La première échéance impérative prévue par la loi européenne sur la cyber-résilience (CRA) entre en vigueur cette semaine. À compter du 11 septembre 2026, les fabricants qui commercialisent sur le marché de l’UE des produits comportant des éléments numériques devront signaler les vulnérabilités activement exploitées dans les 24 heures suivant leur découverte. Une notification plus détaillée doit être transmise dans les 72 heures, suivie d’un rapport final dans les 14 jours suivant la mise à disposition d’une mesure corrective. Une procédure parallèle s’applique aux incidents graves de cybersécurité qui affectent la sécurité du produit. Dans ces cas-là, le rapport final doit être remis dans un délai d’un mois à compter de la notification initiale dans les 72 heures.

Ces deux obligations s'appliquent aux produits déjà commercialisés, et pas seulement aux nouveaux lancements, et incombent toutes deux au fabricant, qu'il s'agisse de matériel, de logiciels ou d'un service connecté. Toute plateforme de messagerie ou de coordination opérant dans l'UE est désormais directement soumise à cette obligation.

La sécurité n'est plus un investissement facultatif

Avant la mise en place de la CRA, un fournisseur pouvait choisir le niveau d’investissement à consacrer à la sécurité de ses produits et la mesure dans laquelle il souhaitait en parler publiquement. Ce choix n’existe plus. D’ici le 11 décembre 2027, tout produit comportant des éléments numériques devra être sécurisé dès sa conception, être commercialisé sans vulnérabilités exploitables connues, bénéficier d’une période de support déclarée d’au moins cinq ans (sauf si la durée de vie prévue du produit est naturellement plus courte) et maintenir chaque mise à jour de sécurité publiée disponible pendant au moins 10 ans après sa publication, ou jusqu’à la fin de la période de support, la durée la plus longue prévalant. La conformité totale, la documentation technique, une nomenclature logicielle (SBOM) lisible par machine et le marquage CE devront tous être fournis à cette même date. La sécurité devient une condition documentée et vérifiable pour rester sur le marché de l’UE, et non plus une simple affirmation qu’un fournisseur peut faire sans être contesté.

Le non-respect de ces dispositions entraîne des conséquences qui vont au-delà d’une simple amende. Les autorités de surveillance du marché peuvent ordonner des mesures correctives, le retrait du produit ou un rappel pur et simple, en plus de sanctions financières pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial total en cas de non-respect des exigences essentielles ou des obligations prévues aux articles 13 ou 14, le montant le plus élevé étant retenu. Toute organisation qui continue à confier la coordination de données sensibles à un prestataire incapable de répondre à ces questions s’expose désormais à des risques réglementaires, en plus des risques opérationnels.

Pourquoi les enjeux sont plus importants pour les plateformes de communication

Une vulnérabilité dans un tableur est isolée. En revanche, une vulnérabilité dans la plateforme qu’une organisation utilise pour coordonner ses opérations sensibles, les communications de la direction et la gestion des incidents peut devenir un point de défaillance unique pour tout ce qui transite par cette plateforme, y compris la gestion de l’incident lui-même. Les outils de communication ont toujours été choisis en fonction de leurs fonctionnalités, de leur prix et de la familiarité de leur interface. Le niveau de sécurité était rarement une exigence prioritaire. Il semblait plus facile de justifier l’utilisation d’outils auxquels les utilisateurs étaient habitués dans leur vie privée que de prendre des décisions axées sur la sécurité. La CRA modifie définitivement les critères d’achat, car la gestion des vulnérabilités doit désormais être documentée et vérifiable, avec une trace écrite que l’acheteur est en droit de demander et d’examiner.

Questions à poser à votre prestataire de services de communication

Lorsque vous évaluez la conformité d'un fournisseur aux exigences de la CRA de l'UE, demandez des précisions, et non de simples assurances.

• Disposent-ils aujourd'hui d'un système opérationnel de notification au titre de l'article 14, et non pas simplement d'un projet en ce sens, étant donné que cette obligation s'applique aux produits déjà commercialisés ?

• Quelle est la durée de prise en charge annoncée pour le produit que vous achetez ? Demandez expressément si cette durée a été fixée en fonction de la durée d'utilisation réelle prévue du produit, et non pas simplement en fonction du minimum de cinq ans imposé par l'ARC.

• Comment vont-ils prouver que les mises à jour de sécurité sont disponibles pour chaque correctif qu'ils publient ? Cet engagement s'étend sur plusieurs années après chaque mise à jour, et ne se limite pas à la durée du contrat.

• Sont-ils déjà en mesure de produire une SBOM lisible par machine, ou cela fait-il toujours partie de leur feuille de route en vue de l'échéance de décembre 2027 ?

• Que se passe-t-il dans le cadre de la CRA s'ils se trompent ? Un prestataire incapable d'expliquer clairement les risques de sanctions auxquels il s'expose n'a probablement pas non plus réfléchi sérieusement à ceux qui vous concernent.

Une réglementation qui contraint le marché à agir

L'administration fiscale (CRA) n'invente pas tant une nouvelle norme qu'elle ne soulève une question que le marché aurait dû se poser depuis longtemps : cette plateforme a-t-elle été conçue pour assurer une gouvernance de la sécurité continue et vérifiable, ou cette gouvernance a-t-elle été ajoutée a posteriori lorsque la loi l'a exigé ? Pour toute organisation qui coordonne actuellement des activités sensibles via une plateforme choisie pour des raisons de commodité plutôt que pour son architecture, la date limite de déclaration fixée cette semaine constitue un moment opportun pour déterminer dans quel cas de figure elle se trouve.