Vendredi, les éditeurs devront signaler leurs failles sous 24 heures

Vendredi 11 septembre, une règle européenne passe de la théorie à la contrainte. Tout fabricant qui vend un produit avec des éléments numériques dans l'Union, du firmware d'une box internet à une appli de bureau, devra signaler aux autorités les failles de sécurité que des attaquants exploitent déjà, dans les 24 heures suivant sa prise de connaissance. Une alerte précoce sous 24 h, une notification complète sous 72 h, un rapport final dans les 14 jours après la sortie du correctif. C'est le calendrier imposé par le Cyber Resilience Act, le règlement européen sur la cyberrésilience adopté en 2024.

Ce qui change vendredi

Une faille activement exploitée, c'est une vulnérabilité que des pirates utilisent en vrai, là, maintenant. Ça n'a rien à voir avec une faille découverte par un chercheur et corrigée tranquillement. Ici, le mal est fait, des machines sont attaquées, et l'Europe veut le savoir vite.

Qui est concerné ? Le règlement vise le fabricant : l'entité qui conçoit un produit avec des éléments numériques et le met sur le marché européen sous son nom. Ça couvre l'éditeur de logiciel comme l'industriel qui intègre un composant. En revanche, une entreprise qui se contente d'utiliser ces produits n'a rien à déclarer.

Côté pratique, le fabricant déclare une seule fois, via la plateforme unique mise en place par l'agence européenne de cybersécurité. La déclaration part vers le CSIRT, l'équipe nationale de réponse aux incidents (en France, CERT-FR côté administration), qui la partage avec les autres pays de l'Union où le produit est vendu.

Wikimedia Commons, drapeau de l'Union européenne, fichier domaine public.

Une plateforme qui arrive au dernier moment

L'ENISA, l'agence européenne de cybersécurité, a publié début septembre les guides d'utilisation de sa plateforme de signalement, quatre jours avant l'échéance. L'adresse publique de l'outil n'était d'ailleurs pas encore diffusée ce lundi, les tests fonctionnels et de sécurité se poursuivant avec le prestataire. On est passé du grand texte réglementaire à un formulaire web, et le formulaire arrive au dernier moment.

Première surprise : pas d'interface de programmation au lancement. Un éditeur peut automatiser sa détection interne autant qu'il veut, il devra ouvrir la plateforme et saisir sa déclaration à la main. Les champs reprennent le vocabulaire des équipes sécurité : identifiant CVE (la référence internationale d'une faille), gravité, acteur malveillant, nature du code d'attaque.

Deuxième surprise, plus étonnante : l'accès passe par un compte personnel européen avec double authentification, validé par le CSIRT national. L'agence recommande même aux fabricants de ne s'enregistrer qu'au moment de déposer une déclaration, pour ne pas saturer les équipes. Ce qui met la création de compte à l'intérieur d'une fenêtre de 24 heures. Tout invite pourtant à faire ce travail à l'avance.

ENISA , logo officiel de la Single Reporting Platform, extrait de la page officielle de l'agence.

Ce que ça change pour toi

Tu n'es pas fabricant ? La règle te concerne quand même. À partir de vendredi, les failles activement exploitées cessent d'être une information privée de l'éditeur pour devenir une donnée régulée, transmise aux CSIRTs puis relayée. Si tu tiens un inventaire de tes logiciels et de tes fournisseurs, tu gagnes une alerte amont calée sur les attaques réelles, distincte du simple calendrier des correctifs. Sans inventaire, ce flux reste du bruit.

Une faille activement exploitée, tu en as vu passer cette semaine : une porte dérobée restée 12 ans dans PostgreSQL, une faille zero-day dans le moteur V8 de Chrome corrigée en urgence. Ce type d’événement, découvert après vendredi, devra être déclaré sous 24 h si l’éditeur est dans le champ du règlement.

La règle n'est pas rétroactive : une exploitation connue de l'éditeur avant le 11 septembre échappe à la déclaration rétroactive. En revanche, la prise de connaissance après vendredi déclenche l'obligation, même sur une vieille faille. Et le dispositif couvre d'emblée tous les produits concernés, y compris ceux mis sur le marché avant l'échéance de décembre 2027, où l'application complète du règlement arrive.

Le compteur démarre à zéro

Le règlement s'applique par paliers : le signalement des failles exploitées vendredi, l'application complète le 11 décembre 2027. La vraie question, désormais, c'est le débit : combien de déclarations par semaine, sur quels produits, avec quel niveau de détail. Personne ne connaît la réponse. Le premier signalement donnera le tempo, et les semaines qui suivront diront si cette transparence forcée change quelque chose pour les utilisateurs ou si elle devient un formulaire de plus. On regarde ça de près.

Sources

IT Social , le détail de la mise en service de la plateforme et des délais, publié le 7 septembre 2026.

ENISA , la page officielle de la Single Reporting Platform, avec guides et glossaire.

La Commission européenne , la page officielle des obligations de signalement du Cyber Resilience Act.

EUR-Lex , le texte intégral du règlement (UE) 2024/2847.

 —

Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.