Cyber Resilience Act : le signalement obligatoire a commencé

Depuis le 11 septembre 2026, le Cyber Resilience Act oblige les fabricants de produits comportant des éléments numériques vendus dans l'Union à signaler les vulnérabilités activement exploitées et les incidents graves [1]. Le premier signalement est dû dans les 24 heures [1]. Le même jour, l'Agence de l'Union européenne pour la cybersécurité (ENISA) a mis en service la plateforme unique qui reçoit ces notifications [2].

Sommaire

Une plateforme européenne, trois délais à tenir
Ce que le Cyber Resilience Act change pour un fabricant belge
Sources et Références

Pour une entreprise belge qui fabrique un objet connecté, un logiciel ou un équipement industriel piloté par logiciel, l'échéance n'est plus théorique. Les exigences de sécurité du règlement n'arriveront qu'en décembre 2027, mais l'obligation de déclarer s'applique déjà [2].

Une plateforme européenne, trois délais à tenir

Le règlement sur la cyberrésilience vise deux catégories d'événements [1]. Une vulnérabilité activement exploitée est une faille dont on sait qu'un acteur malveillant l'utilise déjà [1]. Un incident grave est un incident qui compromet par exemple la disponibilité, l'authenticité, l'intégrité ou la confidentialité des données ou des fonctions du produit [1].

Le compteur démarre dès que le fabricant prend connaissance des faits. La fiche d'information de l'ENISA sur la plateforme unique de signalement fixe trois étapes [1] :

Étape	Délai	Contenu
Signalement initial	24 heures après la prise de connaissance	Alerte sur la vulnérabilité ou l'incident
Notification	72 heures après la prise de connaissance	Informations générales et première évaluation
Rapport final, vulnérabilité	14 jours au plus tard après la mise à disposition d'un correctif	Rapport complet
Rapport final, incident grave	Un mois après la notification de 72 heures	Rapport complet

Source des données du tableau : ENISA, fiche d'information sur la plateforme unique de signalement [1].

L'obligation ne pèse pas que sur les fabricants. Les intendants de logiciels ouverts doivent eux aussi signaler dans la mesure où ils participent au développement de produits numériques [1].

Le mécanisme repose sur un envoi unique. Une notification déposée sur la plateforme part automatiquement vers le CSIRT national du fabricant, qui la reçoit en premier, vers les CSIRT des autres États où le produit est vendu, et vers l'ENISA [1]. L'ENISA présente ce lancement comme une « capacité opérationnelle initiale », que l'agence entend étendre dans les prochains mois [2].

La diffusion peut être retardée dans des circonstances exceptionnelles, au titre de l'article 16, paragraphe 2, du règlement [1]. Le règlement délégué (UE) 2026/881 de la Commission précise les motifs admis [1].

Ce que le Cyber Resilience Act change pour un fabricant belge

Le destinataire belge est le CCB. Le CSIRT compétent dépend essentiellement du lieu d'établissement principal du fabricant [1]. En Belgique, l'article 16 de la loi du 26 avril 2024 sur la cybersécurité confie à l'autorité nationale de cybersécurité le rôle de CSIRT national [4]. L'article 22 de la même loi en fait le coordinateur de la divulgation coordonnée des vulnérabilités [4].

L'arrêté royal du 9 juin 2024 désigne le Centre pour la Cybersécurité Belgique comme cette autorité nationale [5]. Un fabricant établi en Belgique sélectionnera donc ce CSIRT national dans la plateforme européenne.

Le parc déjà vendu est concerné. Selon la foire aux questions de l'ENISA sur la plateforme, l'obligation vaut depuis le 11 septembre 2026 pour tous les produits du champ, y compris ceux mis sur le marché avant le 11 décembre 2027 [6]. Il n'y a pas de déclaration rétroactive pour une exploitation connue avant le 11 septembre 2026 [6]. Une exploitation découverte après cette date doit en revanche être signalée, même si la faille était ancienne [6].

Trois conséquences pratiques en découlent :

Un point de détection. Le délai de 24 heures court à partir de la prise de connaissance [1]. Une entreprise doit savoir qui, en interne, reçoit une alerte de chercheur, de client ou de fournisseur, et qui décide de la déclarer.
Un compte prêt avant l'incident. Le dépôt se fait en trois étapes : connexion, sélection du CSIRT national, rédaction et envoi [1]. Découvrir la plateforme le jour d'une attaque consomme une partie du délai.
Une seconde couche réglementaire. Une entreprise déjà soumise à NIS2 en Belgique notifie ses propres incidents significatifs au CSIRT national au titre de cette loi [4]. Le règlement sur la cyberrésilience ajoute une obligation distincte, attachée au produit qu'elle met sur le marché.

Le calendrier reste chargé. La Commission situe au 11 décembre 2026 l'objectif d'un nombre suffisant d'organismes d'évaluation de la conformité notifiés dans les États membres [3]. L'application complète du Cyber Resilience Act, exigences essentielles de sécurité comprises, est fixée au 11 décembre 2027 [3].

Pour les directions techniques qui pilotent déjà le calendrier de l'AI Act, la mécanique est voisine : des obligations européennes directement applicables, des jalons successifs et une autorité nationale désignée. Les deux textes ne partagent toutefois ni leurs échéances ni leurs destinataires.