Etes-vous conforme au premier jalon du cyber resilience act ?
Le CRA prévoit une série d’obligations à mettre en œuvre suivant un calendrier progressif jusqu’au 11 décembre 2027, date à laquelle toutes les exigences seront impératives. L’échéance du 11 septembre 2026 en constitue déjà une étape clé.
Le 11 décembre 2027 demeure l’échéance majeure de conformité à l’ensemble des exigences du CRA. À cette date, les produits comportant des éléments numériques devront être conçus selon les principes de security by design et de security by default. Les opérateurs devront alors démontrer que les risques de cybersécurité ont été identifiés, évalués et réduits tout au long du cycle de vie du produit.
Également, les fabricants devront mettre en œuvre des procédures de gestion des vulnérabilités, assurer le suivi et la correction des failles de sécurité et maintenir une documentation technique de conformité.
Si un socle commun d’exigences s’applique à tous les produits concernés, les modalités d’évaluation de conformité sont renforcées pour les produits importants et critiques.
Le signalement des incidents et vulnérabilités activement exploitées depuis le 11 septembre 2026
Depuis le 11 septembre 2026, l’article 14 du CRA impose aux fabricants de notifier à l’ Agence de l’Union européenne pour la cybersécurité (ou European Union Agency for Cybersecurity, ENISA) les vulnérabilités activement exploitées ainsi que certains incidents graves affectant des produits comportant des éléments numériques.
Une vulnérabilité activement exploitée consiste en une faille de sécurité dont il existe des preuves fiables qu’elle a été utilisée dans le cadre d’attaques notamment pour prendre le contrôle d’un système, déployer un rançongiciel ou exfiltrer des données. Elle se distingue ainsi d’une vulnérabilité identifiée lors d’un audit mais dont l’exploitation n’est pas établie.
Un incident grave de sécurité désigne, quant à lui, un incident affectant ou susceptible d’affecter significativement la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données sensibles ou importantes, des fonctions du produit ou conduisant ou pouvant conduire à l’introduction ou à l’exécution d’un code malveillant.
Cette première exigence opérationnelle vise donc de manière large les évènements de sécurité, affectant un produit comportant des éléments numériques.
Focus sur le signalement des vulnerabilites et incidents
L’obligation de signaler les vulnérabilités activement exploitées repose sur une logique non rétroactive. Pour déterminer ce qui doit être notifié, il convient donc de se placer à la date à laquelle le fabricant a eu connaissance de l’exploitation active, avant ou après le 11 septembre 2026.
Que faut-il obligatoirement signaler à compter du 11 septembre 2026 ?
L’article 14 du CRA précise que doivent ainsi être signalées les vulnérabilités activement exploitées affectant un produit comportant des éléments numériques, à compter du 11 septembre 2026. Cette obligation s’applique également aux produits déjà mis sur le marché. Cette obligation de notification vise les situations dans lesquelles une faille fait effectivement l’objet d’une exploitation par un acteur malveillant et présente un risque réel pour les utilisateurs du produit.
C’est notamment le cas de la découverte d’une vulnérabilité affectant un logiciel activement utilisé, dans le cadre d’une campagne d’attaque ciblant des utilisateurs du produit.
S’agissant de l’incident grave de sécurité, il peut s’agir d’un évènement affectant la disponibilité, l’intégrité, l’authenticité ou la confidentialité des données ou fonctions du produit : rançongiciel, compromission d’un compte administrateur ou exfiltration de données.
Qu’en est-il des vulnérabilités antérieures au 11 septembre 2026 ?
Les vulnérabilités activement exploitées dont le fabricant avait déjà connaissance avant le 11 septembre 2026 ne font, elles, pas l’objet d’une obligation rétroactive de notification. Cette approche a été confirmée par les travaux préparatoires et les orientations de mise en œuvre du CRA.
Pour autant, lorsque le fabricant n’a connaissance de l’exploitation active qu’après le 11 septembre 2026, un signalement devra toutefois être effectué. Également, des signalements volontaires restent possibles, l’article 15 du CRA ne devenant toutefois applicable qu’à compter du 11 décembre 2027. Une telle démarche peut contribuer à démontrer la diligence du fabricant dans sa gestion des vulnérabilités.
En pratique, comment s’effectue la notification des vulnerabilites exploitees ?
La plateforme dédiée de l’ENISA : Single Reporting Platform (SRP)
L’ENISA a mis en place une Plateforme de notification (Single Reporting Platform, SRP) accessible depuis le 11 septembre 2026. L’accès à la SRP suppose de disposer d’un compte de connexion UE actif « EU Login » et de passer par une authentification multi facteur. Cette complexité permet de sécuriser les échanges et d’assurer la traçabilité des déclarations effectuées par les fabricants. Il est toutefois précisé que la SRP est exclusivement destinée à recevoir les notifications relatives aux vulnérabilités activement exploitées et aux incidents graves relevant du champ d’application du CRA. L’ENISA préconise aux fabricants de ne pas s’enregistrer sur la plateforme par anticipation, mais uniquement lorsqu’une notification est nécessaire, afin de ne pas engorger les CSIRT nationaux.
Le contenu de la notification
La notification doit permettre aux autorités compétentes de comprendre la vulnérabilité ou l’incident concerné, son niveau de criticité, son impact potentiel ainsi que les mesures de remédiation envisagées ou déjà mises en œuvre. Il s’agit notamment de l’identification du produit, de la description de l’incident, du niveau de criticité et des mesures correctives envisagées.
Le mécanisme repose sur une logique progressive comprenant :
- Une alerte précoce dans les 24 heures suivant la prise de connaissance de l’incident ;
- Une notification plus détaillée dans un délai de 72 heures ;
- Un rapport final sous 14 jours après la mise à disposition d’une mesure corrective ou d’atténuation pour une vulnérabilité ou 1 mois après la notification pour un incident grave de sécurité (art. 14§4 alinéa c).
A retenir
Le CRA appelle davantage qu’une obligation de notification : il suppose en pratique une gouvernance structurée associant RSSI, direction juridique, équipes produit, sécurité, conformité et gestion des risques.
Si certaines obligations sont applicables depuis le 11 septembre 2026, l’échéance du 11 décembre 2027 doit être préparée dès maintenant. Gouvernance des vulnérabilités, procédures de signalement, documentation de conformité, marquage CE et exercices de crise nécessitent une réelle anticipation. La conformité au CRA étant avant tout un projet d’organisation et de préparation.
***
Le cabinet HAAS Avocats est spécialisé depuis trente ans en droit des nouvelles technologies et de la propriété intellectuelle. Il accompagne les acteurs du numérique face à leurs problématiques diverses en la matière, aussi bien en précontentieux qu’en contentieux. Dans un monde incertain, choisissez de vous faire accompagner par un cabinet d’avocats fiables. Pour nous contacter, cliquez ici