Le compte à rebours est lancé pour une partie des entreprises qui fabriquent des logiciels, équipements connectés ou autres produits comportant des éléments numériques.
À compter du 11 septembre 2026, les obligations de signalement prévues par le Cyber Resilience Act (CRA) deviennent applicables dans l'Union européenne.
Lorsqu'un fabricant prend connaissance d'une vulnérabilité activement exploitée affectant la sécurité de son produit ou d'un incident grave ayant une incidence sur sa sécurité, il devra déclencher une procédure de signalement particulièrement rapide.
Une première alerte devra être transmise dans les 24 heures suivant la prise de connaissance de l'événement. Une notification plus complète devra ensuite intervenir dans les 72 heures.
Pour les entreprises concernées, le changement est important : la gestion d'une vulnérabilité ne relève plus uniquement de la réponse technique. Elle devient également un enjeu de conformité réglementaire soumis à des délais extrêmement courts.
Ce qui change exactement le 11 septembre 2026
Le Cyber Resilience Act est entré en vigueur en décembre 2024, mais son application est progressive.
Selon le calendrier officiel de mise en œuvre du Cyber Resilience Act, l'essentiel du règlement deviendra applicable le 11 décembre 2027. Les obligations de déclaration arrivent cependant beaucoup plus tôt : elles s'appliqueront dès le 11 septembre 2026.
Cette distinction est essentielle.
Le 11 septembre ne marque donc pas l'application de l'intégralité du Cyber Resilience Act. Il marque l'arrivée de l'une de ses premières obligations opérationnelles majeures.
À partir de cette date, les fabricants concernés devront notamment signaler :
- les vulnérabilités activement exploitées dont ils ont connaissance ;
- les incidents graves ayant une incidence sur la sécurité de leurs produits comportant des éléments numériques.
L'objectif européen est d'accélérer la circulation de l'information lorsqu'une vulnérabilité ou un incident susceptible d'affecter des produits numériques apparaît.
Pour les entreprises technologiques, cette évolution participe à un mouvement plus large : la cybersécurité n'est plus seulement un sujet informatique. Elle devient progressivement un enjeu de gouvernance, de conformité et de continuité d'activité.
Une première alerte devra partir sous 24 heures
Le calendrier prévu par le règlement est particulièrement serré.
Lorsqu'un fabricant prend connaissance d'un événement entrant dans le champ du dispositif, une alerte précoce doit être envoyée sous 24 heures.
Une notification principale plus détaillée doit ensuite être transmise dans les 72 heures.
Le processus ne s'arrête pas là.
Dans le cas d'une vulnérabilité activement exploitée, un rapport final doit être transmis au plus tard 14 jours après qu'une mesure corrective ou d'atténuation est disponible.
Pour un incident grave, le rapport final doit intervenir dans le mois suivant la notification des 72 heures.
Ces délais sont détaillés par la Commission européenne dans ses règles de signalement du Cyber Resilience Act.
Pour une entreprise technologique, cela signifie qu'une procédure interne capable de qualifier rapidement l'incident devient indispensable.
Attendre plusieurs jours avant de faire remonter une vulnérabilité au juridique, à l'équipe cybersécurité ou à la direction pourrait rendre particulièrement difficile le respect du délai réglementaire.
Cette approche rejoint une problématique déjà centrale pour les PME : passer d'une informatique qui intervient uniquement lorsqu'un problème survient à un pilotage proactif du système d'information.
Les déclarations passeront par une plateforme européenne unique
Les fabricants concernés passeront par une infrastructure commune au niveau européen.
Une Single Reporting Platform (SRP), mise en place par l'Agence de l'Union européenne pour la cybersécurité, doit centraliser les signalements.
L'ENISA est chargée de l'établissement et de la maintenance de cette plateforme.
Le fabricant n'aura donc pas à multiplier les déclarations auprès de chaque État membre : le signalement sera réalisé via la plateforme européenne.
En France, l'ANSSI confirme le fonctionnement du dispositif de signalement du CRA.
Pour un fabricant dont l'établissement principal se situe en France, la notification sera notamment transmise au CERT-FR de l'ANSSI, qui constitue le CSIRT coordinateur français, ainsi qu'à l'ENISA sauf circonstances exceptionnelles.
Le fabricant devra également préciser les États membres concernés par la vulnérabilité ou l'incident déclaré.
Cette architecture répond à une réalité économique : un logiciel ou un objet connecté développé par une entreprise française peut être commercialisé simultanément dans plusieurs pays européens.
Quelles entreprises sont réellement concernées par le Cyber Resilience Act ?
C'est probablement le point le plus important pour éviter une mauvaise interprétation de cette nouvelle obligation.
Toutes les entreprises françaises ne devront pas déclarer toutes leurs cyberattaques sous 24 heures à partir du 11 septembre 2026.L'obligation vise ici les fabricants de produits comportant des éléments numériques entrant dans le périmètre du Cyber Resilience Act.
Le champ du règlement couvre de nombreux produits logiciels et matériels connectés directement ou indirectement à un appareil ou à un réseau.
Peuvent notamment être concernés, selon la nature des produits commercialisés :
- des éditeurs de logiciels ;
- des fabricants d'objets connectés ;
- des fabricants d'équipements réseau ;
- des entreprises commercialisant certains composants logiciels ou matériels ;
- certaines solutions numériques embarquées ;
- certains produits de cybersécurité ;
- plus largement, des fabricants mettant sur le marché européen des produits comportant des éléments numériques relevant du CRA.
Une entreprise qui utilise simplement un logiciel ou qui subit une cyberattaque n'entre donc pas automatiquement dans cette obligation de déclaration au titre du Cyber Resilience Act.
C'est la position de l'entreprise dans la chaîne du produit, la nature de ce qu'elle commercialise et la qualification de l'événement de cybersécurité qui déterminent les obligations applicables.
Cette distinction est importante alors que les entreprises françaises sont déjà confrontées à d'autres régimes de notification. Lorsqu'une cyberattaque provoque par exemple une violation de données personnelles, des obligations distinctes peuvent déjà s'appliquer, comme l'illustre le cas d'une PME confrontée simultanément à un rançongiciel et à une fuite de données.
Des produits déjà commercialisés peuvent également être concernés
Le CRA ne doit pas être considéré uniquement comme une réglementation concernant les futurs logiciels et appareils lancés après 2027.
La Commission européenne précise que les obligations de signalement s'appliquent aux produits comportant des éléments numériques déjà mis à disposition sur le marché de l'Union, y compris ceux commercialisés avant l'application complète du règlement en décembre 2027.
Pour un éditeur de logiciels ou un fabricant disposant d'un catalogue existant, la question ne porte donc pas seulement sur ses futurs produits.
Une entreprise peut devoir intégrer dans son dispositif de surveillance des logiciels, équipements ou produits numériques déjà commercialisés.
Cette logique impose progressivement de penser la cybersécurité sur l'ensemble du cycle de vie du produit et non uniquement au moment de sa conception.
Jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial
Le Cyber Resilience Act est également accompagné d'un régime de sanctions conséquent.
Le non-respect de certaines exigences essentielles et obligations imposées aux fabricants peut exposer une entreprise à une amende administrative pouvant atteindre 15 millions d'euros ou 2,5 % de son chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé pouvant être retenu selon le manquement concerné.
Il faut cependant éviter un raccourci trompeur.
Cela ne signifie pas qu'une déclaration envoyée quelques heures après le délai entraînera automatiquement une sanction de 15 millions d'euros.
Le règlement prévoit une appréciation tenant notamment compte de la nature, de la gravité et de la durée du manquement ainsi que de plusieurs autres circonstances.
Le CRA prévoit par ailleurs des dispositions particulières pour les petites structures.
Le niveau maximal des sanctions doit donc être compris comme un plafond réglementaire, et non comme une pénalité automatique appliquée à chaque incident.
Pour les dirigeants, le message reste néanmoins clair : la cybersécurité devient progressivement un risque économique et réglementaire pour les PME, et plus seulement un sujet réservé aux directions informatiques.
Pourquoi les entreprises concernées doivent se préparer avant le 11 septembre
Le principal problème opérationnel ne sera probablement pas de remplir le formulaire européen.
Il sera de savoir suffisamment vite qu'un événement doit être déclaré.
Une vulnérabilité peut être découverte par :
- un développeur ;
- une équipe cybersécurité ;
- un chercheur en sécurité externe ;
- un prestataire ;
- le support client ;
- un utilisateur ;
- ou une autorité.
L'information doit ensuite remonter suffisamment rapidement pour être analysée et qualifiée.
Avec une première échéance fixée à 24 heures après la prise de connaissance, une organisation interne trop lente peut rapidement devenir un problème de conformité.
1. Identifier les produits entrant dans le périmètre du CRA
La première étape consiste à cartographier les logiciels, matériels, composants et autres produits numériques commercialisés par l'entreprise susceptibles d'entrer dans le périmètre du Cyber Resilience Act.
Cette cartographie doit également intégrer les produits déjà commercialisés lorsque les obligations de signalement leur sont applicables.
2. Déterminer qui qualifie une vulnérabilité
Une vulnérabilité découverte par un développeur ne doit pas rester plusieurs jours dans un outil de ticketing avant d'atteindre les personnes capables d'en évaluer la portée réglementaire.
L'entreprise doit déterminer clairement qui peut qualifier l'incident et déclencher le processus de notification.
3. Créer une procédure d'escalade immédiate
Les équipes techniques, cybersécurité, juridique, conformité et direction doivent pouvoir communiquer rapidement lorsqu'une vulnérabilité importante apparaît.
Dans un dispositif imposant une première alerte sous 24 heures, la circulation interne de l'information devient elle-même un enjeu réglementaire.
4. Préparer le processus de déclaration
La découverte de la Single Reporting Platform ne devrait pas avoir lieu au moment où une vulnérabilité est déjà activement exploitée.
Les entreprises concernées ont intérêt à identifier dès maintenant les personnes responsables du signalement et à intégrer cette procédure dans leur plan de réponse aux incidents.
5. Renforcer la surveillance des produits déjà commercialisés
Le CRA pousse également les fabricants vers une logique de suivi continu.
La mise sur le marché d'un produit numérique ne marque plus la fin de la responsabilité cyber du fabricant.
Les vulnérabilités découvertes après commercialisation doivent pouvoir être détectées, évaluées, corrigées et, lorsque les critères du règlement sont remplis, déclarées.
Les nombreuses cyberattaques et fuites de données touchant aujourd'hui les organisations françaises montrent déjà les conséquences opérationnelles et réputationnelles d'une réponse trop tardive.
Le Cyber Resilience Act va beaucoup plus loin que les 24 heures
L'échéance du 11 septembre n'est qu'une étape.
À partir du 11 décembre 2027, l'essentiel du Cyber Resilience Act deviendra applicable.
Le règlement européen instaure plus largement des exigences de cybersécurité sur l'ensemble du cycle de vie de nombreux produits numériques :
- conception sécurisée ;
- gestion des vulnérabilités ;
- mises à jour de sécurité ;
- documentation ;
- information des utilisateurs ;
- suivi des vulnérabilités ;
- évaluation de conformité ;
- obligations liées à la commercialisation du produit.
L'objectif européen est de faire évoluer la cybersécurité d'une logique principalement corrective vers une logique de sécurité intégrée dès la conception du produit.
Les fabricants devront davantage anticiper la sécurité de leurs produits avant leur commercialisation, mais également continuer à gérer leurs vulnérabilités après leur arrivée sur le marché.
Cette transformation réglementaire intervient alors que les risques cyber deviennent simultanément plus complexes. Les entreprises françaises doivent déjà composer avec les rançongiciels, les fuites massives de données ou encore les conséquences économiques de compromissions majeures, comme l'a récemment illustré le piratage de la DGFiP ayant concerné 678 000 comptes.
Pour les éditeurs de logiciels et fabricants concernés, septembre 2026 constitue donc moins une échéance isolée que le début concret d'une transformation réglementaire qui culminera en décembre 2027.
Cyber Resilience Act : les 7 points à retenir
- 11 septembre 2026 : entrée en application des obligations de signalement du CRA.
- 24 heures : délai pour transmettre une première alerte après la prise de connaissance d'un événement entrant dans le dispositif.
- 72 heures : délai prévu pour transmettre une notification plus complète.
- 14 jours : délai maximal après disponibilité d'une mesure corrective ou d'atténuation pour le rapport final relatif à une vulnérabilité activement exploitée.
- ENISA : agence chargée de la Single Reporting Platform européenne.
- CERT-FR : CSIRT coordinateur pour les fabricants dont l'établissement principal est situé en France.
- 11 décembre 2027 : application générale du Cyber Resilience Act.
Une échéance cyber que les fabricants ne peuvent plus repousser
Le point essentiel reste la portée réelle de cette échéance : le 11 septembre 2026, toutes les entreprises françaises ne seront pas obligées de signaler toutes leurs cyberattaques sous 24 heures.
En revanche, pour les fabricants entrant dans le périmètre du Cyber Resilience Act, la capacité à détecter, qualifier et faire remonter rapidement certaines vulnérabilités et certains incidents devient un véritable sujet de conformité.
L'enjeu dépasse donc largement la création d'un nouveau formulaire administratif.
Le CRA impose progressivement aux entreprises technologiques européennes une nouvelle doctrine : connaître leurs produits, surveiller leurs vulnérabilités et être capables de réagir presque immédiatement lorsqu'une menace devient réelle.
Avec seulement 24 heures pour transmettre une première alerte, découvrir son processus de notification lorsqu'une vulnérabilité est déjà activement exploitée risque d'être beaucoup trop tard.
