Cyber Resilience Act 2026 : comprendre les délais de signalement de 24h et 72h

Le Cyber Resilience Act (CRA), officiellement le règlement UE 2024/2847, va transformer la manière dont les produits numériques (logiciels, produits connectés) sont conçus, développés et maintenus en Europe. Pour les éditeurs de logiciels, développeurs solo, TPE/PME tech et fabricants de produits connectés, la date du 11 septembre 2026 marque une étape clé : l'entrée en vigueur des obligations de signalement. Au cœur de ces obligations se trouvent des délais extrêmement courts, 24 heures et 72 heures, pour rapporter les vulnérabilités et incidents. Comprendre ces échéances n'est pas une option, c'est une nécessité stratégique.

Le Cyber Resilience Act (CRA) en quelques mots

Adopté pour renforcer la cybersécurité des produits numériques et des services auxiliaires, le CRA vise à réduire les vulnérabilités tout au long du cycle de vie des produits. Il impose des exigences de sécurité claires aux fabricants, qu'ils soient de grandes entreprises ou de petits éditeurs SaaS. La directive est large, couvrant tout, des applications mobiles aux objets connectés. L'une des exigences les plus pressantes concerne le signalement rapide des menaces.

Les délais de signalement : 24 heures et 72 heures, pourquoi cette urgence ?

Le CRA introduit deux délais distincts mais complémentaires pour le signalement des vulnérabilités activement exploitées et des incidents de cybersécurité. Ces délais courts sont pensés pour permettre une réaction rapide et coordonnée des autorités et de l'écosystème numérique face aux menaces émergentes.

Le délai de 24 heures : l'alerte initiale

Dès que vous avez connaissance d'une vulnérabilité ou d'un incident de cybersécurité activement exploité et ayant un impact potentiel sur la sécurité de vos produits, vous avez l'obligation de notifier l'Agence de l'Union européenne pour la cybersécurité (ENISA) dans un délai de 24 heures. Ce premier signalement est une alerte préliminaire. Il ne s'agit pas d'un rapport complet, mais d'une notification rapide pour indiquer que quelque chose de grave est en cours. L'objectif est de donner aux autorités et, si nécessaire, aux autres parties prenantes, une information précoce pour qu'elles puissent commencer à évaluer les risques.

Ce que cette notification initiale doit contenir:

Une brève description de la vulnérabilité ou de l'incident.

Les produits affectés.

La nature de l'exploitation (si connue).

Votre intention de soumettre un rapport plus détaillé dans les 72 heures.

Le délai de 72 heures : le rapport complet

Suite à l'alerte initiale, vous disposez d'un délai maximal de 72 heures pour soumettre un rapport complet et détaillé à l'ENISA et au CSIRT (Computer Security Incident Response Team) de l'État membre concerné. Ce rapport doit fournir toutes les informations pertinentes pour permettre une compréhension approfondie de la situation. C'est ici que l'analyse des causes profondes, l'impact sur les utilisateurs et les mesures correctives prises ou prévues sont essentiels.

Le rapport de 72 heures doit inclure, entre autres :

Une description détaillée de la vulnérabilité ou de l'incident, y compris son origine et sa nature.

Les informations sur les produits et services affectés.

L'impact estimé sur la sécurité des données et des systèmes.

Les mesures d'atténuation et correctives mises en œuvre ou prévues.

Les informations sur les éventuelles notifications aux utilisateurs finaux.

Conséquences concrètes d'un non-respect des délais

Le non-respect de ces délais, ou toute non-conformité aux exigences du CRA, peut entraîner des sanctions lourdes. Les amendes peuvent s'élever jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial de l'entreprise, le montant le plus élevé étant retenu. Au-delà des sanctions financières, les entreprises risquent une atteinte significative à leur réputation, une perte de confiance de leurs clients et des perturbations opérationnelles majeures. Pour une petite entreprise ou un développeur indépendant, de telles conséquences peuvent être dévastatrices.

Comment se préparer aux délais de reporting du CRA ?

La clé de la conformité réside dans l'anticipation et la mise en place de processus robustes.

Mettre en place des processus internes d'urgence

Dès maintenant, il est crucial de définir un plan de réponse aux incidents de cybersécurité. Ce plan doit inclure :

Des rôles et responsabilités clairs pour l'identification, l'évaluation et le signalement des vulnérabilités.

Des canaux de communication internes et externes bien établis.

Des procédures d'escalade définies pour garantir que les informations remontent rapidement aux bonnes personnes.

Une veille constante des vulnérabilités

La capacité à identifier rapidement les vulnérabilités est fondamentale. Cela implique :

Des audits de sécurité réguliers et des tests d'intrusion.

La surveillance des composants open-source et des dépendances via une Software Bill of Materials (SBOM) à jour.

La mise en place d'outils de détection de vulnérabilités.

Documenter et automatiser pour plus d'efficacité

Le temps est un facteur critique. La documentation précise et la capacité à générer rapidement les informations nécessaires sont vitales. C'est dans ce contexte que des outils d'aide à la conformité prennent tout leur sens.

CRAcheck, par exemple, aide les fabricants à se préparer au Cyber Resilience Act. En connectant votre dépôt GitHub, la plateforme génère une SBOM automatique (pour 9 écosystèmes), vous offre un score de conformité et des alertes de vulnérabilités. Ces éléments facilitent la collecte d'informations pour vos rapports. CRAcheck propose également des documents pré-remplis (déclaration UE, documentation technique, SECURITY.md) et des fonctionnalités pour le reporting à l'ENISA, agissant comme un support à l'auto-évaluation pour structurer votre démarche. L'objectif est de vous faire gagner du temps et de la clarté face à des obligations complexes.

Les délais de signalement de 24h et 72h du Cyber Resilience Act sont une réalité imminente pour tous les créateurs de logiciels et produits connectés en Europe. Les ignorer, c'est s'exposer à des risques majeurs. En mettant en place dès aujourd'hui des processus clairs, une veille technologique active et en s'appuyant sur des outils pertinents, il est possible de transformer cette contrainte en une opportunité de renforcer la sécurité de vos produits et la confiance de vos utilisateurs.