Depuis le 11 septembre 2026, une partie du règlement européen sur la cyberrésilience produit déjà ses effets. Le Cyber Resilience Act impose aux PME qui fabriquent des logiciels, des objets connectés ou d’autres produits numériques de signaler certains problèmes de sécurité dans des délais très courts. La première alerte peut devoir partir sous 24 heures, bien avant l’application de la majorité des autres obligations du texte.
Une obligation active avant le reste du règlement
Le calendrier peut prêter à confusion. Les principales exigences du Cyber Resilience Act s’appliqueront surtout à partir du 11 décembre 2027. Pourtant, son mécanisme de notification est entré en application dès le 11 septembre 2026.
Il concerne les fabricants de produits comportant des éléments numériques. Cette notion couvre notamment les matériels, les logiciels, les solutions associant matériel et logiciel, les objets connectés, certains équipements informatiques ou de télécommunication ainsi que certains systèmes d’intelligence artificielle.
Une petite entreprise qui édite une application, commercialise un appareil connecté ou développe une solution hybride peut donc être directement concernée. La taille de la structure ne suffit pas à l’écarter du dispositif. Son rôle dans la conception et la mise sur le marché du produit compte davantage.
Quels événements doivent être signalés ?
Deux catégories d’événements déclenchent la procédure : les vulnérabilités activement exploitées et les incidents graves ayant un effet sur la sécurité d’un produit comportant des éléments numériques.
Une vulnérabilité activement exploitée n’est pas une simple faiblesse théorique découverte pendant un audit. Elle suppose qu’un acteur malveillant exploite effectivement la faille. De même, un incident mineur sans conséquence significative sur la sécurité du produit ne devient pas automatiquement un incident grave au sens du règlement.
Tous les bugs, toutes les tentatives d’intrusion et toutes les interruptions de service ne sont donc pas déclarables. L’entreprise doit pouvoir qualifier rapidement l’événement, conserver les éléments disponibles et déterminer si les critères du règlement sont remplis.
24 heures, 72 heures, puis un rapport final
Le premier délai est particulièrement serré. Le fabricant doit transmettre une alerte précoce au plus tard 24 heures après avoir pris connaissance de la vulnérabilité activement exploitée ou de l’incident grave.
Le compteur ne commence pas lorsque la direction dispose de toutes les réponses, mais dès la prise de connaissance de l’événement concerné. L’alerte initiale sert précisément à prévenir rapidement les autorités, alors que l’enquête technique peut encore être en cours.
Une notification plus complète doit ensuite être déposée sous 72 heures. Elle apporte les informations disponibles sur la nature de l’événement, sa gravité, ses conséquences et les mesures engagées.
Pour une vulnérabilité activement exploitée, le rapport final doit être transmis dans les 14 jours suivant la disponibilité d’une mesure corrective ou d’atténuation. Pour un incident grave, il doit être remis dans le mois suivant la notification effectuée sous 72 heures.
Où déposer la notification ?
Les signalements passent par la plateforme unique dédiée au Cyber Resilience Act, mise en place par l’Agence de l’Union européenne pour la cybersécurité, l’ENISA. Ils sont adressés au CSIRT compétent dans l’État membre où se trouve l’établissement principal du fabricant.
Les informations sont également partagées avec l’ENISA, sauf circonstance exceptionnelle prévue par le dispositif. La préparation ne se limite donc pas à connaître une adresse de contact : il faut identifier l’entité déclarante, l’établissement principal et les personnes habilitées à transmettre les informations.
Comment une PME fabricante peut se préparer
La première étape consiste à dresser la liste des produits numériques commercialisés et à désigner un responsable de la procédure. Il faut ensuite relier les canaux susceptibles de détecter un problème : support client, prestataire d’hébergement, équipe de développement, outil de supervision, chercheur en sécurité ou fournisseur d’un composant logiciel.
Une fiche d’alerte simple peut faire gagner plusieurs heures. Elle peut regrouper la date de découverte, le produit et les versions concernés, les premiers indices d’exploitation, les conséquences observées, les mesures immédiates et les coordonnées des personnes chargées de la notification.
La PME doit également prévoir une permanence réaliste. Une faille découverte le vendredi soir ne suspend pas le délai de 24 heures. Les remplaçants, les accès à la plateforme et la validation de la direction doivent être organisés avant l’incident.
Cette organisation complète les réflexes classiques de cybersécurité : mises à jour, sauvegardes, surveillance des accès et maîtrise des comptes administrateurs. Une attaque visant un service tiers peut aussi avoir des répercussions importantes, comme le rappelle ce cas d’attaque impliquant Brevo et des sites WordPress.
Les PME clientes ont aussi des vérifications à faire
Une entreprise qui utilise un logiciel ou un objet connecté n’est pas automatiquement soumise à l’obligation du seul fait de cet usage. La responsabilité de notification repose principalement sur le fabricant. La situation peut toutefois différer lorsqu’une société commercialise le produit sous son nom, le modifie substantiellement ou intervient dans sa mise sur le marché.
Pour une PME cliente, l’enjeu consiste surtout à vérifier le contrat et les contacts du fournisseur. Qui prévenir en cas de faille observée ? Quel canal fonctionne en dehors des horaires habituels ? Sous quel délai le fabricant informe-t-il ses clients d’une mesure corrective ? Qui déploie la mise à jour ?
Un contact fournisseur obsolète peut ralentir toute la chaîne d’alerte. Il est donc utile de tester les coordonnées, de documenter les produits critiques et de prévoir la diffusion rapide d’un correctif auprès des équipes ou des clients concernés.
Depuis le 11 septembre 2026, le sujet n’est plus seulement préparatoire : la notification est active, même si l’essentiel du règlement arrivera en décembre 2027. Pour aborder le Cyber Resilience Act PME sans confusion, chaque entreprise doit d’abord déterminer son rôle exact, cartographier ses produits et fournisseurs, puis formaliser un circuit capable de fonctionner en 24 heures. Cette démarche générale ne remplace pas l’analyse adaptée à la situation juridique et technique de chaque structure.
Bertrand, rédacteur chevronné, explore l’univers du gaming avec une attention particulière aux nouvelles sorties et aux stratégies de jeu. Il offre un point de vue éclairé sur les évolutions du secteur et les impacts sur la culture numérique.
