Depuis le 11 septembre, les fabricants de produits connectés et de logiciels commercialisés au sein de l’Union européenne sont tenus de signaler rapidement les vulnérabilités exploitées ainsi que les incidents de sécurité graves. Cette obligation découle de la loi sur la Cyber Résilience et s’appuie sur une plateforme dédiée gérée par l’Agence de l’Union européenne pour la cybersécurité (ENISA).
Un premier rapport exigé dans les 24 heures
Ce nouveau dispositif s’applique aux « produits contenant des éléments numériques », une définition qui englobe aussi bien les appareils connectés que les logiciels commercialisés dans l’Union. Lorsqu’un fabricant découvre qu’une vulnérabilité dans son produit est activement exploitée ou qu’un incident grave menace la sécurité de celui-ci, il doit transmettre une alerte précoce sans délai injustifié, et ce, au plus tard dans un délai de 24 heures.
Ce calendrier ne se limite pas à cette première notification. Une déclaration complète doit être fournie dans les 72 heures qui suivent. Pour les vulnérabilités exploitées, le rapport final est attendu au maximum quatorze jours après la mise à disposition d’un correctif. En cas d’incident grave, l’entreprise a un mois pour fournir une notification détaillée. Ces délais obligent les fabricants à identifier rapidement les produits et les versions concernés, plutôt que d’attendre la conclusion de leurs enquêtes internes.
Les informations sont transmises via la Plateforme de reporting unique ou PRS. Un seul enregistrement suffit : le dossier est d’abord reçu par le centre national de réponse aux incidents, qui le redirige ensuite vers les autres CSIRT des pays où le produit est disponible. L’ENISA a également accès à ces informations simultanément, sauf dans des cas exceptionnels justifiés par des préoccupations en matière de cybersécurité.
Cette diffusion à l’échelle européenne est délicate, car une notification peut contenir des détails techniques encore inconnus du grand public. L’ENISA a mis en place des mesures pour garantir la confidentialité des données. Un État membre peut exceptionnellement retarder la distribution vers d’autres centres nationaux, mais seulement si cela repose sur des raisons de sécurité spécifiques.
Une obligation qui touche toute la chaîne de produits
Pour les utilisateurs, cette mesure devrait rendre plus difficile la correction discrète ou tardive d’une vulnérabilité utilisée dans des attaques. Le règlement impose également aux fabricants de tenir informées les personnes concernées lorsqu’une vulnérabilité exploitée ou un incident grave affecte leur produit. Ce nouveau système entre en vigueur alors que les attaques touchant les équipements courants restent fréquentes : nous avons récemment évoqué des portes dérobées découvertes dans des routeurs Zbtlink.
Les défis seront principalement d’ordre opérationnel. Un éditeur peut s’appuyer sur des dizaines de bibliothèques externes, tandis qu’un fabricant de matériel peut intégrer des composants logiciels fournis par divers partenaires. Il est donc crucial de désigner un responsable pour les notifications, de tenir un inventaire précis des versions en circulation et de distinguer une vulnérabilité théorique d’une exploitation effective. Les entreprises qui commercialisent le même produit dans plusieurs pays ne seront toutefois pas tenues de soumettre un formulaire distinct pour chaque autorité nationale.
Le lancement de la plateforme ne signifie pas que toutes les règles de la Cyber Résilience Act sont immédiatement applicables. Les exigences générales relatives à la conception sécurisée, à la gestion des correctifs et à la surveillance des vulnérabilités durant la durée de vie du produit entreront en vigueur principalement le 11 décembre 2027. Cette transition s’inscrit dans le cadre d’autres réglementations européennes qui modifient progressivement la conception des dispositifs matériels, tels que les nouvelles règles concernant les batteries amovibles.
La plateforme doit encore prouver son efficacité
L’ENISA propose déjà des FAQs, des manuels, des tutoriels vidéo, un glossaire et un support dédié. L’agence envisage d’améliorer le service en fonction des rapports et des retours des fabricants. L’évaluation du volume et de la qualité des déclarations, ainsi que la capacité des autorités à les traiter rapidement, seront les premiers indicateurs concrets de l’efficacité du système.
Les mainteneurs de logiciels libres ont un calendrier différent : leurs obligations de déclaration en vertu de l’article 24 entreront en vigueur à partir du 11 décembre 2027. Les fabricants de produits matériels et logiciels qui souhaitent accéder au marché européen doivent désormais utiliser cette plateforme en cas d’incident répondant aux critères du règlement.
