📢 Shared from Cyberr France Chers membres, Dans quatorze jours, le 11 septembre 2026, une obligation entre…
Maudrux A. — Directeur Général France | Le futur du recrutement | Cyberr.ai
📢 Shared from Cyberr France
Chers membres,
Dans quatorze jours, le 11 septembre 2026, une obligation entre en application dans toute l'Union : signaler une vulnérabilité activement exploitée sous 24 heures. Elle ne concerne pas que les grands éditeurs de logiciels.
Le constat
Le Cyber Resilience Act active sa première brique opérationnelle. À partir du 11 septembre, tout fabricant d'un produit comportant des éléments numériques mis sur le marché européen devra transmettre une alerte précoce sous 24 heures, puis une notification complète sous 72 heures, en cas de vulnérabilité activement exploitée ou d'incident grave. Le canal est unique : la plateforme de signalement opérée par l'ENISA, avec le CERT-FR comme point d'entrée national. Le reste des obligations, sécurité dès la conception, gestion des vulnérabilités sur tout le cycle de vie, documentation technique, s'appliquera le 11 décembre 2027. Les sanctions peuvent atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial.
Pourquoi c'est important
Deux angles morts reviennent dans nos échanges avec les comités de direction.
Le premier : beaucoup d'organisations se croient hors périmètre. Or le règlement vise les produits comportant des éléments numériques, pas seulement les éditeurs. Une entreprise industrielle qui commercialise un équipement connecté, une société qui distribue une application, un importateur qui met sur le marché européen un produit conçu ailleurs : tous entrent dans le champ, à des titres différents.
Le second : 24 heures, ce n'est pas un délai technique, c'est un délai de décision. Il suppose qu'une vulnérabilité exploitée soit qualifiée, remontée, arbitrée et déclarée pendant que l'équipe est encore en train de comprendre ce qui se passe. Sans chaîne de décision préétablie et sans astreinte, ce délai ne tient pas.
Trois chantiers Ă ouvrir avant le 11 septembre :
1. Trancher la question du périmètre, par écrit. Lister les produits et services mis sur le marché européen et statuer avec le juridique sur votre qualification : fabricant, importateur ou distributeur.
2. Écrire la procédure de signalement 24 heures, puis la tester. Qui qualifie, qui décide, qui déclare, qui prend le relais un vendredi soir. Un seul exercice suffit à révéler les trous.
3. Répercuter l'exigence sur vos fournisseurs. Vos contrats doivent vous garantir une information assez rapide pour tenir votre propre délai, sans quoi vous serez en retard par construction.
Un point d'attention souligné par l'ANSSI : l'absence de normes harmonisées définitives ne suspend pas les exigences essentielles. Attendre les normes pour lancer l'inventaire de ses composants est une stratégie perdante.
👉 https://cyber.gouv.fr/reglementation/cybersecurite-des-produits/cyber-resilience-act/questions-frequentes-sur-le-cra/
Et chez vous, la question du périmètre CRA a-t-elle déjà été tranchée en comité de direction, ou reste-t-elle un sujet d'équipe technique ?
#Cybersécurité #CRA #CyberResilienceAct #RSSI #France #Conformité #Cyberr
0 reactions · 0 comments
Topics: #cyberr, #conformit, #france, #cra, #cybers, #cyberresilienceact, #rssi