9 min de lecture<\/p>\n
Le 11 septembre 2026, l\u2019article 14 du Cyber Resilience Act entrera en vigueur.<\/strong> \u00c0 partir de cette date, les fabricants devront signaler les vuln\u00e9rabilit\u00e9s exploit\u00e9es activement et les incidents de s\u00e9curit\u00e9 graves dans des d\u00e9lais stricts. Pour les DSI et les CDO, l\u2019information cl\u00e9 r\u00e9side dans l\u2019approvisionnement : l\u2019obligation de signalement incombe au fabricant. Les entreprises qui s\u2019approvisionnent aupr\u00e8s de fabricants dont les processus ne sont pas encore op\u00e9rationnels recevront trop tard, voire pas du tout, l\u2019information concernant une vuln\u00e9rabilit\u00e9 exploit\u00e9e activement dans leur propre infrastructure.<\/p>\n Les points cl\u00e9s en bref<\/p>\n Articles associ\u00e9s<\/span>Pourquoi la facture cloud ne diminue jamais<\/a> \/<\/span> R\u00e8glement sur l\u2019IA : jusqu\u2019\u00e0 3 % du chiffre d\u2019affaires du groupe<\/a><\/p>\n Le Cyber Resilience Act est entr\u00e9 en vigueur le 10 d\u00e9cembre 2024. Les principales obligations prendront effet le 11 d\u00e9cembre 2027. Entre ces deux dates se situe le jalon qui pr\u00e9occupe d\u00e9sormais les entreprises : l\u2019article 14 entrera en vigueur le 11 septembre 2026. Dans les grandes organisations, les DSI, les CDO et les strat\u00e8ges IT g\u00e8rent les budgets, les relations fournisseurs et les d\u00e9cisions architecturales. C\u2019est pr\u00e9cis\u00e9ment l\u00e0 que se situe l\u2019impact de l\u2019obligation de signalement, m\u00eame si l\u2019organisation elle-m\u00eame n\u2019est g\u00e9n\u00e9ralement pas soumise \u00e0 cette obligation.<\/p>\n Qu\u2019est-ce que le Cyber Resilience Act ?<\/strong> Le Cyber Resilience Act est un cadre juridique europ\u00e9en pour la cybers\u00e9curit\u00e9 des produits dot\u00e9s d\u2019\u00e9l\u00e9ments num\u00e9riques. Il impose aux fabricants des exigences de s\u00e9curit\u00e9 tout au long du cycle de vie des produits, ainsi que des obligations de signalement en cas de vuln\u00e9rabilit\u00e9s exploit\u00e9es activement ou d\u2019incidents de s\u00e9curit\u00e9 graves. Le CRA est entr\u00e9 en vigueur le 10 d\u00e9cembre 2024. L\u2019article 14 s\u2019appliquera \u00e0 partir du 11 septembre 2026, et les principales obligations prendront effet le 11 d\u00e9cembre 2027.<\/p>\n Pour le DSI, l\u2019attribution des obligations constitue le message central. L\u2019obligation de signalement incombe au fabricant. L\u2019exploitant ach\u00e8te des produits qui fonctionnent dans les r\u00e9seaux, les syst\u00e8mes de contr\u00f4le et les applications m\u00e9tiers. Si le fabricant ne ma\u00eetrise pas ses voies de signalement et d\u2019information, l\u2019entreprise ne sera pas inform\u00e9e \u00e0 temps d\u2019une vuln\u00e9rabilit\u00e9 exploit\u00e9e activement dans son propre syst\u00e8me. La perspective d\u2019action r\u00e9side donc dans les contrats, les entretiens avec les fournisseurs et la gestion de la cha\u00eene d\u2019approvisionnement.<\/p>\n Les fabricants doivent d\u00e9clarer simultan\u00e9ment au CSIRT coordinateur et \u00e0 l\u2019ENISA. Une plateforme commune de d\u00e9claration est pr\u00e9vue \u00e0 cet effet. Les d\u00e9tails techniques de cette plateforme ne sont pas encore publics. Pour l\u2019exploitation, c\u2019est la proc\u00e9dure dans la relation de livraison qui compte : le fabricant reste le destinataire de l\u2019obligation de d\u00e9claration et l\u2019interlocuteur pour l\u2019acheteur.<\/p>\n La responsabilit\u00e9 ne s\u2019arr\u00eate pas \u00e0 la nomenclature du fabricant. Celui-ci reste responsable de l\u2019ensemble du composant, m\u00eame s\u2019il ach\u00e8te des pi\u00e8ces. Les d\u00e9lais de 24 et 72 heures s\u2019appliquent au fabricant. Ils ne s\u2019appliquent pas automatiquement \u00e0 chaque fournisseur de la cha\u00eene. Si vous \u00eates DSI et g\u00e9rez une cha\u00eene d\u2019approvisionnement \u00e0 plusieurs niveaux, vous devez donc clarifier comment les informations parviennent du sous-traitant au fabricant, puis du fabricant \u00e0 votre entreprise.<\/p>\n L\u2019arr\u00eat du support ne modifie que partiellement l\u2019attribution des responsabilit\u00e9s. En cas d\u2019arr\u00eat du support d\u2019un composant, le fabricant reste responsable de la correction des vuln\u00e9rabilit\u00e9s pendant au moins cinq ans. Pour les architectures \u00e0 longue dur\u00e9e de vie, cela signifie : un produit qui sort du support actif ne sort pas pour autant de la responsabilit\u00e9 de s\u00e9curit\u00e9 du fabricant. Dans les d\u00e9cisions d\u2019achat, cette fen\u00eatre temporelle doit \u00eatre int\u00e9gr\u00e9e \u00e0 l\u2019\u00e9valuation du cycle de vie du produit et de la strat\u00e9gie de remplacement.<\/p>\n L\u2019article 14 distingue deux cas : les vuln\u00e9rabilit\u00e9s activement exploit\u00e9es et les incidents de s\u00e9curit\u00e9 graves. Les deux proc\u00e9dures commencent par une alerte pr\u00e9coce dans les 24 heures. Les d\u00e9lais s\u2019adressent au fabricant. Pour l\u2019exploitant, ces heures ne constituent pas une obligation l\u00e9gale de d\u00e9claration au titre de l\u2019article 14. Elles marquent n\u00e9anmoins la rapidit\u00e9 avec laquelle les informations doivent circuler dans l\u2019environnement du fabricant si votre propre parc est concern\u00e9.<\/p>\n En cas de vuln\u00e9rabilit\u00e9s activement exploit\u00e9es, des informations compl\u00e9mentaires doivent \u00eatre fournies dans les 72 heures, et un rapport final dans les 14 jours suivant la disponibilit\u00e9 d\u2019une mesure corrective. En cas d\u2019incidents de s\u00e9curit\u00e9 graves, la d\u00e9claration de l\u2019incident doit intervenir dans les 72 heures, et le rapport final dans le mois qui suit la d\u00e9claration de l\u2019incident. Si vous \u00eates DSI et discutez avec des fabricants des processus li\u00e9s aux incidents et aux vuln\u00e9rabilit\u00e9s, ces \u00e9tapes constituent une base de discussion : quand le client est-il inform\u00e9 de l\u2019alerte pr\u00e9coce, de la d\u00e9claration suivante, de la mesure corrective ?<\/p>\n Le R\u00e8glement sur la cybers\u00e9curit\u00e9 pr\u00e9voit des amendes pouvant aller jusqu\u2019\u00e0 15 millions d\u2019euros ou 2,5 % du chiffre d\u2019affaires annuel mondial. La sanction vise le destinataire des obligations, c\u2019est-\u00e0-dire le fabricant dans la logique de d\u00e9claration de l\u2019article 14. Pour le DSI acheteur, le montant de l\u2019amende modifie le rapport de force : un fabricant aux processus flous repr\u00e9sente un risque r\u00e9glementaire qui se traduit dans la relation d\u2019approvisionnement par un risque de d\u00e9faillance, de retard et d\u2019information. Les pr\u00e9visions concernant la pratique de contr\u00f4le des autorit\u00e9s ne doivent pas \u00eatre int\u00e9gr\u00e9es dans la planification, car elles ne sont pas \u00e9tay\u00e9es. En revanche, les d\u00e9lais, les destinataires et le cadre des sanctions sont bien document\u00e9s.<\/p>\n Une simple d\u00e9claration g\u00e9n\u00e9rale de conformit\u00e9 \u00e0 la loi ne suffit pas. Les contrats avec les fournisseurs doivent int\u00e9grer des preuves, des voies de signalement, des mises \u00e0 jour et une date de fin de support d\u00e9finie. Ces exigences sont document\u00e9es. Il n\u2019existe pas de mod\u00e8les officiels de clauses contractuelles pr\u00e9cises. Les services Achats, Juridique et S\u00e9curit\u00e9 doivent transposer ces exigences dans leur propre langage contractuel et les appliquer aux relations existantes avec les fournisseurs.<\/p>\n Les preuves permettent de v\u00e9rifier si le fabricant ma\u00eetrise effectivement les processus pertinents pour le CRA. Les voies de signalement clarifient comment l\u2019exploitation active d\u2019une faille est d\u00e9tect\u00e9e par l\u2019exploitant et qui, en interne, re\u00e7oit l\u2019information. Les mises \u00e0 jour pr\u00e9cisent comment les mesures correctives sont fournies et document\u00e9es. Une date de fin de support d\u00e9finie indique \u00e0 partir de quand le support actif prend fin et comment la responsabilit\u00e9 de la correction des failles, pendant au moins cinq ans apr\u00e8s la fin du support, est int\u00e9gr\u00e9e dans la relation contractuelle.<\/p>\n Lors des \u00e9changes avec les fournisseurs, un cadre d\u2019\u00e9valuation simple est utile. Qui, au sein de l\u2019entreprise fabricante, est responsable du signalement au CSIRT coordinateur et \u00e0 l\u2019ENISA ? Comment l\u2019information parvient-elle en parall\u00e8le au canal client ? Quels sous-traitants interviennent dans le composant global dont le fabricant reste responsable ? Quelle est la dur\u00e9e du support et comment l\u2019obligation de correction est-elle organis\u00e9e ensuite ? Ces questions restent dans le cadre des exigences document\u00e9es et \u00e9vitent les sp\u00e9culations sur les pratiques administratives ou les co\u00fbts de mise en \u0153uvre.<\/p>\n Les d\u00e9cisions architecturales d\u00e9pendent des m\u00eames points. Les produits dont la date de fin de support est floue, les chemins de mise \u00e0 jour peu clairs ou les voies de signalement absentes augmentent le risque op\u00e9rationnel. L\u2019article 14 oblige le fabricant \u00e0 signaler les failles activement exploit\u00e9es et les incidents graves au CSIRT coordinateur et \u00e0 l\u2019ENISA. Les utilisateurs concern\u00e9s doivent \u00eatre inform\u00e9s en parall\u00e8le. La fin du support et les chemins de mise \u00e0 jour rel\u00e8vent d\u2019autres aspects du CRA. Le DSI g\u00e8re le risque via le choix des solutions, la conception des contrats et les voies d\u2019escalade, m\u00eame si l\u2019obligation l\u00e9gale de signalement incombe au fabricant.<\/p>\n La DIHK met en garde contre les charges importantes que l\u2019application du CRA impose aux petites et moyennes entreprises. De nombreux petits fabricants ignorent si le CRA s\u2019applique \u00e0 eux. Certains envisagent de retirer leurs produits du march\u00e9. Pour le DSI, il ne s\u2019agit pas d\u2019un simple rapport sur la situation des PME. C\u2019est un probl\u00e8me d\u2019approvisionnement d\u00e8s qu\u2019un fournisseur de niche se retire ou ajuste son portefeuille.<\/p>\n Dans les grandes organisations, on trouve souvent des composants sp\u00e9cialis\u00e9s : modules de commande, capteurs, logiciels sectoriels, syst\u00e8mes embarqu\u00e9s. Si un petit fabricant estime que les obligations du CRA sont trop lourdes et d\u00e9cide d\u2019arr\u00eater un produit, cela entra\u00eene un manque de solutions de remplacement, de savoir-faire et de chemins de migration. La perspective d\u2019action consiste \u00e0 identifier t\u00f4t les fournisseurs de niche critiques, \u00e0 \u00e9valuer leur capacit\u00e9 \u00e0 respecter le CRA et \u00e0 pr\u00e9parer des alternatives ou des strat\u00e9gies de transition.<\/p>\n Ce point de vue oppos\u00e9 doit donc figurer dans chaque \u00e9change avec des fournisseurs plus petits. La question est de savoir si le fabricant pourra assumer les processus de signalement et de s\u00e9curit\u00e9 d\u2019ici au 11 septembre 2026, ainsi que les principales obligations \u00e0 partir du 11 d\u00e9cembre 2027. Si la r\u00e9ponse reste floue, le risque de retrait du produit augmente. L\u2019exploitant en subira alors les cons\u00e9quences sur l\u2019architecture et la continuit\u00e9 op\u00e9rationnelle, m\u00eame s\u2019il n\u2019est pas lui-m\u00eame soumis \u00e0 l\u2019obligation de signalement.<\/p>\n La directive technique BSI TR-03183 regroupe les exigences en trois parties : exigences g\u00e9n\u00e9rales, liste des composants logiciels et signalements de vuln\u00e9rabilit\u00e9s. Les parties 1 et 3 sont disponibles en version 1.0.0. La partie 2 est disponible en version 2.1.0. La premi\u00e8re phase de commentaires s\u2019est achev\u00e9e le 30 novembre 2024. Depuis, le BSI consid\u00e8re la partie 1 comme un document vivant, tandis que la partie 3 est parue en septembre 2025. Les versions 0.9.0 et 2.0.0 ne sont plus disponibles que dans les archives.<\/p>\n Pour les DSI et les strat\u00e8ges IT, cette directive constitue un cadre de r\u00e9f\u00e9rence lors des \u00e9changes avec les fabricants livrant des produits int\u00e9grant des \u00e9l\u00e9ments num\u00e9riques. Les exigences g\u00e9n\u00e9rales, la liste des composants logiciels et les signalements de vuln\u00e9rabilit\u00e9s forment les th\u00e8mes sur lesquels s\u2019appuient les preuves et les processus. Conna\u00eetre les versions permet d\u2019\u00e9viter les attentes erron\u00e9es : les trois parties sont valid\u00e9es, la partie 1 \u00e9tant r\u00e9guli\u00e8rement mise \u00e0 jour en tant que document vivant.<\/p>\n Les prochaines semaines, jusqu\u2019au 11 septembre 2026, sont id\u00e9ales pour organiser une tourn\u00e9e cibl\u00e9e aupr\u00e8s des fournisseurs. Privil\u00e9giez les produits \u00e0 haute criticit\u00e9 op\u00e9rationnelle et \u00e0 longue dur\u00e9e de vie. Exigez des preuves, des voies de signalement, des engagements de mises \u00e0 jour et une date de fin de support d\u00e9finie. Clarifiez les r\u00f4les dans la cha\u00eene, car les d\u00e9lais de 24 et 72 heures concernent le fabricant, qui reste responsable de l\u2019ensemble du composant. Surveillez les petits fournisseurs pour d\u00e9tecter d\u2019\u00e9ventuels signes de retrait de produits du march\u00e9. Ainsi, vous ma\u00eetriserez les risques avant l\u2019application de l\u2019article 14 et avant que les principales obligations n\u2019entrent en vigueur \u00e0 partir du 11 d\u00e9cembre 2027.<\/p>\n L\u2019obligation de d\u00e9claration incombe au fabricant. L\u2019exploitant est exclu de cette obligation au titre de l\u2019article 14. Pour les DSI, l\u2019impact reste n\u00e9anmoins important, car ils ach\u00e8tent des produits aupr\u00e8s de fabricants soumis \u00e0 cette obligation et d\u00e9pendent de leurs canaux d\u2019information.<\/p>\n<\/details>\n Non. Les d\u00e9lais de 24 et 72 heures concernent le fabricant. Ils ne s\u2019appliquent pas syst\u00e9matiquement \u00e0 chaque fournisseur de la cha\u00eene. Le fabricant reste par ailleurs responsable de l\u2019ensemble du composant, m\u00eame s\u2019il ach\u00e8te des pi\u00e8ces d\u00e9tach\u00e9es.<\/p>\n<\/details>\n Les fabricants d\u00e9clarent simultan\u00e9ment aupr\u00e8s du CSIRT coordinateur et aupr\u00e8s de l\u2019ENISA via une plateforme de d\u00e9claration commune. En cas de vuln\u00e9rabilit\u00e9s exploit\u00e9es activement, une alerte pr\u00e9coce doit \u00eatre \u00e9mise dans les 24 heures, des informations compl\u00e9mentaires dans les 72 heures, et un rapport final dans les 14 jours suivant la disponibilit\u00e9 d\u2019une mesure corrective. En cas d\u2019incidents de s\u00e9curit\u00e9 graves, une alerte pr\u00e9coce doit \u00eatre \u00e9mise dans les 24 heures, une d\u00e9claration d\u2019incident dans les 72 heures, et un rapport final dans le mois suivant la d\u00e9claration de l\u2019incident.<\/p>\n<\/details>\n Les contrats doivent comporter des preuves, des voies de d\u00e9claration, des mises \u00e0 jour et une date de fin de support d\u00e9finie. Une simple garantie g\u00e9n\u00e9rale de conformit\u00e9 \u00e0 la loi ne suffit pas. Il n\u2019existe pas de clauses types officielles. En cas de fin de support, le fabricant reste responsable de la correction des vuln\u00e9rabilit\u00e9s pendant au moins cinq ans.<\/p>\n<\/details>\n La DIHK met en garde contre les charges importantes que l\u2019application du CRA impose aux petites et moyennes entreprises. Beaucoup de petits fabricants ignorent si le CRA s\u2019applique \u00e0 eux. Certains envisagent m\u00eame de retirer leurs produits du march\u00e9. Un DSI dont un fournisseur de niche dispara\u00eet se retrouve alors confront\u00e9 \u00e0 un probl\u00e8me d\u2019approvisionnement et de migration au sein de son propre parc.<\/p>\n<\/details>\n Plus du r\u00e9seau MBF Media<\/p>\n\n
Quatre semaines avant l\u2019article 14 : la situation pour les achats<\/h2>\n
Qui d\u00e9clare, \u00e0 qui et pour quoi le fabricant est responsable<\/h2>\n
D\u00e9lais, contenus des d\u00e9clarations et sanctions<\/h2>\n
\n\n
\n \nDate butoir<\/th>\n Ce qui s\u2019applique<\/th>\n \u00c0 qui<\/th>\n<\/tr>\n<\/thead>\n \n 10 d\u00e9cembre 2024<\/td>\n Le R\u00e8glement sur la cybers\u00e9curit\u00e9 entre en vigueur<\/td>\n Fabricants et autres destinataires du R\u00e8glement sur la cybers\u00e9curit\u00e9<\/td>\n<\/tr>\n \n 11 septembre 2026<\/td>\n Article 14 : obligations de d\u00e9claration pour les vuln\u00e9rabilit\u00e9s activement exploit\u00e9es et les incidents de s\u00e9curit\u00e9 graves<\/td>\n Fabricants, en tant que personnes soumises \u00e0 l\u2019obligation de d\u00e9claration<\/td>\n<\/tr>\n \n Dans les 24 heures<\/td>\n Alerte pr\u00e9coce en cas de vuln\u00e9rabilit\u00e9 activement exploit\u00e9e ou d\u2019incident de s\u00e9curit\u00e9 grave<\/td>\n Fabricants, d\u00e9claration au CSIRT coordinateur et \u00e0 l\u2019ENISA<\/td>\n<\/tr>\n \n Dans les 72 heures<\/td>\n Informations compl\u00e9mentaires en cas de vuln\u00e9rabilit\u00e9s ou d\u00e9claration de l\u2019incident en cas d\u2019incidents de s\u00e9curit\u00e9 graves<\/td>\n Fabricants<\/td>\n<\/tr>\n \n Dans les 14 jours suivant la disponibilit\u00e9 d\u2019une mesure corrective<\/td>\n Rapport final en cas de vuln\u00e9rabilit\u00e9 activement exploit\u00e9e<\/td>\n Fabricants<\/td>\n<\/tr>\n \n Dans le mois suivant la d\u00e9claration de l\u2019incident<\/td>\n Rapport final en cas d\u2019incident de s\u00e9curit\u00e9 grave<\/td>\n Fabricants<\/td>\n<\/tr>\n \n 11 d\u00e9cembre 2027<\/td>\n Principales obligations du R\u00e8glement sur la cybers\u00e9curit\u00e9 s\u2019appliquent<\/td>\n Fabricants et autres destinataires du R\u00e8glement sur la cybers\u00e9curit\u00e9<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n Ce qu’il faut d\u00e9sormais inclure dans les contrats et les \u00e9changes avec les fournisseurs<\/h2>\n
Le point de vue oppos\u00e9 : le fardeau pesant sur les petits et moyens fabricants<\/h2>\n
Alignement sur la directive BSI TR-03183 et prochaines \u00e9tapes<\/h2>\n
Foire aux questions<\/h2>\n
Qui est soumis \u00e0 l\u2019obligation de d\u00e9claration selon l\u2019article 14 \u00e0 partir du 11 septembre 2026 ?<\/summary>\n
Les d\u00e9lais de 24 et 72 heures s\u2019appliquent-ils \u00e0 chaque fournisseur de la cha\u00eene ?<\/summary>\n
O\u00f9 les fabricants doivent-ils d\u00e9clarer et quels sont les d\u00e9lais pr\u00e9cis ?<\/summary>\n
Que doit-on inclure dans les contrats avec les fournisseurs pour garantir la s\u00e9curit\u00e9 du fonctionnement ?<\/summary>\n
Pourquoi les petits fabricants menacent-ils les achats malgr\u00e9 l\u2019accent mis par le CRA sur les obligations des fabricants ?<\/summary>\n