Entrée en vigueur de nouvelles règles du Cyber Resilience Act

Depuis le 11 septembre 2026, une nouvelle étape du Cyber Resilience Act (CRA) est entrée en application. Les fabricants de produits comportant des éléments numériques vendus dans l'Union européenne doivent désormais signaler les vulnérabilités activement exploitées et les incidents de sécurité graves affectant leurs produits. Ces signalements doivent être soumis par l'intermédiaire d'une plateforme centralisée gérée par l'ENISA, l'Agence de l'Union européenne pour la cybersécurité.

Un signalement rapide exige une compréhension rapide

Le CRA impose aux entreprises d'émettre une alerte initiale dans les 24 heures suivant la découverte d'une vulnérabilité ou d'un incident, suivie d'un rapport plus détaillé dans les 72 heures. Ce délai serré représente un défi majeur, car les organisations doivent d'abord comprendre rapidement la situation avant de pouvoir la signaler. Ce changement marque une transformation structurelle importante, qui éloigne la réglementation d'une simple tâche de conformité.

Le test des 24 heures pour la visibilité en matière de cybersécurité

Le paysage numérique des entreprises s'est fortement étendu ces dernières années, des éléments tels que les services cloud, les logiciels tiers et les utilisateurs à distance ayant accru la complexité. Cette expansion signifie que les entreprises ne peuvent pas notifier les autorités dans les 24 heures si elles mettent plus de temps à comprendre le problème. La première exigence est donc la visibilité, c'est-à-dire la capacité à identifier rapidement les systèmes, les données et les utilisateurs touchés par un incident.

Trois capacités clés pour une réponse efficace

Le CRA incite les entreprises à se concentrer sur trois capacités essentielles : voir, comprendre et agir. Voir implique de maintenir une visibilité continue sur les environnements numériques et leurs dépendances. Comprendre signifie déterminer rapidement l'impact d'une vulnérabilité ou d'un incident sur les applications, les utilisateurs et les données. Agir suppose de disposer des outils techniques et procéduraux permettant de contenir les risques, d'isoler les composants touchés et de notifier les autorités sans délai.

Au-delà de la réglementation : un défi de gouvernance

Le CRA se distingue de la directive NIS2, qui porte sur la cybersécurité des services essentiels, en établissant un cadre de cybersécurité général pour les produits comportant des éléments numériques. Si les obligations de signalement ont débuté en septembre 2026, la plupart des règles du CRA entreront en vigueur en décembre 2027. Les entreprises traversent désormais une période d'adaptation, qu'elles peuvent considérer soit comme une contrainte réglementaire, soit comme une occasion de renforcer leur résilience numérique.

La maturité cyber révélée par la règle des 24 heures

Le délai de 24 heures pour le signalement constitue un test de la maturité cyber d'une organisation. Les entreprises capables de comprendre rapidement les incidents, d'identifier les systèmes touchés et d'agir immédiatement seront mieux préparées à respecter les exigences réglementaires. À long terme, le CRA offre l'occasion de transformer la conformité en un levier d'amélioration de la gestion numérique, renforçant ainsi la résilience face aux cybermenaces.