Tout le monde regardait décembre 2027. C'était l'erreur. Depuis le 11 septembre 2026, l'article 14 du Cyber Resilience Act s'applique, et il ne concerne pas une catégorie de produits à venir : il vise aussi ceux qui sont déjà en circulation. Les organisations qui avaient calé leur feuille de route sur l'application complète du règlement en 2027 découvrent qu'une obligation lourde est entrée en vigueur avec plus d'un an d'avance sur leur planning.
Ce que l'obligation impose vraiment
Un fabricant de produit comportant des éléments numériques doit désormais signaler toute vulnérabilité activement exploitée et tout incident grave. Le rythme ne laisse aucune marge. Alerte précoce sous 24 heures auprès de l'ENISA et du CSIRT national. Notification complète sous 72 heures. Rapport final sous 14 jours pour une vulnérabilité. Le dépôt se fait sur une plateforme unique gérée par l'ENISA, qui relaie ensuite aux autorités compétentes. En face, la sanction n'est pas symbolique : jusqu'à 15 millions d'euros ou 2,5 pour cent du chiffre d'affaires mondial pour un manquement aux obligations de fabricant.
Le vrai problème n'est pas juridique
Signaler une faille exploitée en 24 heures, ça ne s'improvise pas le jour de l'incident. Il faut une chaîne de qualification déjà en place, un canal de divulgation coordonnée qui fonctionne, et surtout une nomenclature logicielle à jour. Sans SBOM, impossible de savoir en quelques heures quelle version de quel composant est réellement déployée chez qui. Une organisation qui n'a jamais structuré son PSIRT se retrouve à devoir produire une notification qualifiée dans un délai où, en réalité, elle est encore en train de comprendre ce qui lui arrive. Quatre mois de préparation n'auraient pas suffi. Beaucoup n'en ont pris aucun.
L'angle mort de la marque blanche
C'est le point que presque personne n'anticipe. Distribuer une solution tierce sous son propre nom peut suffire à être qualifié de fabricant au sens du règlement. Et qui dit fabricant dit obligation de signalement. Une entreprise qui revend une brique logicielle en marque blanche, en pensant que la responsabilité reste chez l'éditeur d'origine, peut se tromper lourdement. La question à trancher n'est plus de savoir si le CRA s'applique. Elle est de déterminer, dans la chaîne contractuelle, qui porte réellement le reporting le jour où l'incident tombe. Pour les directions IT, c'est un chantier de gouvernance des prestataires autant qu'un chantier technique.
