Cyber Resilience Act : ce que l’obligation de signalement des failles change pour les entreprises
Le Cyber Resilience Act (CRA), le règlement européen sur la cybersécurité des produits numériques, vient de franchir une nouvelle étape. Depuis le 11 septembre 2026, tout éditeur ou fabricant d’un produit comportant des éléments numériques doit signaler à l’ENISA et aux CSIRT nationaux toute vulnérabilité activement exploitée ou tout incident grave affectant la sécurité de ses produits. Une obligation qui, sur le papier, ne concerne que les fabricants — mais qui rebat en pratique les cartes pour toutes les entreprises clientes de solutions numériques.
Un calendrier de signalement en trois temps
Le mécanisme mis en place par la Commission européenne impose un rythme précis dès qu’une vulnérabilité activement exploitée ou un incident grave est détecté :
- Alerte précoce sous 24 heures : premier signal envoyé dès la prise de connaissance du problème ;
- Notification complète sous 72 heures : description détaillée de la faille et des mesures envisagées ;
- Rapport final : dans les 14 jours suivant la disponibilité d’un correctif pour une faille exploitée, ou dans le mois pour un incident grave.
Ces signalements transitent par un canal unique, le Single Reporting Platform, géré par l’ENISA et transmis simultanément au CSIRT coordinateur du pays où l’éditeur est établi. En France, c’est le CERT-FR de l’ANSSI qui reçoit et coordonne ces alertes, avant de les répercuter le cas échéant vers les autres pays concernés.
Pourquoi les entreprises non éditrices sont concernées quand même
L’obligation légale pèse sur l’éditeur ou le fabricant, pas sur l’entreprise qui utilise le logiciel ou l’objet connecté. Mais pour toute PME ou ETI qui n’édite pas elle-même de logiciel, ce nouveau calendrier change la donne d’une autre manière : il ouvre un flux montant d’alertes sur les vulnérabilités exploitées chez ses propres fournisseurs. Concrètement, une entreprise cliente peut désormais être informée bien plus vite qu’auparavant qu’un logiciel ou un objet connecté qu’elle utilise est visé par une faille activement exploitée — à condition d’avoir identifié, dans ses contrats fournisseurs, un point de contact et une obligation contractuelle de répercussion de l’information.
Une réforme Omnibus de la CSRD avait déjà allégé une partie des obligations de reporting extra-financier des PME ; le CRA suit une trajectoire inverse et alourdit, lui, les exigences de cybersécurité — signe que la simplification annoncée par Bruxelles reste sélective selon les sujets.
Sanctions et exceptions pour les petites structures
Les amendes prévues par le règlement peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial. L’article 64 du texte prévoit toutefois une exemption de sanctions pour les micro-entreprises et petites entreprises en cas de non-respect du seul délai de 24 heures — un allègement partiel, pas une dispense générale d’obligation de signalement. Les acteurs de l’open source bénéficient eux aussi d’un régime assoupli, compte tenu de leurs moyens souvent limités.
Ce que les entreprises peuvent faire dès maintenant
- Dresser la liste des logiciels et objets connectés utilisés et identifier lesquels tombent dans le périmètre du CRA ;
- Vérifier, dans les contrats fournisseurs, l’existence d’une clause de notification des failles de sécurité ;
- Désigner en interne un point de contact chargé de suivre les alertes relayées par le CERT-FR ;
- Anticiper : le marquage CE et la majorité des autres obligations du CRA entreront en application en décembre 2027, un délai à mettre à profit pour se mettre en conformité progressivement plutôt que dans l’urgence.
Cette montée en puissance progressive de la réglementation numérique européenne s’inscrit dans un mouvement plus large de durcissement des obligations pour les entreprises, aux côtés de chantiers comme la transparence des salaires ou la facturation électronique. Elle fait aussi écho aux levées de fonds réalisées par des acteurs français de la cybersécurité souveraine, un secteur que cette nouvelle réglementation pourrait structurellement renforcer dans les mois qui viennent.
Sur le terrain, les retours restent contrastés : selon les acteurs du secteur, une large majorité des PME françaises ont déjà entendu parler du Cyber Resilience Act, mais beaucoup peinent encore à identifier les actions concrètes à mener pour s’y conformer avant l’échéance de 2027. Un accompagnement progressif, plutôt qu’une mise en conformité de dernière minute, reste la voie la plus sûre pour les entreprises concernées.
Questions fréquentes
Mon entreprise doit-elle signaler elle-même une faille à l’ENISA ?
Non, sauf si votre entreprise édite ou fabrique elle-même un produit comportant des éléments numériques destiné au marché européen. Si vous êtes seulement utilisateur d’un logiciel ou d’un objet connecté, c’est à votre fournisseur qu’incombe l’obligation de signalement — à vous de vérifier qu’il la respecte.
Que risque une entreprise qui ne respecte pas ces délais ?
Les éditeurs concernés s’exposent à des amendes pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial annuel, sauf exemption partielle prévue pour les micro-entreprises et petites entreprises sur le seul délai de 24 heures.
Quand l’ensemble du Cyber Resilience Act sera-t-il pleinement applicable ?
Le marquage CE et la majorité des autres obligations du règlement entreront en vigueur en décembre 2027. Seule l’obligation de signalement des vulnérabilités activement exploitées et des incidents graves s’applique depuis le 11 septembre 2026.
Sources
Cet article a été rédigé avec l’aide d’une intelligence artificielle. Politique éditoriale
