Le signalement en 24 heures, 72 heures, 14 jours
L'article 14 est applicable depuis le 11 septembre 2026. Quoi signaler, à qui, dans quels délais, et par quelle plateforme.
Sur cette page
L'essentiel du Cyber Resilience Act (CRA) attend le 11 décembre 2027, mais pas l'article 14 : les obligations de signalement sont applicables depuis le 11 septembre 2026. Elles visent le fabricant, elles couvrent les produits déjà en vente, et elles se mesurent en heures. C'est la seule partie du règlement pour laquelle attendre n'est pas une option, et c'est aussi la plus simple à mettre en place.
Ce qui est en vigueur depuis le 11 septembre 2026
Depuis cette date, un fabricant qui découvre une vulnérabilité activement exploitée dans l'un de ses produits doit la signaler, dans un délai qui se compte en heures. La même obligation vaut pour les incidents graves ayant des répercussions sur la sécurité du produit.
Le point qui surprend le plus est celui-ci : l'obligation ne s'applique pas seulement aux produits que vous mettrez sur le marché en décembre 2027. Elle couvre ceux que vous vendez aujourd'hui. La lecture correcte de l'article 69, paragraphe 3, retenue après le rectificatif du 2 juillet 2025, est celle des produits mis sur le marché avant le 11 décembre 2027.
Autrement dit, un fabricant qui n'a encore rien préparé pour 2027 a déjà une obligation en cours sur son catalogue actuel.
Ce qu'il faut signaler
Deux événements déclenchent le signalement, et deux seulement. Le premier est la vulnérabilité activement exploitée contenue dans le produit. Le second est l'incident grave ayant des répercussions sur la sécurité du produit.
La vulnérabilité activement exploitée a une définition précise : une vulnérabilité pour laquelle il existe des preuves fiables qu'elle a été exploitée par un acteur malveillant dans un système sans l'autorisation du propriétaire (art. 3, point 42). Deux éléments sont donc nécessaires : des preuves fiables, et une exploitation réelle. Une faille publiée dans un avis de sécurité, ou trouvée par votre propre équipe, n'entre pas dans cette définition tant que rien ne montre qu'elle a été exploitée.
L'incident grave, lui, est défini par un seuil à deux branches, et l'une suffit. Aux termes de l'article 14, paragraphe 5, un incident ayant des répercussions sur la sécurité du produit est considéré comme grave lorsqu'il « entache ou est susceptible d'entacher la capacité d'un produit comportant des éléments numériques à protéger la disponibilité, l'authenticité, l'intégrité ou la confidentialité de données ou fonctions sensibles ou importantes », ou lorsqu'il « a conduit ou est susceptible de conduire à l'introduction ou à l'exécution d'un code malveillant » dans le produit, ou dans le réseau et les systèmes d'information d'un utilisateur du produit.
Deux mots de ce seuil méritent d'être lus lentement. « Est susceptible de » : le signalement ne demande pas d'attendre que le dommage soit constaté. Et « sensibles ou importantes » : toutes les données et toutes les fonctions du produit ne sont pas visées, ce qui suppose de savoir, avant l'incident, lesquelles le sont. C'est une décision qui se prend au moment de l'évaluation des risques, pas dans les vingt-quatre heures qui suivent.
Trois échéances, deux compteurs
Le calendrier est le même dans son ossature pour les deux événements : une alerte très rapide, une notification plus complète, puis un rapport final. Seule la date de départ du rapport final change.
Les 24 heures ne demandent pas un dossier. Elles demandent de dire, vite, qu'il se passe quelque chose. Le travail d'analyse a sa place dans la notification à 72 heures, et la démonstration dans le rapport final. Une organisation qui confond ces trois étapes rate la première en essayant de produire la troisième.
Le compteur du rapport final, pour une vulnérabilité, part de la mise à disposition du correctif et non de la découverte. C'est une bonne nouvelle pour les équipes techniques : le règlement n'impose pas de corriger en quatorze jours, il impose de rendre compte dans les quatorze jours qui suivent le correctif.
À qui le signalement est adressé
Le signalement est adressé simultanément à deux destinataires : le CSIRT coordinateur désigné et l'ENISA. Il passe par la plateforme unique de signalement de l'ENISA, en service depuis le 11 septembre 2026.
En France, les rôles de surveillance du marché et d'autorité notifiante sont annoncés par les autorités et portés par l'article 32 d'un projet de loi adopté par le Sénat le 18 février 2026, en cours d'examen à l'Assemblée nationale et non adopté à ce jour. La désignation du CSIRT coordinateur français n'est pas confirmée par une source primaire à cette date. Ce point est suivi, daté et corrigé au fil des textes sur l'état du droit.
En pratique, cette incertitude ne bloque rien : le canal est la plateforme européenne, et c'est elle qu'il faut savoir utiliser avant d'en avoir besoin.
Les utilisateurs doivent aussi être informés
L'obligation la plus souvent oubliée n'est pas tournée vers les autorités, mais vers vos clients. Le fabricant doit informer les utilisateurs concernés de la vulnérabilité ou de l'incident, et le cas échéant des mesures qu'ils peuvent prendre.
Cela change deux choses dans une PME. Il faut savoir qui sont les utilisateurs d'un produit donné, ce qui suppose une liste à jour. Et il faut un texte prêt, parce qu'un message écrit dans l'urgence est un message qui inquiète plus qu'il n'aide.
Cette obligation est portée par l'article 14, paragraphe 8. Le fabricant qui prend connaissance d'une vulnérabilité activement exploitée ou d'un incident grave informe les utilisateurs du produit touché et, s'il y a lieu, tous les utilisateurs, ainsi que, si nécessaire, des mesures correctives ou d'atténuation qu'ils peuvent mettre en place. Le texte ajoute une exigence de forme : cette information se fait « s'il y a lieu dans un format structuré, lisible par machine pouvant être facilement traité automatiquement ».
Le même paragraphe prévoit ce qui se passe en cas de silence. Lorsque le fabricant n'informe pas les utilisateurs en temps utile, les CSIRT notifiés désignés comme coordinateurs peuvent fournir eux-mêmes ces informations aux utilisateurs, lorsqu'ils le jugent proportionné et nécessaire. Autrement dit, l'information sortira : la seule question est de savoir si elle sort de chez vous ou d'ailleurs.
Micro et petites entreprises : l'obligation reste, l'amende tombe
Le règlement prévoit un allègement réel pour les plus petites structures : les micro et petites entreprises ne peuvent pas être sanctionnées pour le dépassement du délai de 24 heures de l'alerte précoce (art. 64, paragraphe 10, point a).
Cet allègement porte sur la sanction, pas sur l'obligation. Le signalement reste dû, et les autres délais restent opposables. Pour mémoire, le plafond applicable aux manquements aux articles 13 et 14 est de 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (art. 64).
Ce qu'il faut avoir en place avant l'incident
Tout le travail utile se fait avant, pas pendant. Le jour où une exploitation active est constatée, personne n'a le temps de découvrir la procédure, de chercher qui décide, ni d'ouvrir un compte sur une plateforme européenne.
Quatre pièces suffisent à tenir l'article 14, et aucune ne demande de budget.
Une adresse de contact publique pour le signalement des vulnérabilités, affichée sur votre site et dans la documentation du produit. C'est aussi une exigence de l'annexe I, partie II, point 6, donc autant la poser tout de suite.
Une politique de divulgation coordonnée des vulnérabilités, écrite, qui dit comment vous recevez un signalement extérieur et ce que vous en faites. Elle figure à l'annexe I, partie II, point 5.
Une procédure interne d'une page : qui qualifie l'événement, qui décide de signaler, qui rédige, qui envoie, et qui remplace chacun en cas d'absence. Elle doit tenir sur une page, sinon elle ne sera pas lue le jour venu.
Un accès à la plateforme unique de signalement, créé et testé à froid, par au moins deux personnes. Une procédure valide avec un seul détenteur d'accès est une procédure qui tombe en congés.
Si votre produit émet ou reçoit des ondes radio et se connecte à internet, la question du signalement en rejoint une autre, plus immédiate encore : les exigences de cybersécurité du RED sont applicables depuis le 1er août 2025, donc depuis plus d'un an.
Pour savoir si vous êtes fabricant au sens du règlement, et donc visé par l'article 14, le diagnostic de ce site répond en treize questions au maximum, sans création de compte.
Questions fréquentes
Mon produit est déjà en vente. Suis-je concerné ?
Oui. Les obligations de signalement de l'article 14 sont applicables depuis le 11 septembre 2026 et couvrent les produits mis sur le marché avant le 11 décembre 2027, selon la lecture retenue après le rectificatif du 2 juillet 2025 à l'article 69, paragraphe 3. Le fait qu'un produit ait été conçu avant l'entrée en application du règlement ne l'exclut pas.
Qu'est-ce qu'une vulnérabilité activement exploitée ?
C'est une vulnérabilité pour laquelle il existe des preuves fiables qu'elle a été exploitée par un acteur malveillant dans un système sans l'autorisation du propriétaire (art. 3, point 42). La preuve d'exploitation est le critère. Une vulnérabilité connue mais sans exploitation constatée ne relève pas de cette définition.
Faut-il signaler une faille que personne n'exploite ?
Non, pas au titre de l'article 14, qui vise la vulnérabilité activement exploitée et l'incident grave. Elle relève en revanche des obligations de gestion des vulnérabilités de l'annexe I, partie II, applicables le 11 décembre 2027 : correction sans retard, publication d'information sur les vulnérabilités corrigées, diffusion des correctifs.
À qui envoyer le signalement en France ?
Le signalement est adressé simultanément au CSIRT coordinateur désigné et à l'ENISA, via la plateforme unique de signalement. La désignation du CSIRT coordinateur français n'est pas confirmée par une source primaire à ce jour. Le canal opérationnel reste la plateforme européenne.
Que se passe-t-il si je dépasse les 24 heures ?
Le dépassement de l'alerte précoce ne peut pas être sanctionné pour les micro et petites entreprises (art. 64, paragraphe 10, point a). Pour les autres, le manquement aux obligations de l'article 14 relève du plafond de 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (art. 64). Dans tous les cas, l'obligation de signaler demeure.
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.