Dans cet article
Depuis le 11 septembre 2026, les fabricants de produits comportant des éléments numériques mis sur le marché de l’UE doivent signaler certaines vulnérabilités activement exploitées et certains incidents graves. Les autres obligations principales du Cyber Resilience Act s’appliquent plus tard. Source officielle.
Le contrôle à mener
Identifier le fabricant, le produit, le canal de remontée des failles et la personne qui déclenche le signalement. Documenter la chronologie d’un incident et consulter la plateforme officielle de déclaration.
Un objet connecté vendu en ligne peut être touché par une faille signalée au fabricant. Le vendeur doit savoir qui contacter et comment informer ses clients, tandis que le fabricant qualifie et déclare l’incident selon ses obligations.
Ce que l’on peut conclure
Les délais de 24 heures et 72 heures concernent les cas couverts par la règle. Une boutique simple revendant un produit ne doit pas se présenter sans analyse comme son fabricant. Datez le contrôle et gardez le lien vers la documentation d’origine pour vérifier toute évolution.
Qui est concerné par le signalement
La Commission décrit une obligation de signaler les vulnérabilités activement exploitées et les incidents graves touchant la sécurité des produits numériques concernés. Elle vise les fabricants et leurs produits mis à disposition dans l'UE, y compris ceux déjà sur le marché. Un revendeur doit donc distinguer ses propres responsabilités de celles du fabricant, tout en sachant comment lui remonter rapidement une alerte reçue d'un client.
Préparer une chaîne d'alerte
Tenez un inventaire des produits, versions et fournisseurs. Désignez un contact technique et un remplaçant ; documentez comment qualifier un signalement, conserver les éléments utiles et joindre le fabricant. Pour une vulnérabilité avérée, les délais annoncés par la Commission sont courts : alerte initiale sous 24 heures et notification complète sous 72 heures pour le fabricant concerné. Un courriel perdu dans une boîte commerciale peut donc devenir un risque opérationnel.
Exemple de réaction
Un client signale qu'une caméra connectée expose un accès non autorisé. Le vendeur enregistre le modèle et la version sans publier de détails exploitables, avertit immédiatement le fabricant et suit ses instructions de protection des acheteurs. Le fabricant qualifie l'incident et utilise la plateforme de signalement prévue. La boutique met à jour sa communication client lorsque les faits et la mesure corrective sont confirmés.
Questions pour une boutique de produits connectés
Qui reçoit un signalement ? Affichez un contact clair pour les clients et donnez à l'équipe support la marche à suivre pour joindre le fabricant sans délai.
Quels éléments conserver ? Modèle, version, date, description du symptôme et coordonnées de rappel, avec un accès limité aux personnes qui traitent l'alerte.
Faut-il publier immédiatement ? Protéger les clients peut nécessiter une communication rapide, mais évitez de diffuser des détails exploitables ou des conclusions non confirmées. Coordonnez le message avec le fabricant et les autorités compétentes selon le cas.
