Les fabricants de technologies vendant des produits connectés dans l’Union européenne doivent désormais faire face à des délais stricts pour signaler des incidents graves de cybersécurité et des vulnérabilités activement exploités.
De nouvelles exigences de déclaration en vertu de la loi européenne sur la cyberrésilience (CRA) sont entrées en vigueur le 11 septembre 2026. Les fabricants doivent fournir un avertissement initial dans les 24 heures suivant la prise connaissance de certains événements de sécurité affectant des produits dotés d’éléments numériques.
Les règles couvrent deux situations principales. Les vulnérabilités pour lesquelles il existe des preuves fiables d’exploitation active par les attaquants et les incidents graves affectant la sécurité d’un produit numérique.
Les produits couverts par la CRA comprennent une large gamme de matériel et de logiciels mis à disposition sur le marché européen. Le cadre peut s’appliquer aux applications, programmes informatiques, firmwares, électroniques grand public connectées, équipements industriels de l’Internet des objets et composants intégrés dans d’autres produits connectés.
Le processus de déclaration ne s’arrête pas avec le premier avertissement de 24 heures. Les fabricants doivent fournir une notification plus détaillée dans les 72 heures suivant la prise connaissance du problème. Pour une vulnérabilité activement exploitée, un rapport final est requis au plus tard 14 jours après la disponibilité d’une mesure corrective ou atténuante.
Les incidents graves suivent une date limite finale différente. Les fabricants disposent d’un mois après la soumission de la notification de 72 heures pour fournir le rapport final.
Pour gérer ce processus, l’Agence européenne de cybersécurité (ENISA) a lancé une Plateforme Unique de Signalement. Les entreprises peuvent utiliser ce système pour soumettre une notification unique plutôt que de signaler séparément le même événement à plusieurs autorités nationales.
Le fabricant sélectionne l’équipe nationale de réponse aux incidents de sécurité informatique appropriée, agissant en tant que coordinateur lors de la soumission d’un rapport. La notification est simultanément mise à disposition de l’ENISA, tandis que les informations pertinentes peuvent ensuite être distribuées à d’autres équipes nationales lorsque le produit concerné est disponible.
Ces obligations peuvent également affecter les entreprises basées hors de l’Union européenne si elles rendent disponibles sur le marché européen des produits numériques couverts.
Le système de déclaration de l’ARC est conçu pour fournir aux autorités des informations plus précoces sur les vulnérabilités déjà exploitées par les attaquants et sur les incidents de sécurité graves pouvant mettre les utilisateurs en danger. Il crée également des délais nettement plus serrés pour les fabricants qui auraient auparavant géré ces divulgations principalement par des procédures internes.
Les entreprises peuvent simultanément faire face à des obligations en vertu d’autres règles européennes, notamment la NIS2 ou le Règlement général sur la protection des données, selon les circonstances. La déclaration d’un événement au titre de l’ARC ne remplace pas automatiquement ces exigences distinctes.
La date limite de septembre représente une étape précoce du déploiement de la loi sur la cyberrésilience. La plupart des exigences plus larges de la législation, y compris les obligations couvrant la conception, la maintenance et la mise à jour des produits numériques en cybersécurité, deviendront applicables le 11 décembre 2027.