur le 11 septembre: les fabricants de produits comportant des éléments numériques doivent signaler les vulnérabilités activement exploitées ainsi que les incidents graves affectant la sécurité des produits. Une alerte précoce est due dans les 24 heures suivant la prise de connaissance d'un événement signalable.

Une notification plus complète suit dans les 72 heures. L'échéance finale dépend ensuite de l'événement. Pour une vulnérabilité activement exploitée, le rapport final est dû au plus tard 14 jours après la mise à disposition d'une mesure corrective ou d'atténuation. Pour un incident grave, le rapport final est dû dans le mois suivant la notification de 72 heures et doit couvrir l'incident, son impact, sa cause probable et les mesures prises ou prévues.

Les signalements transitent par la plateforme unique de signalement de l'ENISA vers le CSIRT national compétent, les informations étant généralement mises à la disposition de l'ENISA en même temps. Ces obligations pèsent sur les fabricants plutôt que d'imposer la même obligation de signalement à chaque client utilisant le produit. Le règlement prévoit également l'information des utilisateurs concernés et la communication de mesures correctives ou d'atténuation. La plupart de ses exigences produit plus larges s'appliquent à partir de décembre 2027.

L'analyse

Dès qu'un fabricant sait qu'une vulnérabilité est activement exploitée, il peut devoir la signaler avant que ses ingénieurs ne l'aient pleinement comprise. La première alerte de 24 heures pourrait donc être envoyée avant l'identification de toutes les versions affectées ou avant qu'un correctif n'ait été testé. Des détails supplémentaires suivent après 72 heures, tandis que l'enquête technique se poursuit.

En pratique, le signalement et la remédiation se dérouleront souvent en parallèle. Les fabricants doivent communiquer aux régulateurs ce qu'ils savent sans présenter des hypothèses préliminaires comme des conclusions définitives. Parallèlement, leurs clients ont besoin d'informations suffisantes pour déterminer s'ils sont concernés et si une action immédiate est nécessaire.

Pour les lecteurs de BTW, l'essentiel est de savoir à quelle vitesse cette première alerte se transforme en conseils exploitables. Les opérateurs ont besoin d'informations claires sur les versions affectées, les atténuations sûres et, à terme, un correctif pris en charge. Respecter les délais de signalement est important, mais les clients doivent encore savoir quoi faire des équipements qu'ils exploitent.

À surveiller

Surveillez si les avis des fournisseurs distinguent clairement, après la première alerte, les faits confirmés, les conclusions provisoires et les atténuations disponibles. Des recommandations propres à chaque version, des mises à jour après la notification de 72 heures et un chemin clair vers un correctif pris en charge montreront si le nouveau calendrier aide réellement les opérateurs à prendre leurs décisions de maintenance, plutôt que de se limiter à produire des déclarations réglementaires dans les temps.