OBLIGATION EN VIGUEUR
Une faille exploitée dans votre produit : 24 heures pour donner l'alerte
Depuis le 11 septembre 2026, un fabricant signale en 24 heures toute faille activement exploitée, même sur un produit déjà en vente. Quoi, à qui, comment.
Un attaquant exploite une faille de votre produit : vous avez 24 heures pour donner l'alerte.
Depuis le 11 septembre 2026, vous devez signaler toute faille activement exploitée dans vos produits. Cette obligation vise le fabricant et se mesure en heures.
L'essentiel du Cyber Resilience Act (CRA) attend le 11 décembre 2027. Le signalement, lui, est déjà applicable. Attendre n'est pas possible, mais c'est la partie la plus simple à mettre en place.
Article 69, paragraphe 3
Vos produits déjà en vente sont couverts
L'obligation couvre aussi les produits que vous vendez déjà.
Pas seulement ceux que vous mettrez sur le marché en décembre 2027. Un fabricant qui n'a rien préparé pour 2027 a donc déjà une obligation en cours sur son catalogue.
Le texte en détail : article 69, paragraphe 3
La lecture correcte de l'article 69, paragraphe 3, retenue après le rectificatif du 2 juillet 2025, est celle des produits mis sur le marché avant le 11 décembre 2027. L'article 14 s'applique donc à ces produits depuis le 11 septembre 2026.
Articles 3 et 14
Deux événements à signaler, et deux seulement
Deux événements déclenchent le signalement, et deux seulement.
Une faille activement exploitée
Un attaquant s'en est servi, et vous en avez des preuves fiables.
Un incident grave
Il menace la sécurité du produit : des données ou fonctions sensibles, ou l'arrivée d'un code malveillant.
Une faille publiée dans un avis de sécurité, ou trouvée par votre équipe ? Elle ne compte pas tant que rien ne montre qu'elle a été exploitée.
Pour l'incident grave, une seule des deux conditions suffit. Et vous n'avez pas à attendre que le dommage soit constaté.
Toutes les données et fonctions du produit ne sont pas visées : seules les « sensibles ou importantes » le sont. Vous devez donc savoir lesquelles avant l'incident. Cela se décide lors de l'évaluation des risques, pas dans les vingt-quatre heures.
Le texte en détail : article 3, point 42, et article 14, paragraphe 5
Une vulnérabilité activement exploitée est une vulnérabilité pour laquelle il existe des preuves fiables qu'elle a été exploitée par un acteur malveillant dans un système sans l'autorisation du propriétaire (article 3, point 42).
Un incident ayant des répercussions sur la sécurité du produit est considéré comme grave (article 14, paragraphe 5) : lorsqu'il « entache ou est susceptible d'entacher la capacité d'un produit comportant des éléments numériques à protéger la disponibilité, l'authenticité, l'intégrité ou la confidentialité de données ou fonctions sensibles ou importantes » ; ou lorsqu'il « a conduit ou est susceptible de conduire à l'introduction ou à l'exécution d'un code malveillant » dans le produit, ou dans le réseau et les systèmes d'information d'un utilisateur du produit.
Article 14, paragraphes 2 et 4
Alerter en 24 heures, notifier en 72 heures, conclure ensuite
Le calendrier compte trois étapes : une alerte très rapide, une notification plus complète, puis un rapport final.
Il est le même pour les deux événements. Seul le départ du rapport final change.
Le texte en détail : article 14, paragraphes 2 et 4
| Étape | Vulnérabilité activement exploitée | Incident grave |
|---|---|---|
| Alerte précoce | 24 heures, art. 14(2) a) | 24 heures, art. 14(4) a) |
| Notification | 72 heures, art. 14(2) b) | 72 heures, art. 14(4) b) |
| Rapport final | 14 jours après la mise à disposition d'un correctif ou d'une mesure d'atténuation, art. 14(2) c) | 1 mois après la notification, art. 14(4) c) |
Les 24 heures demandent une alerte, pas un dossier. Cette alerte précoce, c'est le premier message : il dit, vite, qu'il se passe quelque chose. L'analyse vient avec la notification à 72 heures. La démonstration, avec le rapport final. Qui confond les trois rate la première en préparant la troisième.
Pour une faille, le rapport final part du correctif, pas de la découverte. Vous n'avez pas à corriger en quatorze jours : vous rendez compte dans les quatorze jours qui suivent le correctif.
ENISA et CERT-FR
Un seul canal : la plateforme unique de l'ENISA
Vous signalez sur une seule plateforme, celle de l'ENISA, l'agence européenne de cybersécurité.
Elle transmet en même temps à l'ENISA et à l'autorité nationale compétente : en France, le CERT-FR. Elle est en service depuis le 11 septembre 2026. Apprenez à vous en servir avant d'en avoir besoin.
En France, le CERT-FR de l'ANSSI reçoit les signalements et coordonne la diffusion de l'information. Le contrôle du marché revient à l'ANFR, l'Agence nationale des fréquences, avec l'appui technique de l'ANSSI. Ce cadre français est suivi et daté sur l'état du droit.
Le texte en détail : article 14 et cadre français
Le signalement est adressé simultanément au CSIRT coordinateur désigné et à l'ENISA, par la plateforme unique de signalement. En France, le CSIRT coordinateur est le CERT-FR de l'ANSSI (source : ANSSI).
Le cadre national est organisé par la loi d'adaptation au droit de l'Union (DDADUE), dont l'article 32 a été adopté par le Sénat le 18 février 2026.
Article 14, paragraphe 8
Vous devez aussi prévenir vos clients
L'obligation la plus souvent oubliée vise vos clients, pas les autorités.
Vous informez les utilisateurs touchés, et si besoin des mesures qu'ils peuvent prendre.
Il vous faut donc :
Une liste à jour
des utilisateurs de chaque produit.
Un message prêt d'avance,
car un message écrit dans l'urgence inquiète plus qu'il n'aide.
Si vous ne prévenez pas vos clients à temps, les autorités peuvent le faire à votre place. L'information sortira : la seule question est de savoir si elle sort de chez vous.
Le texte en détail : article 14, paragraphe 8
Le fabricant qui prend connaissance d'une vulnérabilité activement exploitée ou d'un incident grave informe les utilisateurs du produit touché et, s'il y a lieu, tous les utilisateurs, ainsi que, si nécessaire, des mesures correctives ou d'atténuation qu'ils peuvent mettre en place.
Le texte ajoute une exigence de forme : cette information se fait « s'il y a lieu dans un format structuré, lisible par machine pouvant être facilement traité automatiquement ».
Lorsque le fabricant n'informe pas les utilisateurs en temps utile, les CSIRT notifiés désignés comme coordinateurs peuvent fournir eux-mêmes ces informations, lorsqu'ils le jugent proportionné et nécessaire.
Article 64
Micro et petites entreprises : l'obligation reste, l'amende tombe
Une micro ou petite entreprise ne peut pas être sanctionnée si elle dépasse les 24 heures de l'alerte précoce.
L'allègement porte sur l'amende, pas sur l'obligation : le signalement reste dû, comme les autres délais.
- 24 heures
- de l'alerte précoce
- 15 millions d'euros
- ou 2,5 % du chiffre d'affaires annuel mondial
Pour un manquement au signalement, le plafond des amendes est de 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial.
Le texte en détail : article 64
Les micro et petites entreprises ne peuvent pas être sanctionnées pour le dépassement du délai de 24 heures de l'alerte précoce (article 64, paragraphe 10, point a)).
Le plafond applicable aux manquements aux articles 13 et 14 est de 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 64).
En pratique
Quatre pièces à préparer avant l'incident, sans budget
Tout le travail utile se fait avant l'incident.
Ce jour-là, personne n'a le temps de chercher la procédure, ni d'ouvrir un compte sur une plateforme européenne. Quatre pièces suffisent, sans budget.
Une adresse publique pour signaler une faille
Sur votre site et dans la documentation du produit. C'est aussi une exigence de sécurité : posez-la tout de suite.
Une politique de divulgation coordonnée
Une règle écrite : comment vous recevez un signalement extérieur, et ce que vous en faites.
Une procédure interne d'une page
Qui qualifie, qui décide, qui rédige, qui envoie, et qui remplace chacun. Plus longue, elle ne sera pas lue.
Un accès à la plateforme de l'ENISA
Créé et testé à froid, par au moins deux personnes. Avec un seul accès, la procédure tombe en congés.
Le texte en détail : annexe I, partie II, points 5 et 6
L'adresse de contact pour le signalement des vulnérabilités est une exigence de l'annexe I, partie II, point 6. La politique de divulgation coordonnée des vulnérabilités figure à l'annexe I, partie II, point 5.
Votre produit émet ou reçoit des ondes radio et se connecte à internet ? Des exigences de cybersécurité s'appliquent déjà depuis le 1er août 2025.
Le jour d'une faille, 24 heures passent vite. Dans votre espace, le registre de signalement suit vos délais, produit par produit.
Votre dossier passe ces exigences en revue, point par point. Sa veille vous rappelle les délais de signalement.
Êtes-vous fabricant au sens du règlement, donc tenu de signaler ? Le diagnostic répond en treize questions au maximum, sans création de compte : commencer le diagnostic.
Questions fréquentes
Mon produit est déjà en vente. Suis-je concerné ?
Oui. Le signalement s'applique depuis le 11 septembre 2026 aux produits mis sur le marché avant le 11 décembre 2027. Un produit conçu avant l'entrée en application du règlement n'est pas exclu. C'est la lecture retenue après le rectificatif du 2 juillet 2025 à l'article 69, paragraphe 3.
Qu'est-ce qu'une vulnérabilité activement exploitée ?
Une faille dont on a des preuves fiables qu'un attaquant l'a exploitée dans un système, sans l'autorisation du propriétaire. La preuve d'exploitation est le critère. Une faille connue mais sans exploitation constatée n'en est pas une (art. 3, point 42).
Faut-il signaler une faille que personne n'exploite ?
Non, pas au titre du signalement en 24 heures. Elle relève en revanche de la gestion des vulnérabilités, applicable le 11 décembre 2027 : correction sans retard, information sur les failles corrigées, diffusion des correctifs (annexe I, partie II).
À qui envoyer le signalement en France ?
Vous passez par la plateforme unique de l'ENISA. Elle adresse le signalement en même temps à l'ENISA et au CSIRT coordinateur, en France le CERT-FR de l'ANSSI (source : ANSSI). La surveillance du marché relève de l'ANFR.
Que se passe-t-il si je dépasse les 24 heures ?
Une micro ou petite entreprise ne peut pas être sanctionnée pour ce retard (art. 64, paragraphe 10, point a)). Pour les autres, le plafond est de 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (art. 64). Dans tous les cas, l'obligation de signaler demeure.
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.