Dissimuler un piratage vient de devenir illégal en Europe — les fabricants ont 24 heures pour signaler

Vendre un appareil connecté en Europe implique désormais une obligation qui n’existait pas la semaine dernière : découvrir un piratage ou un incident de sécurité grave, et les autorités doivent en être informées sous 24 heures. Le Cyber Resilience Act de l’UE a franchi cette semaine son premier seuil d’exécution majeur, et la chaîne est précise — une notification plus complète suit dans les 72 heures, avec un rapport final dû 14 jours après la disponibilité d’un correctif, ou dans un délai d’un mois pour les incidents plus larges.

L’obligation couvre ce que la loi appelle les « produits comportant des éléments numériques » — une catégorie assez large pour inclure les smartphones, les thermostats intelligents, les routeurs connectés, les applications de fitness et les plateformes cloud. Point crucial : elle s’applique aux produits déjà présents sur le marché européen, pas seulement aux nouvelles sorties. Un appareil livré il y a deux ans et toujours en usage entre dans le champ s’il possède des fonctionnalités connectées. Les logiciels gratuits distribués commercialement tombent sous les mêmes règles.

Avant le 11 septembre, la relation entre un fabricant et un incident de sécurité était largement régie par la politique interne. Les entreprises divulguaient les piratages quand elles le choisissaient, souvent après des semaines d’examen interne, de consultation juridique et d’évaluation des risques de marque. Certaines ne divulguent jamais. Cette discrétion a désormais disparu en Europe. Les rapports sont envoyés à l’équipe nationale de réponse aux incidents de sécurité informatique (CSIRT) de l’État membre de l’UE où se trouve l’établissement principal du fabricant, avec des copies à l’Agence de l’Union européenne pour la cybersécurité (ENISA), via une plateforme unique de signalement dédiée (Single Reporting Platform).

La question de la préparation est sérieuse. Lorsque les obligations de signalement ont été finalisées, les fabricants disposaient d’environ trois mois pour construire l’infrastructure interne — un inventaire des produits concernés, des protocoles d’escalade clairs et une intégration technique avec la Single Reporting Platform. Les conseillers juridiques travaillant avec les fabricants préviennent que les délais ne laissent presque aucun temps pour construire le processus après le début d’un incident. Une entreprise qui découvre une brèche à minuit un vendredi doit soumettre son rapport initial avant minuit le samedi, quel que soit le week-end ou les jours fériés.

L’avantage pour le consommateur est réel mais indirect. Les fabricants doivent également informer les utilisateurs concernés des incidents de sécurité et des mesures correctives disponibles. Si une entreprise omet d’informer les utilisateurs en temps utile, les autorités nationales de cybersécurité peuvent intervenir et émettre elles-mêmes l’alerte. Il ne s’agit pas d’un régime de notification que l’utilisateur moyen verra sur son téléphone — il fonctionne par des canaux réglementaires — mais il crée une obligation exécutoire qui fait que les piratages ne peuvent plus simplement être absorbés en silence par une équipe juridique.

Le 11 septembre est la partie la plus étroite de l’obligation. L’ensemble plus complet du Cyber Resilience Act — exigeant que les produits connectés soient conçus avec une sécurité intégrée, imposant des processus de gestion des vulnérabilités et des évaluations de conformité pour les catégories de produits les plus risquées — ne s’applique pas avant le 11 décembre 2027. Cette échéance nécessite des modifications de conception, des protocoles de test et des processus de certification qui ne peuvent tout simplement pas être greffés sur les gammes de produits existantes en quelques mois. L’industrie a plus d’un an, mais le travail technique est déjà en cours chez les grands fabricants.

L’approche de l’UE fait de l’Europe le premier bloc réglementaire majeur à imposer des délais de divulgation des vulnérabilités contraignants sur l’ensemble du marché des technologies grand public, et pas seulement sur les infrastructures critiques. La rapidité avec laquelle les CSIRT nationales développeront la capacité de traiter ces rapports — et si les mesures d’exécution suivront les défaillances de signalement dans les premiers mois — déterminera si le 11 septembre marque un véritable tournant ou une échéance de papier.

Étiquettes: cybersécurité, Commission européenne, violation de données, appareils connectés, Cyber Resilience Act, ENISA