📰 Source : Dark Reading (Nate Nelson), publié le 10 septembre 2026.

Contexte

Le Cyber Resilience Act (CRA) de l’Union européenne entre partiellement en vigueur le 11 septembre 2026, soit plus d’un an avant l’application complète prévue en décembre 2027. La partie anticipée concerne exclusivement les obligations de signalement des incidents de sécurité produit.

Périmètre d’application

  • Toute organisation distribuant des produits dans un État membre de l’UE, qu’elle soit physiquement établie dans l’UE ou non
  • Produits matériels et logiciels, à destination des entreprises comme des particuliers, dès lors qu’ils disposent d’une connectivité réseau
  • Exclusions : technologies déjà régulées par d’autres textes européens, et logiciels open source

Nouvelles obligations de signalement

🕐 Délais imposés :

  • 24 heures : notification initiale à l’ENISA via la Single Reporting Platform (SRP) dès qu’une indication raisonnable d’un incident est détectée
  • 72 heures (inclus dans les 24h, non en sus) : notification complète incluant sévérité, impact et mesures de mitigation pour les utilisateurs
  • ~2 semaines après disponibilité d’un correctif : rapport de sécurité formel
  • 1 mois : rapport final et complet

🔍 Événements déclencheurs :

  • Vulnérabilités activement exploitées dans les produits du fabricant
  • Incidents de sécurité graves affectant la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou fonctionnalités sensibles (ex. : compromission de chaîne d’approvisionnement)

⚠️ Non concerné : les vulnérabilités connues mais non encore activement exploitées, quelle que soit leur sévérité

Sanctions financières

  • Jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial annuel (le montant le plus élevé s’applique)
  • Exemptions pour les microentreprises (< 10 employés, < 2 M€ de CA) et petites entreprises (< 50 employés, < 10 M€ de CA) concernant le délai de 24h
  • Évaluations de conformité proportionnées pour les PME

Nuances et limites

  • L’article 16(2) du CRA autorise un retard de diffusion des notifications dans des circonstances exceptionnelles, sur demande du fabricant, pour des raisons de sensibilité de l’information
  • Le Dr. Aram Hovsepyan (CEO de Codific, membre fondateur d’OWASP EU) souligne que les amendes GDPR effectives ont historiquement été bien inférieures aux maximums légaux
  • La principale difficulté identifiée est la tension entre obligations de conformité et gestion de la réputation lors d’un incident

Type d’article

Article de presse spécialisée à visée informative, décrivant l’entrée en vigueur d’une réglementation européenne de cybersécurité et ses implications pratiques pour les organisations concernées.

🟡 Indice de vérification factuelle : 35/100 (moyenne)

  • ✅ darkreading.com — source reconnue (liste interne) (20pts)
  • ✅ 11017 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ⬜ aucune TTP identifiée (0pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.darkreading.com/cybersecurity-operations/eu-cyber-resilience-act-reporting-requirements