Règlement cyberrésilience : signaler une vulnérabilité exploitée en 24 heures

Règlement sur la cyberrésilience : qui est fabricant

Le règlement (UE) 2024/2847 du 23 octobre 2024, dit règlement sur la cyberrésilience, lu sur EUR-Lex en version française le 15 septembre 2026, vise les produits comportant des éléments numériques, soit un produit logiciel ou matériel et ses solutions de traitement de données à distance, dont l'utilisation comprend une connexion directe ou indirecte à un dispositif ou à un réseau. Le fabricant est celui qui les développe ou les fait développer et les commercialise sous son nom ou sa marque, « à titre onéreux, monétisé ou gratuit ».

Le produit doit être fourni dans le cadre d'une activité commerciale. Le considérant 15 en donne des indices : le prix, un support facturé au-delà des coûts, une intention de monétisation, le traitement de données personnelles exigé à d'autres fins que la sécurité, ou des dons supérieurs aux coûts. En revanche, « Le fait d'accepter des dons sans intention lucrative ne devrait pas être considéré comme constitutif d'une activité commerciale. »

Le considérant 12 écarte les sites internet qui ne supportent pas la fonctionnalité d'un produit et rattache les logiciels service (SaaS) à la directive (UE) 2022/2555, dite NIS 2, dont les délais de notification sont sur notre page sur la notification d'incident NIS 2. Une fonctionnalité en nuage conçue par le fabricant pour piloter son produit reste, elle, dans le champ.

Vulnérabilité activement exploitée : trois étapes

Une vulnérabilité activement exploitée est celle « pour laquelle il existe des preuves fiables qu'elle a été exploitée par un acteur malveillant dans un système sans l'autorisation du propriétaire du système ». Le fabricant la notifie simultanément au CSIRT désigné comme coordinateur et à l'ENISA, par la plateforme unique de signalement que l'ENISA met en place.

Le CSIRT compétent est celui de l'État membre de l'établissement principal, c'est-à-dire là « où sont principalement prises les décisions relatives à la cybersécurité des produits comportant des éléments numériques ». Après coup, le fabricant informe aussi les utilisateurs touchés et, si nécessaire, des mesures qu'ils peuvent prendre.

Incident grave : même rythme, rapport final sous un mois

Un incident ayant des répercussions sur la sécurité du produit est grave s'il entache sa capacité à protéger la disponibilité, l'authenticité, l'intégrité ou la confidentialité de données ou fonctions sensibles, ou s'il « a conduit ou est susceptible de conduire à l'introduction ou à l'exécution d'un code malveillant » dans le produit ou dans le réseau d'un utilisateur.

Le fabricant envoie une alerte précoce dans les 24 heures, en indiquant au minimum si l'incident pourrait résulter d'actes illicites ou malveillants, une notification d'incident dans les 72 heures, puis un rapport final dans un délai d'un mois à compter de cette notification. Les réflexes internes face à une attaque sont sur notre page sur la cyberattaque en entreprise.

Microentreprises : pas d'amende pour le seul délai de 24 heures

Les États membres fixent le régime des sanctions. Mais l'article 64, paragraphe 10, écarte les amendes administratives « aux fabricants considérés comme des microentreprises ou des petites entreprises en cas de non-respect du délai » de l'alerte précoce, pour les vulnérabilités comme pour les incidents. Les délais de 72 heures, de 14 jours et d'un mois ne sont pas visés par cette dérogation.

L'article 33 demande aussi aux États membres, le cas échéant, d'organiser des actions de sensibilisation et de formation, un canal de communication spécifique avec les microentreprises et les petites entreprises, et un soutien aux activités d'essai.

Calendrier et produits déjà sur le marché

L'article 71 fixe trois dates : « Le présent règlement est applicable à partir du 11 décembre 2027. » L'article 14 s'applique à partir du 11 septembre 2026 et le chapitre IV, sur les organismes notifiés, à partir du 11 juin 2026. Les exigences de cybersécurité, dont une période d'assistance qui « est d'au moins cinq ans », arrivent donc en décembre 2027.

Un produit mis sur le marché avant le 11 décembre 2027 n'est soumis aux exigences qu'en cas de modification substantielle. L'article 14 fait exception, mais la version française de l'article 69 écrit qu'il s'applique aux produits « qui ont été mis sur le marché le 11 décembre 2027 », là où le paragraphe précédent vise les produits mis sur le marché avant cette date. Nous publions cet écart tel quel. La gestion courante des correctifs est sur notre page sur les mises à jour des logiciels.

Ce que cette page ne dit pas

Elle ne détaille ni les exigences essentielles de l'annexe I, ni l'évaluation de la conformité, ni le marquage CE, ni le régime des intendants de logiciels ouverts, ni l'autorité nationale désignée comme CSIRT coordinateur. Règlement lu sur EUR-Lex le 15 septembre 2026.