Cyber Resilience Act : depuis le 11 septembre 2026, les fabricants doivent signaler les failles exploitées
En bref
Depuis le 11 septembre 2026, les fabricants de produits numériques vendus dans l’Union doivent signaler les failles activement exploitées et les incidents graves, par une plateforme unique de l’ENISA. Les exigences principales du règlement suivront le 11 décembre 2027. Pour une PME, rien ne remplace l’installation des mises à jour sur son propre matériel.
Une borne Wi-Fi, un pare-feu, une caméra ou un commutateur ont un logiciel, et ce logiciel a parfois des failles. Jusqu’ici, rien n’obligeait le fabricant à prévenir les autorités quand l’une d’elles était déjà utilisée par des pirates. Depuis le 11 septembre 2026, c’est le cas dans l’Union européenne. Voici ce que dit la règle, et ce qu’elle change, ou non, pour une PME.
Que dit le Cyber Resilience Act ?
Le Cyber Resilience Act (CRA) est un règlement européen sur la sécurité des produits qui contiennent du logiciel ou se connectent à un réseau, les « produits comportant des éléments numériques ». D’après la Commission européenne (page lue le 25 octobre 2026) :
- il est entré en vigueur le 10 décembre 2024 ;
- les obligations de signalement s’appliquent depuis le 11 septembre 2026 ;
- les obligations principales s’appliqueront à partir du 11 décembre 2027 ;
- les produits conformes porteront le marquage CE, et certains devront passer par un organisme notifié avant d’être vendus dans l’Union.
La Commission présente le règlement comme une réponse à deux problèmes : la faible sécurité de nombreux produits, et le manque de mises à jour de sécurité livrées à temps.
Qu’est-ce qui a changé le 11 septembre 2026 ?
Le même jour, l’ENISA, l’agence européenne pour la cybersécurité, a ouvert la plateforme unique de signalement (communiqué du 11 septembre 2026, lu le 25 octobre 2026). Depuis cette date :
- les fabricants doivent signaler les failles activement exploitées et les incidents graves qui touchent la sécurité de leurs produits ;
- le signalement arrive d’abord à l’équipe nationale de réponse aux incidents (CSIRT) désignée comme coordinatrice, qui le transmet aux CSIRT des autres pays où le produit est vendu ; l’ENISA y a aussi accès ;
- pour les logiciels libres, les organisations qui encadrent leur développement n’y seront tenues qu’à partir du 11 décembre 2027.
Les pages de l’ENISA et de la Commission que nous avons lues ne donnent pas les délais de signalement : nous ne les écrivons donc pas ici.
| Depuis le 11 septembre 2026 | À partir du 11 décembre 2027 | |
|---|---|---|
| Signaler les failles exploitées et les incidents graves | Oui, pour les fabricants | Aussi pour les organisations qui encadrent des logiciels libres |
| Exigences de sécurité des produits | Pas encore | Oui, obligations principales du règlement |
| Marquage CE au titre du CRA | Pas encore | Sur les produits conformes |
Qu’est-ce que cela change pour une PME ?
Une PME qui achète et utilise du matériel n’est pas le fabricant : le signalement n’est pas pour elle. L’effet attendu est indirect. Quand une faille est déjà exploitée, les autorités l’apprennent du fabricant lui-même, et peuvent, en principe, prévenir plus tôt ceux qui utilisent le produit.
Mais signaler une faille ne la corrige pas sur votre matériel. Le correctif doit encore être téléchargé, puis installé sur votre pare-feu, vos bornes ou votre enregistreur de caméras. C’est souvent là que tout bloque : personne n’est chargé de le faire, ou personne ne sait quel matériel tourne dans l’armoire. Notre article Mises à jour des bornes et du pare-feu : pourquoi il faut s’en occuper détaille cette routine, et le guide complet de la cybersécurité du réseau pour une PME la replace parmi les autres protections.
Que faire dès maintenant ?
Trois gestes, sans rien acheter :
- Faire la liste du matériel réseau : passerelle ou pare-feu, commutateurs, bornes Wi-Fi, enregistreur de caméras, avec leur modèle.
- Noter qui reçoit les avis du fabricant : une adresse e-mail suivie, pas celle d’un ancien prestataire.
- Décider qui installe les correctifs, et quand, pour qu’une mise à jour publiée ne reste pas des mois en attente.
D’ici décembre 2027, au moment de remplacer un équipement, le marquage CE au titre du CRA deviendra aussi un repère à regarder.
Ce que fait SateLink
Romuald et son équipe posent des réseaux UniFi et en remettent les plans et les accès à la fin du chantier. Avec la maintenance Sérénité, le réseau est supervisé à distance, les mises à jour critiques sont appliquées et les failles connues surveillées. L’assistance répond 7 jours sur 7, de 8 h à 20 h.
En résumé
- Le Cyber Resilience Act est en vigueur depuis le 10 décembre 2024.
- Depuis le 11 septembre 2026, les fabricants doivent signaler les failles activement exploitées et les incidents graves, par la plateforme unique de l’ENISA.
- Les exigences principales du règlement et le marquage CE suivront à partir du 11 décembre 2027.
- Pour une PME, l’essentiel ne change pas : connaître son matériel et installer les correctifs.
L’appel de cadrage est gratuit : trente minutes avec Romuald pour faire le point sur les mises à jour de votre réseau.
