Règlement sur la cyberrésilience (CRA) – Obligations de notification pour les fabricants bientôt applicables, cela me concerne-t-il ?

Les auteurs de ce blog participent au projet CRACY financé par l’UE, qui aide les PME à comprendre et à se conformer au Cyber Resilience Act. 

Cet article est disponible en anglais, néerlandais et français. 

Le règlement sur la cyberrésilience (Cyber Resilience Act - CRA) vise à garantir que les fabricants conçoivent des produits plus cybersécurisés et à permettre aux utilisateurs de maintenir plus facilement ces produits dans un état sécurisé tout au long de leur cycle de vie. Il répond à l'évolution des cybermenaces et vise à rendre l'Internet des Objets (IoT) plus sûr. Pour ce faire, il impose des exigences minimales en matière de cybersécurité à tous les produits comportant des éléments numériques (PEN) mis sur le marché de l'UE. La destination ou l'utilisation raisonnablement prévisible d’un PEN comprend une connexion directe ou indirecte, logique ou physique, à un dispositif ou à un réseau. Nous renvoyons à notre précédant article de blog sur le CRA pour davantage de contexte et à celui sur la première FAQ de la Commission européenne. 

Les règles seront mises en œuvre par étapes. La plupart des obligations pour les fabricants s'appliqueront à partir du 11 décembre 2027, tandis que certaines obligations s'appliqueront dès le 11 septembre 2026. En vertu du CRA, les fabricants de PEN ont des obligations spécifiques pour garantir la cybersécurité de ces produits. En cas de vulnérabilité ou d'incident, les fabricants doivent remédier à la vulnérabilité ou au cyber incident connu. En outre, dans certaines circonstances, ils ont également des obligations de notification, lesquelles sont présentées ci-après. 

À compter du 11 septembre 2026, les fabricants qui mettent des PEN sur le marché de l'UE auront des obligations de notification en vertu du CRA. Il est donc essentiel pour une entité de déterminer, avant cette date, si elle est considérée comme un fabricant au sens du CRA afin de garantir le respect de ces obligations de notification. Il convient de noter qu'au-delà de cette obligation de notification, les fabricants ainsi que tout tiers peuvent signaler volontairement : 

(i) toute vulnérabilité ; 

(ii) toute cybermenace susceptible d’affecter le profil de risque d’un produit comportant des éléments numériques; 

(iii) tout incident ayant des répercussions sur la sécurité du PEN ou tout incident évité qui aurait pu entraîner un tel incident. 

Cet article vise à fournir un premier aperçu de la manière de déterminer si une entité est considérée comme un « fabricant » et quelles seront ses obligations de notification obligatoire à partir du 11 septembre 2026, afin de se préparer à se conformer à ce règlement. 

Qui est considéré comme un fabricant ? 

Un fabricant est défini comme une personne physique ou morale qui 

(1) développe ou fabrique des produits comportant des éléments numériques ou fait concevoir, développer ou fabriquer des produits comportant des éléments numériques ; et 

(2) les commercialise sous son propre nom ou sa propre marque, à titre onéreux, monétisé ou gratuit. 

Toutefois, un importateur, un distributeur ou toute personne physique sera considéré comme un fabricant au sens du CRA s'il apporte une modification substantielle à un PEN qui a été mis sur le marché par le fabricant et met ensuite ce PEN modifié à disposition sur le marché, ou si un importateur ou un distributeur met le PEN sur le marché sous son propre nom ou sa propre marque. Ce sont des critères alternatifs. 

Que faut-il notifier ? 

Les fabricants ont des obligations de notification dans les deux situations suivantes.

Premièrement, ils doivent signaler tout incident qui remplit deux conditions cumulatives, à savoir qu'il est grave et qu'il a des répercussions sur la sécurité du PEN. Un incident grave est un incident qui a ou peut avoir un impact négatif sur la capacité du produit à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou fonctions sensibles ou importantes, ou qui a conduit ou est susceptible de conduire à l'introduction ou à l'exécution d'un code malveillant dans le produit ou dans le réseau et les systèmes d'information d’un utilisateur du produit. 

Deuxièmement, ils doivent signaler toute vulnérabilité activement exploitée, c'est-à-dire une vulnérabilité pour laquelle il existe des preuves fiables qu’elle a été exploitée par un acteur malveillant dans un système sans l’autorisation du propriétaire du système.

Comment et quand ce signalement doit-il être effectué ? 

Cette obligation de signalement doit être remplie auprès de l’Equipe de Réponse aux Incidents de Sécurité Informatique (CSIRT) désigné comme coordinateur pour l'État membre, l'Agence de l'Union européenne pour la cybersécurité (ENISA). Il faut également notifier les utilisateurs du produit concerné et, s’il y a lieu, tous les utilisateurs de ladite vulnérabilité ou dudit incident. 

• Pour signaler la vulnérabilité ou l’incident aux utilisateurs, par analogie avec l’obligation d’information des utilisateurs prévues par NIS2, le fabricant peut utiliser tous les moyens (de communication) disponibles, tels que la publication d'informations sur son site web, l'utilisation d'une liste de diffusion, l'envoi d'un message via une application ou la communication via des supports imprimés. 

• Pour signaler les incidents au CSIRT et à l'ENISA, une plateforme unique de signalement est créée. Les fabricants doivent effectuer leur notification via le point de notification électronique du CSIRT désigné comme coordinateur de leur établissement principal. Une notification soumise via cette plateforme sera automatiquement transmise au coordinateur CSIRT désigné concerné et sera simultanément accessible à l'ENISA. Une fois cette plateforme opérationnelle, l'ENISA publiera surement des lignes directrices sur la manière de signaler les vulnérabilités et incidents. Les États membres pourront alors mettre en place leurs propres points de notification électroniques. 

Où effectuer le signalement ? 

Afin de pouvoir signaler au bon point de notification électronique, un fabricant doit déterminer où se trouve son établissement principal au sens de la CRA. Un fabricant est considéré comme ayant son établissement principal dans l'Union européenne dans l'État membre où les décisions relatives à la cybersécurité de ses PEN sont principalement prises. 

Dans le cas où cela ne peut être déterminé, le fabricant est considéré comme ayant son établissement principal dans l'État membre où il possède l'établissement comptant le plus grand nombre d'employés dans l'Union européenne. 

Si le fabricant n'a pas d'établissement principal dans l'Union, il doit soumettre les notifications dans l'État membre déterminé selon l'ordre suivant : 

(1) L'État membre dans lequel est établi le mandataire agissant au nom du fabricant pour le plus grand nombre de ses PEN ; 

(2) l'État membre dans lequel est établi l'importateur qui met sur le marché le plus grand nombre de ses PEN ; 

(3) l'État membre dans lequel est établi le distributeur qui met à disposition sur le marché le plus grand nombre de ses PEN ; 

(4) l'État membre dans lequel se trouve le plus grand nombre d'utilisateurs de ses PEN. 

Délais de signalement 

Les obligations de notification sur la plateforme unique sont triples. Premièrement, le fabricant doit effectuer une notification d'alerte précoce sans retard injustifié, et dans un délai maximum de 24 heures après avoir pris connaissance de l'incident grave ayant un impact sur la sécurité ou de toute vulnérabilité activement exploitée. Ce rapport doit préciser le PEN concerné et, le cas échéant, dans quel État membre il a connaissance que ce produit a été mis à disposition. 

La FAQ fournit des exemples de situations dans lesquelles un fabricant est considéré comme ayant pris connaissance d’une telle vulnérabilité ou d’un tel incident. Cela inclut notamment les cas où un client ou une organisation partenaire informe le fabricant d’une activité inhabituelle ou d’une compromission, et lui fournit des preuves fiables qu’une vulnérabilité activement exploitée est présente dans le PEN. D’autres possibilités incluent les rapports de renseignement sur les menaces ; les notifications d’agences gouvernementales de cybersécurité ayant détecté, via leurs systèmes de surveillance, l’exploitation d’une vulnérabilité ; les signalements de hackers éthiques concernant une vulnérabilité déjà exploitée ; ou encore la détection par les propres activités internes de surveillance, de scan ou de télémétrie du fabricant. 

Deuxièmement, le fabricant doit effectuer une notification de vulnérabilité ou de l’incident sans retard injustifié et dans un délai maximum de 72 heures après avoir pris connaissance de cette vulnérabilité ou de cet incident. Cette notification doit inclure des informations générales sur le PEN concerné, la nature de la vulnérabilité ou de l'incident, les mesures d'atténuation ou correctives qui ont été prises et que les utilisateurs peuvent prendre, le degré de sensibilité qu'ils attribuent aux informations notifiées et, en cas d'incident, une première évaluation de celui-ci. La proposition actuelle du Digital Omnibus modifierait le délai de notification des violations de données à caractère personnel prévu par le RGDP, le faisant passer de 72 à 96 heures après la prise de connaissance de la violation. Il est donc possible que ce délai de 72 heures prévu par le CRA soit également porté à 96 heures. 

Enfin, le fabricant doit fournir un rapport final, soit dans les 14 jours suivant la mise à disposition des mesures correctives ou d'atténuation en cas de vulnérabilité, soit dans un délai d'un (1) mois après la soumission de la notification d'incident. Ce rapport doit inclure une description de l'incident ou de la vulnérabilité, y compris sa gravité et son impact. En cas de vulnérabilité, il doit indiquer, si possible, qui est l'acteur malveillant qui a exploité ou exploite la vulnérabilité et donner des détails sur les mises à jour de sécurité et les mesures correctives mises à disposition pour remédier à cette vulnérabilité. En cas d'incident, ce rapport doit indiquer le type de menace ou la cause profonde susceptible d'avoir déclenché l'incident et préciser les mesures d'atténuation appliquées et en cours. 

En outre, le CSIRT peut toujours demander un rapport intermédiaire sur les mises à jour pertinentes de la situation. 

L'expression « sans retard injustifié » signifie qu’il convient de notifier dès que possible, sans attendre l’expiration du délai maximal, par analogie avec le Guide de notification du CCB pour NIS2. Attendre la fin de la période de 24 ou 72 heures n'est justifié que dans des circonstances exceptionnelles. 

Si vous souhaitez obtenir de l'aide pour déterminer si vous êtes considéré comme un fabricant et comment vous préparer à cette obligation de déclaration, n'hésitez pas à nous contacter.