{"id":35319,"date":"2026-10-07T00:00:21","date_gmt":"2026-10-06T22:00:21","guid":{"rendered":"https:\/\/www.proactivanet.com\/?p=35319"},"modified":"2026-10-07T09:35:55","modified_gmt":"2026-10-07T07:35:55","slug":"cyber-resilience-act","status":"publish","type":"post","link":"https:\/\/www.proactivanet.com\/fr\/blog\/conformite\/cyber-resilience-act\/","title":{"rendered":"Cyber Resilience Act : ce qui change avec l'obligation de notifier les vuln\u00e9rabilit\u00e9s"},"content":{"rendered":"

Le Cyber Resilience Act<\/strong> n'est plus une r\u00e9glementation lointaine. Depuis le 11 septembre 2026, les fabricants de produits comportant des \u00e9l\u00e9ments num\u00e9riques vendus dans l'Union europ\u00e9enne doivent notifier les vuln\u00e9rabilit\u00e9s activement exploit\u00e9es et les incidents graves dans un d\u00e9lai de 24 heures.<\/p>\n

C'est la premi\u00e8re obligation du r\u00e8glement d\u00e9j\u00e0 exigible, et elle arrive plus d'un an avant son application compl\u00e8te. Dans cet article, nous passons en revue ce qui change, qui est concern\u00e9 (Espagne, Mexique, Colombie, P\u00e9rou et Chili), quels d\u00e9lais respecter et pourquoi le point de d\u00e9part est toujours le m\u00eame : savoir exactement quelle technologie vous poss\u00e9dez et o\u00f9 elle se trouve.<\/p>\n

Qu'est-ce que le Cyber Resilience Act ?<\/h2>\n

Le Cyber Resilience Act (CRA) est le r\u00e8glement (UE) 2024\/2847. Il fixe des exigences de cybers\u00e9curit\u00e9 communes pour tout produit comportant des \u00e9l\u00e9ments num\u00e9riques mis sur le march\u00e9 de l'UE, qu'il s'agisse de logiciels ou de mat\u00e9riel connect\u00e9.<\/p>\n

Son id\u00e9e de fond est que la s\u00e9curit\u00e9 fasse partie du produit d\u00e8s sa conception et tout au long de son cycle de vie, au lieu de d\u00e9pendre de correctifs a posteriori. Son application est progressive :<\/p>\n

\n\n\n\n\n\n\n\n
Date<\/th>\n\u00c9tape<\/th>\n<\/tr>\n<\/thead>\n
10 d\u00e9cembre 2024<\/td>\nEntr\u00e9e en vigueur du r\u00e8glement<\/td>\n<\/tr>\n
11 septembre 2026<\/td>\nObligation de notifier les vuln\u00e9rabilit\u00e9s exploit\u00e9es et les incidents graves (article 14)<\/td>\n<\/tr>\n
11 d\u00e9cembre 2027<\/td>\nApplication compl\u00e8te des autres exigences, y compris le marquage CE<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

Ce qui change \u00e0 partir du 11 septembre 2026<\/h2>\n

L'article 14<\/a> oblige le fabricant \u00e0 notifier deux choses : toute vuln\u00e9rabilit\u00e9 de son produit activement exploit\u00e9e et tout incident grave affectant sa s\u00e9curit\u00e9.<\/p>\n

La notification est envoy\u00e9e simultan\u00e9ment \u00e0 l'ENISA et au CSIRT coordinateur du pays o\u00f9 le fabricant a son \u00e9tablissement principal. En Espagne, ce CSIRT est INCIBE-CERT. Le canal est unique : la Single Reporting Platform (SRP) g\u00e9r\u00e9e par l'ENISA, op\u00e9rationnelle depuis cette m\u00eame date.<\/p>\n

Les d\u00e9lais de notification<\/h3>\n
\n\n\n\n\n\n\n\n\n
D\u00e9lai<\/th>\nCe qu'il faut envoyer<\/th>\n<\/tr>\n<\/thead>\n
24 heures<\/td>\nAlerte pr\u00e9coce \u00e0 partir de la prise de connaissance<\/td>\n<\/tr>\n
72 heures<\/td>\nNotification avec les informations disponibles<\/td>\n<\/tr>\n
14 jours<\/td>\nRapport final sur une vuln\u00e9rabilit\u00e9 exploit\u00e9e<\/td>\n<\/tr>\n
1 mois<\/td>\nRapport final sur un incident grave<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

En outre, le fabricant doit informer les utilisateurs concern\u00e9s et, le cas \u00e9ch\u00e9ant, leur indiquer des mesures pour att\u00e9nuer le risque.<\/p>\n

Ce que le Cyber Resilience Act n'exige pas encore (et qui est concern\u00e9)<\/h2>\n

La port\u00e9e de cette premi\u00e8re phase est plus limit\u00e9e qu'il n'y para\u00eet. Le 27 juillet 2026, la Commission europ\u00e9enne a publi\u00e9 une premi\u00e8re orientation interpr\u00e9tative<\/a> qui clarifie plusieurs points :<\/p>\n