Écrivez votre procédure 24 h / 72 h sur une page
L'article 14 s'applique demain. Les cinq lignes à écrire pour savoir qui reçoit l'alerte, qui décide et où part la notification.
Un client vous écrit un vendredi soir. Il a vu des requêtes anormales dans ses logs et il pense que ça vient de votre produit. Vous ouvrez le message à 21 h 12.
À partir de demain, cette minute compte.
Ce qui commence demain
Demain, vendredi 11 septembre 2026, l’article 14 du Cyber Resilience Act s’applique. Dark Reading en parle aujourd’hui, sous le titre « EU Cyber Resilience Act to Enforce New Reporting Requirements ». TechTarget a publié hier un guide sur le même sujet. Le texte est connu depuis décembre 2024, mais la date arrive maintenant.
L’article 14 vise deux cas. Une vulnérabilité de votre produit activement exploitée (paragraphe 1). Un incident grave ayant un impact sur la sécurité du produit (paragraphe 3).
Dans les deux cas, une alerte précoce sous 24 heures et une notification sous 72 heures. Le point de départ est le moment où vous en avez connaissance. Destinataires : le CSIRT désigné comme coordinateur dans votre État membre, et l’ENISA. La plateforme unique de notification de l’ENISA est prévue pour la même date (article 16).
Le rapport final vient plus tard. 14 jours après la mise à disposition d’une mesure corrective ou d’atténuation pour une vulnérabilité. Un mois après la notification pour un incident.
Le reste du règlement attend le 11 décembre 2027, y compris les sanctions de l’article 64.
Pourquoi une page suffit
À 21 h 12 un vendredi, personne ne relit un règlement européen. On applique ce qui est déjà écrit. Une page qui répond à cinq questions fait le travail. Voici les cinq.
1. Qui reçoit
Une adresse qui arrive chez un humain, publiée là où un chercheur va la chercher. Un fichier security.txt (RFC 9116) à la racine de votre site suffit pour la partie publication.
Si l’information vous arrive par le support client, écrivez-le aussi. Le canal réel compte plus que le canal prévu.
2. Qui décide
Une personne nommée, et un suppléant. Son rôle tient en une décision : est-ce que nous avons des éléments fiables indiquant qu’un acteur malveillant a exploité cette vulnérabilité dans un système, sans l’autorisation du propriétaire ?
C’est la définition de l’article 3, point 42. Une CVE publiée dans votre pile, sans preuve d’exploitation, ne déclenche pas le délai de 24 heures. Pour un incident, le critère est à l’article 14, paragraphe 5.
3. L’heure de connaissance
Une ligne dans un fichier daté : date, heure, source, ce qui a été dit. Le compte à rebours démarre là, pas quand une autorité vous écrit.
Si la décision prend deux jours, vous voulez pouvoir montrer pourquoi. L’heure écrite au moment où l’information arrive vaut mieux qu’une reconstitution un mois après.
4. Où part l’alerte
Le nom de votre CSIRT coordinateur, son adresse de notification, et l’ENISA. Écrits d’avance, dans la page. Chercher le bon destinataire pendant le délai coûte des heures que vous n’avez pas.
5. Ce que vous envoyez
Un texte à trous, prêt. Identifiant du produit, version, nature de la vulnérabilité, ce que vous savez de l’exploitation, mesures prises.
Ajoutez la case utilisateurs. L’article 14, paragraphe 8, demande d’informer sans retard injustifié les utilisateurs concernés, et si nécessaire tous les utilisateurs, de la vulnérabilité ou de l’incident, avec les mesures qu’ils peuvent appliquer. Le règlement ne fixe pas de modèle pour ce message.
Le cas concret
Deux personnes vendent un logiciel de facturation auto-hébergé. Une centaine de clients. Pas de juriste, pas d’astreinte.
Le message arrive un vendredi à 21 h 12. Sans page écrite, ils passent le samedi à se demander qui appeler et si le cas relève de l’article 14, et quand ils s’organisent le lundi matin, le délai de 24 heures est dépassé depuis longtemps.
Avec la page, la personne d’astreinte note l’heure, tranche sur la définition du point 42, ouvre le modèle et envoie. Trente minutes. Le correctif, lui, prendra le temps qu’il prendra.
Détail utile : leur produit est sur le marché depuis 2023. L’article 69 prévoit que l’article 14 s’applique quand même aux produits déjà mis sur le marché avant le 11 décembre 2027.
Ce que la page ne fait pas
Elle ne vous dit pas si vous êtes fabricant au sens du règlement. C’est la question d’avant, et elle dépend de votre modèle, pas de votre code. Le test de périmètre la pose en 8 questions, avec les références d’articles : https://crakit.eu/fr/champ-d-application/
Elle ne remplace pas non plus l’avis d’un juriste sur votre situation.
Une dernière chose sur le délai de 24 heures. L’article 64, paragraphe 10, point a, prévoit qu’une micro ou petite entreprise n’encourt pas d’amende pour le seul dépassement de ce délai d’alerte précoce. L’obligation reste, la sanction spécifique ne s’applique pas à ce cas. Et les amendes s’appliquent à partir de décembre 2027.
Demain, la seule question qui compte est de savoir si votre procédure existe et si quelqu’un sait où elle est.
Ce n’est pas un conseil juridique.
Ce n’est pas un conseil juridique.