Depuis le 11 septembre 2026, le Cyber Resilience Act commence concrètement à s’appliquer dans l’Union européenne. Cette nouvelle réglementation impose aux fabricants de nombreux produits numériques — smartphones, routeurs, objets connectés, logiciels ou systèmes d’exploitation — de signaler sous 24 heures certaines vulnérabilités activement exploitées. L’objectif est simple : éviter qu’une faille connue et déjà utilisée par des attaquants reste plusieurs jours sans coordination entre fabricants et autorités.
Dernière mise à jour : 14 septembre 2026.
Ce qu’il faut retenir
- Le Cyber Resilience Act est un règlement européen consacré à la cybersécurité des produits matériels et logiciels.
- Depuis le 11 septembre 2026, certaines obligations de signalement sont déjà applicables.
- Une vulnérabilité activement exploitée doit faire l’objet d’une première alerte sous 24 heures.
- Une notification plus complète doit suivre sous 72 heures.
- Smartphones, routeurs, logiciels, objets connectés et de nombreux autres produits peuvent être concernés.
- L’essentiel des autres obligations du règlement arrivera le 11 décembre 2027.
Le Cyber Resilience Act, c’est quoi exactement ?
Le Cyber Resilience Act, ou CRA, est un règlement européen adopté pour améliorer la sécurité des produits numériques commercialisés dans l’Union européenne.
Il est entré en vigueur le 10 décembre 2024, mais son application se fait progressivement.
Son principe est de responsabiliser davantage les entreprises qui commercialisent du matériel ou des logiciels. Jusqu’ici, la qualité du suivi de sécurité pouvait énormément varier d’un fabricant à l’autre.
L’Europe veut désormais imposer un socle commun : les produits doivent être conçus en tenant davantage compte de la cybersécurité, les vulnérabilités doivent être suivies après leur commercialisation et les utilisateurs doivent disposer de davantage d’informations sur la durée du support.
Le règlement concerne ce que l’Union européenne appelle des « produits comportant des éléments numériques », une définition suffisamment large pour englober aussi bien un logiciel qu’un routeur Wi-Fi ou un smartphone. :contentReference[oaicite:1]{index=1}
Ce qui change depuis le 11 septembre 2026
La majorité des règles du Cyber Resilience Act n’entreront en application qu’en décembre 2027.
Mais une première obligation importante est déjà entrée en vigueur le 11 septembre 2026.
Lorsqu’un fabricant prend connaissance d’une vulnérabilité activement exploitée dans l’un de ses produits, il doit désormais transmettre une première alerte dans un délai maximal de 24 heures.
Il doit ensuite fournir une notification plus complète sous 72 heures.
| Étape | Délai |
|---|---|
| Première alerte | 24 heures |
| Notification complète | 72 heures |
| Rapport final pour une vulnérabilité exploitée | Au plus tard 14 jours après la disponibilité d’une mesure corrective |
| Rapport final après un incident grave | Dans le mois suivant la notification des 72 heures |
Les fabricants doivent également signaler les incidents graves ayant un impact sur la sécurité de leurs produits. :contentReference[oaicite:2]{index=2}
Un exemple concret avec un routeur ou un smartphone
Prenons un cas simple.
Un fabricant découvre qu’une faille présente dans l’un de ses routeurs permet à un attaquant distant de prendre le contrôle de l’appareil.
Si la vulnérabilité existe uniquement en laboratoire et qu’aucune exploitation réelle n’a été détectée, elle ne déclenche pas nécessairement cette procédure d’urgence.
En revanche, si le fabricant apprend que des cybercriminels commencent effectivement à exploiter cette faille sur des appareils en circulation, le délai commence à courir.
Il doit alors alerter les autorités européennes dans les 24 heures, fournir davantage de détails sous 72 heures puis transmettre un rapport final après la mise en place d’une correction.
Le fabricant ne doit donc pas rendre publique chaque petite faille dans les 24 heures. La règle vise principalement les vulnérabilités déjà utilisées dans des attaques réelles.
Quels appareils et logiciels sont concernés ?
Le champ d’application est particulièrement large.
Le Cyber Resilience Act peut notamment concerner :
- les smartphones et ordinateurs ;
- les routeurs, box et équipements réseau ;
- les caméras et objets connectés ;
- les montres et appareils portables ;
- les applications et logiciels ;
- les systèmes d’exploitation ;
- certains composants matériels et logiciels.
La règle ne concerne donc pas seulement Apple, Google, Microsoft ou Samsung.
Une PME commercialisant un appareil domotique ou un logiciel professionnel dans l’Union européenne peut également être concernée.
Les obligations de signalement s’appliquent même aux produits déjà commercialisés avant l’application complète du CRA en 2027. :contentReference[oaicite:3]{index=3}
À quoi sert la nouvelle plateforme de l’ENISA ?
Pour éviter que les fabricants aient à effectuer la même déclaration dans chaque État membre, l’ENISA, l’agence européenne chargée de la cybersécurité, a lancé une plateforme unique appelée Single Reporting Platform.
Elle est opérationnelle depuis le 11 septembre.
Le fabricant effectue une seule déclaration, qui peut ensuite être transmise aux équipes nationales de réponse aux incidents et aux autorités concernées.
L’objectif est notamment de détecter plus rapidement lorsqu’une même vulnérabilité touche plusieurs pays ou plusieurs infrastructures.
L’ENISA précise que la plateforme intègre aussi des mécanismes destinés à protéger la confidentialité des informations transmises. :contentReference[oaicite:4]{index=4}
Qu’est-ce que cela va changer pour les utilisateurs ?
Pour le consommateur, le changement ne sera pas immédiatement visible dans l’interface de son smartphone.
L’intérêt se situe surtout dans la manière dont une crise de sécurité peut être gérée.
Lorsqu’une faille commence à être utilisée dans des attaques, les autorités européennes peuvent être informées rapidement, comparer les incidents entre plusieurs pays et coordonner plus facilement les réponses.
À terme, le Cyber Resilience Act doit également obliger les fabricants à fournir davantage d’informations sur le support de sécurité de leurs produits.
La Commission prévoit notamment que la date de fin de la période de support soit clairement communiquée aux utilisateurs lors de l’achat. :contentReference[oaicite:5]{index=5}
Le plus gros changement arrivera en décembre 2027
Le signalement sous 24 heures n’est que la première partie du dispositif.
À partir du 11 décembre 2027, le Cyber Resilience Act deviendra pleinement applicable.
Les fabricants devront notamment mieux intégrer la cybersécurité dès la conception de leurs produits, gérer les vulnérabilités pendant la période de support et fournir les mises à jour de sécurité nécessaires.
Les produits soumis au règlement devront également respecter les exigences permettant leur commercialisation dans l’Union européenne, avec le marquage CE correspondant.
Les sanctions peuvent être importantes : certaines violations des exigences principales ou des obligations de signalement peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial de l’entreprise, le montant le plus élevé étant retenu. :contentReference[oaicite:6]{index=6}
Pourquoi cette règle mérite d’être surveillée
Le Cyber Resilience Act pourrait avoir un impact bien plus large que le simple signalement d’une faille.
Il pousse progressivement les constructeurs à considérer la cybersécurité comme une caractéristique du produit au même titre que ses performances, sa consommation ou sa conformité électrique.
Pour le consommateur, le principal changement devrait surtout devenir visible à partir de 2027 : davantage de transparence sur la durée des mises à jour, des obligations plus fortes concernant la correction des failles et une responsabilité accrue des fabricants.
Depuis le 11 septembre 2026, cette transition a toutefois déjà commencé : lorsqu’une faille est réellement exploitée, les fabricants concernés ne disposent désormais que de 24 heures pour lancer le processus de signalement.
