5 min. de lecture<\/p>\n
Le 11 septembre 2026, l’obligation de notification du Cyber Resilience Act entre en vigueur pour les fabricants de produits avec \u00e9l\u00e9ments num\u00e9riques. L’ENISA met \u00e0 disposition la Single Reporting Platform. Le rattachement au CSIRT (\u00e9quipe nationale de gestion des incidents de s\u00e9curit\u00e9 informatique) peut se faire en parall\u00e8le et ne suspend pas le d\u00e9lai de 24 heures.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n \u00c0 lire aussi :<\/span>Cyber Resilience Act : ce que les fabricants doivent faire maintenant<\/a> \/<\/span> Enregistrement NIS2 : ce que la direction doit faire maintenant<\/a><\/p>\n Qu’est-ce que la Single Reporting Platform ?<\/strong> La Single Reporting Platform est l’interface de notification de l’agence europ\u00e9enne ENISA. C’est par elle que transitent les vuln\u00e9rabilit\u00e9s activement exploit\u00e9es et les incidents graves affectant des produits avec \u00e9l\u00e9ments num\u00e9riques. Les fabricants y effectuent une seule d\u00e9claration. ENISA et le CSIRT comp\u00e9tent re\u00e7oivent ainsi le m\u00eame dossier.<\/p>\n L’Office f\u00e9d\u00e9ral de la s\u00e9curit\u00e9 des technologies de l’information (BSI) a mentionn\u00e9 publiquement cette \u00e9ch\u00e9ance \u00e0 deux reprises. Le 26 juin 2026, le BSI a indiqu\u00e9 qu’une premi\u00e8re \u00e9tape du Cyber Resilience Act s’appliquerait le 11 septembre 2026. Les fabricants de produits avec \u00e9l\u00e9ments num\u00e9riques devront alors signaler les vuln\u00e9rabilit\u00e9s activement exploit\u00e9es ainsi que les incidents de s\u00e9curit\u00e9 graves ayant des r\u00e9percussions sur le produit. Le 5 ao\u00fbt 2026, l’autorit\u00e9 a r\u00e9affirm\u00e9 la m\u00eame \u00e9ch\u00e9ance et a fix\u00e9 la mise en \u0153uvre compl\u00e8te de toutes les exigences au 11 d\u00e9cembre 2027.<\/p>\n La notification s’effectue de mani\u00e8re centralis\u00e9e via la Single Reporting Platform europ\u00e9enne. Le 8 septembre 2026, ENISA a mis \u00e0 jour la FAQ de la plateforme. Son exploitation a \u00e9t\u00e9 fix\u00e9e au m\u00eame 11 septembre 2026, date \u00e0 laquelle l’article 14 du r\u00e8glement devient applicable. L’adresse, la proc\u00e9dure de connexion et la v\u00e9rification parall\u00e8le par le CSIRT sont ainsi d\u00e9crites avant le lancement.<\/p>\n L’obligation de notification s’applique ind\u00e9pendamment des exigences produits qui entrent en vigueur en d\u00e9cembre 2027. Aucun marquage sp\u00e9cifique n’est pr\u00e9vu \u00e0 cet effet : d’apr\u00e8s le BSI<\/a>, le marquage CE couvrira \u00e9galement les exigences de cybers\u00e9curit\u00e9. Une entreprise peut encore livrer un appareil selon les anciennes r\u00e8gles produits et d\u00e9clencher malgr\u00e9 tout, le 11 septembre 2026, un d\u00e9lai de 24 heures d\u00e8s qu’une vuln\u00e9rabilit\u00e9 activement exploit\u00e9e devient connue.<\/p>\n La premi\u00e8re phase concerne les fabricants de produits avec des \u00e9l\u00e9ments num\u00e9riques. Le BSI y regroupe le mat\u00e9riel et les logiciels pouvant \u00eatre connect\u00e9s, directement ou indirectement, \u00e0 un appareil ou \u00e0 un r\u00e9seau. Des automates de machines connect\u00e9s, des capteurs avec firmware, des routeurs, des applications et des logiciels de comptabilit\u00e9 entrent dans le m\u00eame cadre d\u00e8s qu’ils sont mis \u00e0 disposition en tant que produit sur le territoire de l’Union. Les produits open source non commerciaux restent exclus.<\/p>\n Pour les administrateurs d’open source qui participent \u00e0 la mise \u00e0 disposition de tels produits, l’obligation de notification selon l’ENISA ne s’applique qu’\u00e0 partir du 11 d\u00e9cembre 2027. Les notifications volontaires concernant les vuln\u00e9rabilit\u00e9s, menaces, incidents et quasi-incidents doivent \u00eatre int\u00e9gr\u00e9es dans une phase ult\u00e9rieure de la plateforme. Au lancement, l’interface ne prend en charge que les notifications obligatoires au titre de l’article 14 : les vuln\u00e9rabilit\u00e9s activement exploit\u00e9es et les incidents graves.<\/p>\n Une seule notification suffit, m\u00eame si le fabricant dispose de plusieurs \u00e9tablissements dans l’Union ou si son si\u00e8ge se situe hors de l’UE. L’ENISA exige une notification pour l’ensemble du fabricant. La coordination entre les \u00e9tablissements reste une affaire interne. Le dossier est transmis au CSIRT qui, selon le lieu du si\u00e8ge principal, fait office de coordinateur. Le m\u00eame dossier est simultan\u00e9ment mis \u00e0 la disposition de l’ENISA. L’ENISA publie la liste des coordinateurs nationaux s\u00e9par\u00e9ment de l’interface de notification.<\/p>\n La plateforme doit \u00eatre accessible \u00e0 partir du 11 septembre 2026 sous portal.cra-srp.enisa.europa.eu ; d’ici l\u00e0, l’ENISA d\u00e9crit le d\u00e9roulement dans sa FAQ<\/a>. Les repr\u00e9sentants d\u00e9sign\u00e9s ont besoin d’un EU-Login personnel avec authentification multifacteur. L’ENISA ne pr\u00e9voit pas de comptes d’entreprise sans repr\u00e9sentant nominatif. Par fabricant, il existe un repr\u00e9sentant principal et jusqu’\u00e0 20 repr\u00e9sentants secondaires. Seul le repr\u00e9sentant principal est habilit\u00e9 \u00e0 cr\u00e9er le rattachement au fabricant et \u00e0 inviter d’autres repr\u00e9sentants.<\/p>\n Le rattachement est v\u00e9rifi\u00e9 par le CSIRT en tant que coordinateur, sans suspendre la notification. Ce n’est qu’apr\u00e8s 20 notifications d’un repr\u00e9sentant pas encore v\u00e9rifi\u00e9 que l’ENISA exige une validation achev\u00e9e. L’ENISA souhaite que l’inscription sur la plateforme n’intervienne qu’en cas de notification imminente, pourvu que l’EU-Login existe. L’agence indique que l’inscription ne prend que quelques minutes une fois le compte cr\u00e9\u00e9.<\/p>\n Le d\u00e9lai court \u00e0 compter de la connaissance qu’a le fabricant de l’\u00e9v\u00e9nement ; une confirmation des autorit\u00e9s n’est pas n\u00e9cessaire pour cela. Les d\u00e9lais figurent dans la FAQ de l’ENISA relative \u00e0 la Single Reporting Platform du 8 septembre 2026.<\/p>\n Source : FAQ de l’ENISA relative \u00e0 la Single Reporting Platform, \u00e9tat au 8 septembre 2026.<\/p>\n<\/div>\n L’ENISA \u00e9crit que les fabricants doivent attendre en cas d’indisponibilit\u00e9 temporaire. D\u00e8s que l’interface est de nouveau accessible, la d\u00e9claration suit. Une panne ne remplace pas l’obligation. Un fabricant sans compte ne peut, pendant ces heures, qu’attendre et se connecter ensuite sur la plateforme.<\/p>\n Le EU-Login est dissoci\u00e9 de l’interface de d\u00e9claration et est d\u00e9j\u00e0 disponible avant un incident. L’ENISA souhaite maintenir le nombre de comptes de fabricants vides \u00e0 un niveau faible, afin que les CSIRT n’aient pas \u00e0 v\u00e9rifier \u00e0 l’avance des milliers d’attributions.<\/p>\n Non. L’obligation de d\u00e9claration s’applique \u00e0 partir du 11 septembre 2026, les exigences produit \u00e0 partir du 11 d\u00e9cembre 2027. \u00c0 partir du 11 d\u00e9cembre 2027, les nouveaux produits avec \u00e9l\u00e9ments num\u00e9riques devront satisfaire aux exigences essentielles de cybers\u00e9curit\u00e9 avant leur mise \u00e0 disposition dans l’Union. Le BSI cite \u00e0 cet \u00e9gard l’analyse de risques, la s\u00e9curit\u00e9 d\u00e8s la conception (security by design), les param\u00e8tres de s\u00e9curit\u00e9 par d\u00e9faut, une nomenclature logicielle (SBOM) et des mises \u00e0 jour de s\u00e9curit\u00e9 sur toute la p\u00e9riode de support. La nomenclature doit \u00eatre \u00e9tablie, mais pas publi\u00e9e. Le BSI indique cinq ans de support comme cas standard ; si un produit est exploit\u00e9 plus longtemps, la p\u00e9riode est prolong\u00e9e en cons\u00e9quence.<\/p>\n Une vuln\u00e9rabilit\u00e9 activement exploit\u00e9e dans un composant firmware oblige le m\u00eame fabricant, d\u00e8s le 11 septembre 2026, \u00e0 indiquer dans quels appareils ce composant est int\u00e9gr\u00e9. La nomenclature que le BSI \u00e9tablit au titre des obligations de d\u00e9cembre 2027 est la m\u00eame vue d’ensemble. Reste ouvert de savoir si la plateforme sera accessible le 11 septembre et quand l’ENISA activera les d\u00e9clarations volontaires.<\/p>\n \u00c0 partir du 11 septembre 2026. Le BSI a cit\u00e9 cette date en juin et de nouveau en ao\u00fbt 2026. L’ENISA pr\u00e9voit la mise en service de la plateforme \u00e0 la m\u00eame date.<\/p>\n<\/details>\n Non. Le CSIRT v\u00e9rifie l’attribution pendant que la d\u00e9claration est d\u00e9j\u00e0 en cours. La limite est fix\u00e9e \u00e0 20 d\u00e9clarations par fabricant sans v\u00e9rification achev\u00e9e.<\/p>\n<\/details>\n Pour les gestionnaires de projets open source, l’obligation de d\u00e9claration ne s’applique qu’\u00e0 partir du 11 d\u00e9cembre 2027. Les d\u00e9clarations volontaires concernant des menaces ou des quasi-incidents suivront dans une phase ult\u00e9rieure.<\/p>\n<\/details>\n L’ENISA exige d’attendre le r\u00e9tablissement puis de d\u00e9clarer. La panne ne suspend pas l’obligation. Le EU-Login peut \u00eatre cr\u00e9\u00e9 ind\u00e9pendamment de l’interface de d\u00e9claration.<\/p>\n<\/details>\n Non. Le BSI fixe au 11 d\u00e9cembre 2027 la mise en \u0153uvre compl\u00e8te des exigences de la CRA pour les produits. L’obligation de d\u00e9claration arrive plus t\u00f4t.<\/p>\n<\/details>\n Plus d’articles du r\u00e9seau MBF Media<\/p>\n\n
L’obligation de notification commence-t-elle le 11 septembre 2026 ?<\/h2>\n
Routeurs, capteurs et logiciels de comptabilit\u00e9 soumis \u00e0 la m\u00eame obligation<\/h2>\n
L’ENISA autorise 20 notifications avant la v\u00e9rification par le CSIRT<\/h2>\n
\n\n
\n \n\u00c9tape<\/th>\n D\u00e9lai apr\u00e8s connaissance<\/th>\n Contenu<\/th>\n<\/tr>\n<\/thead>\n \n Early Warning<\/td>\n 24 heures<\/td>\n Notification initiale de la vuln\u00e9rabilit\u00e9 activement exploit\u00e9e ou de l’incident grave<\/td>\n<\/tr>\n \n Notification<\/td>\n 72 heures<\/td>\n Informations g\u00e9n\u00e9rales et premi\u00e8re \u00e9valuation<\/td>\n<\/tr>\n \n Cl\u00f4ture vuln\u00e9rabilit\u00e9<\/td>\n 14 jours apr\u00e8s la correction<\/td>\n Rapport final d\u00e8s qu’une mesure corrective est disponible<\/td>\n<\/tr>\n \n Cl\u00f4ture incident<\/td>\n un mois apr\u00e8s la notification de 72 heures<\/td>\n Rapport final relatif \u00e0 l’incident grave<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Une panne de plateforme ne suspend pas le d\u00e9lai de 24 heures<\/h2>\n
L’obligation produit reste-t-elle report\u00e9e \u00e0 d\u00e9cembre 2027 ?<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
\u00c0 partir de quand l’obligation de d\u00e9claration s’applique-t-elle ?<\/strong><\/summary>\n
La v\u00e9rification par le CSIRT bloque-t-elle la premi\u00e8re d\u00e9claration ?<\/strong><\/summary>\n
Qui n’est pas encore tenu de d\u00e9clarer via la plateforme le 11 septembre 2026 ?<\/strong><\/summary>\n
Que se passe-t-il si la plateforme n’est pas accessible ?<\/strong><\/summary>\n
L’obligation produit compl\u00e8te s’applique-t-elle d\u00e9j\u00e0 le 11 septembre ?<\/strong><\/summary>\n
S\u00e9lection de la r\u00e9daction<\/h2>\n
\n