Signalement en 24 heures : vulnérabilités exploitées et incidents graves

Depuis le 11 septembre 2026, le Cyber Resilience Act impose au fabricant un signalement en 24 heures quand une faille de son produit est exploitée par un attaquant, ou quand un incident grave touche sa sécurité. Une notification suit sous 72 heures, puis un rapport final. L'obligation vaut aussi pour les produits déjà vendus.

Ce qui déclenche un signalement

• une vulnérabilité activement exploitée : il existe des preuves fiables qu'un acteur malveillant l'a utilisée sans autorisation (article 3, point 42) ;
• un incident grave : il atteint ou peut atteindre la capacité du produit à protéger ses données ou ses fonctions, ou il a permis d'introduire du code malveillant dans le produit ou chez ses utilisateurs (article 14, paragraphe 5).

Une faille découverte sans preuve d'exploitation ne se signale pas obligatoirement au titre du règlement. Elle se corrige, et peut être signalée volontairement (article 15). En France, d'autres textes peuvent imposer une notification à l'ANSSI.

Les trois envois et leurs délais

Les délais courent quand le fabricant a connaissance de l'événement. Selon les orientations de la Commission de juillet 2026, non contraignantes, c'est le moment où il en a une certitude raisonnable, après une évaluation initiale menée sans attendre. Notez l'heure du premier signal et celle de la conclusion.

Le fabricant informe aussi les utilisateurs touchés et leur dit quoi faire (article 14, paragraphe 8).

Où envoyer : la plateforme de l'ENISA et le CERT-FR

Tout passe par la plateforme unique de signalement de l'ENISA, en service depuis le 11 septembre 2026 (article 16). La notification part vers le CSIRT de l'État de votre établissement principal. En France, c'est le CERT-FR, rattaché à l'ANSSI.

Ce que dit la foire aux questions de l'ENISA, mise à jour le 15 octobre 2026 :

• la plateforme est en anglais seulement, sans interface de programmation (API) dans sa première version ;
• l'accès se fait par un compte EU Login avec double authentification ;
• une notification envoyée au mauvais CSIRT peut être invalidée ;
• le compteur affiché est un rappel : le délai légal court depuis la prise de connaissance.

Les micro et petites entreprises

Elles ne paient pas d'amende pour le seul dépassement du délai de 24 heures de l'alerte précoce (article 64, paragraphe 10, corrigé en 2025). L'alerte reste due, et les autres manquements restent sanctionnables. Le besoin est réel : dans l'enquête de l'ENISA de juin 2026, 36 % des micro-entreprises n'avaient aucun plan de réponse aux incidents.

Préparer le signalement en 24 heures

1. Écrivez la procédure : qui reçoit l'alerte, qui qualifie, qui notifie, avec un suppléant pour chaque rôle.
2. Créez les comptes EU Login du responsable et de son suppléant, avec double authentification.
3. Gardez prêts les éléments fixes : produits, versions, pays de vente, coordonnées.
4. Préparez le message aux utilisateurs.
5. Faites un exercice chronométré, de l'alerte reçue à l'alerte précoce envoyée.

Notre modèle de procédure de signalement reprend ces étapes, à remplir.