Cyber Resilience Act : les fabricants doivent signaler les failles exploitées, l’ENISA ouvre sa plateforme
Les obligations de signalement du règlement européen Cyber Resilience Act s’appliquent aux fabricants depuis le 11 septembre 2026. L’ENISA a mis en service ce jour-là la capacité opérationnelle initiale de sa plateforme unique de signalement.
Pour les pros
Pour les professionnels
Le contexte
Le Cyber Resilience Act (CRA) est le cadre européen qui impose des exigences de cybersécurité aux produits comportant des éléments numériques. Ses obligations de notification s’appliquent aux fabricants depuis le 11 septembre 2026 ; ses exigences principales s’appliqueront à partir du 11 décembre 2027. L’ENISA exploite la plateforme unique de signalement (SRP), qui permet de notifier une fois et d’informer toutes les autorités concernées.
Ce qui s'est passé, jour après jour
Les obligations de signalement du CRA s’appliquent aux fabricants : failles activement exploitées et incidents graves ayant un impact sur la sécurité de leurs produits.
L’ENISA déploie la capacité opérationnelle initiale de la plateforme unique de signalement (SRP) et publie guides, FAQ et assistance.
Une notification est reçue par le CSIRT désigné comme coordinateur, qui la transmet aux CSIRT des États membres où le produit est disponible ; elle est aussi mise à la disposition de l’ENISA.
Qui est concerné
- ENISA
- Commission européenne
- CSIRT nationaux
- Fabricants de produits numériques
À faire, dans l'ordre
Fabricants de produits numériques vendus dans l’Union européenne : identifier dès maintenant qui notifie, sous quel délai interne, et ouvrir un compte sur la plateforme unique de signalement de l’ENISA.
Consulter les ressources de l’ENISA (FAQ, manuels, vidéos, glossaire) et celles de la Commission européenne sur les obligations de signalement du CRA.
Mettre à jour l’inventaire des produits et composants libres utilisés, pour savoir quels avis de sécurité vous concernent.
Utilisateurs et administrateurs : suivre les avis des CSIRT nationaux et appliquer les correctifs des fabricants sans délai.
En clair
Pour tout le monde
Un règlement européen impose désormais aux fabricants d’objets et de logiciels connectés de prévenir les autorités quand une faille est déjà utilisée par des attaquants, ou quand un incident grave touche leur produit. Depuis le 11 septembre, ils le font en un seul endroit, une plateforme gérée par l’agence européenne ENISA. Pour vous, rien à saisir : l’effet attendu est que les alertes de sécurité arrivent plus vite. Gardez le bon réflexe : installer les mises à jour dès qu’elles sont proposées.
Ce que ça change dans le Pacifique
Nouvelle-Calédonie, Polynésie française, Wallis-et-Futuna
La source ne mentionne ni la Nouvelle-Calédonie, ni la Polynésie française, ni Wallis-et-Futuna : aucun effet direct n’est établi sur les territoires. Le lien est indirect : les produits de fabricants européens y sont aussi utilisés, et les avis de sécurité issus de ces signalements peuvent concerner des équipements locaux. Suivre les alertes du CERT-FR et des constructeurs reste le geste utile.
Réseau de sources
Qui a relevé l’alerte, et quelles autorités la documentent.
- Communiqué de l’ENISA
Sources (1)
- Communiqué de l’ENISAAutoritéENISA, The CRA Single Reporting Platform is launched (site externe, nouvel onglet)enisa.europa.eu