Obligations de signalement cyber : l’UE avance avant 2027

Le Cyber Resilience Act ne produira pleinement ses effets qu’à partir du 11 décembre 2027. Mais le règlement européen a déjà commencé à modifier les obligations des industriels du numérique. Depuis le 11 septembre 2026, les obligations de signalement cyber s’appliquent aux fabricants qui découvrent une vulnérabilité activement exploitée dans un produit comportant des éléments numériques, ou un incident grave compromettant la sécurité de ce produit.

L’enjeu ne se limite pas à la conformité réglementaire. L’Union européenne cherche à réduire un défaut structurel du marché : les vulnérabilités sont souvent connues de leur éditeur ou fabricant avant que les utilisateurs, les autorités et les chaînes de fournisseurs ne puissent mesurer l’exposition réelle. En imposant une remontée organisée des alertes, le règlement transforme l’information sur les failles en objet de sécurité collective.

Pour les entreprises françaises qui conçoivent, importent ou mettent sous leur marque des logiciels, objets connectés, équipements réseau ou systèmes industriels numériques, l’obligation est d’abord opérationnelle. Il faut identifier rapidement les produits concernés, établir qui décide qu’une faille est activement exploitée, et organiser une chaîne de notification documentée. La cybersécurité entre ainsi davantage dans les procédures de gouvernance et de responsabilité des fabricants.

Les obligations de signalement cyber ouvrent le volet précoce du règlement

Adopté sous la forme du règlement (UE) 2024/2847, le Cyber Resilience Act fixe des exigences communes de cybersécurité pour des produits matériels et logiciels commercialisés dans le marché intérieur. Le texte ne constitue pas une directive : il est directement applicable dans les États membres, même si les autorités nationales conservent un rôle déterminant dans son contrôle et sa mise en œuvre.

Son article 14 prévoit que le fabricant avertisse l’Agence de l’Union européenne pour la cybersécurité, l’ENISA, des vulnérabilités activement exploitées et des incidents graves ayant une incidence sur la sécurité de produits couverts par le règlement. Le dispositif repose sur une alerte initiale rapide, suivie d’informations plus détaillées et, le cas échéant, d’un rapport final. L’objectif n’est pas de rendre publiques toutes les failles sans délai : il s’agit de permettre aux autorités compétentes de qualifier la menace, de coordonner la réponse et de limiter sa propagation.

Le texte et son calendrier d’application sont consultables dans le règlement (UE) 2024/2847. Les obligations générales de conception sécurisée, de gestion des vulnérabilités pendant la durée de vie du produit et de marquage de conformité entreront, elles, en application en décembre 2027. La séquence retenue par le législateur européen donne donc une priorité à la connaissance des incidents, avant l’application complète des exigences de mise sur le marché.

Une obligation qui déplace le coût de l’incertitude

Les obligations de signalement cyber modifient la répartition du risque entre fabricants, clients et autorités. Jusqu’ici, la divulgation d’une faille pouvait relever d’une gestion interne, d’un programme de recherche de vulnérabilités ou d’une communication commerciale contrôlée. Désormais, pour les événements définis par le règlement, le temps de réaction devient une donnée contrôlable. Une entreprise doit être capable de démontrer à quel moment elle a eu connaissance d’un incident, comment elle l’a évalué et quelles mesures elle a engagées.

Cette traçabilité intéresse directement les donneurs d’ordre, en particulier dans les secteurs où les équipements numériques sont intégrés à des infrastructures ou à des processus critiques. Un automate industriel, un logiciel de supervision, une passerelle réseau ou un produit connecté peuvent créer une exposition qui dépasse largement le fabricant initial. La vulnérabilité circule alors dans une chaîne où se côtoient intégrateurs, opérateurs, distributeurs et clients publics.

Pour les assureurs cyber, la nouvelle architecture peut améliorer la qualité de l’information disponible, mais elle rend aussi plus lisibles les écarts de maturité. Une notification ne prouve pas une défaillance ; elle atteste qu’un processus de détection et de déclaration existe. À l’inverse, un retard de qualification, une cartographie incomplète des versions déployées ou l’absence de procédure de crise peuvent peser dans l’appréciation du risque, dans les audits précontractuels comme après un sinistre.

La notification ne remplace pas la sécurité des produits

Les obligations de signalement cyber ne dispensent pas les fabricants de corriger les défauts, de publier des mises à jour de sécurité ou d’informer les utilisateurs lorsque cela est nécessaire. Elles constituent un mécanisme d’alerte, non une garantie de résilience. Leur efficacité dépendra notamment de la capacité des entreprises à tenir un inventaire fiable de leurs composants logiciels et des produits mis sur le marché.

La question est particulièrement sensible pour les petites et moyennes entreprises, qui disposent rarement d’un centre de sécurité permanent ou d’équipes juridiques spécialisées. Le règlement prévoit des dispositions tenant compte de leur situation, mais la contrainte matérielle demeure : surveiller les vulnérabilités, qualifier leur exploitation effective, décider des mesures correctrices et dialoguer avec les autorités dans des délais courts exige des moyens et des procédures.

La Commission européenne et les autorités nationales devront aussi éviter que le système ne soit réduit à un flux administratif. Une masse de déclarations insuffisamment hiérarchisées pourrait retarder l’identification des campagnes les plus dangereuses. La valeur du dispositif reposera donc sur la capacité de l’ENISA et des autorités compétentes à transformer les signalements en renseignement actionnable pour les entreprises exposées.

À l’approche de 2027, les obligations de signalement cyber offrent un test concret de la stratégie européenne : faire de la cybersécurité une condition d’accès au marché, et non plus un argument commercial laissé à l’appréciation de chaque fournisseur. Le terrain décisif sera celui de l’exécution, entre la rapidité des attaques, la fragmentation des chaînes technologiques et les capacités très inégales des fabricants à administrer leur propre sécurité.