En août, nous écrivions que le 11 septembre 2026 marquerait l’entrée en application des obligations de signalement du Cyber Resilience Act. Le jour est passé, et l’outil prévu par le règlement est en service. L’Agence de l’Union européenne pour la cybersécurité (ENISA) a mis en ligne ce 11 septembre sa plateforme unique de signalement, accompagnée d’une foire aux questions mise à jour le 17 septembre.

Ce que la plateforme reçoit

Selon l’ENISA, la plateforme sert aux fabricants de produits comportant des éléments numériques à remplir leur obligation de signaler deux types d’événements : les vulnérabilités activement exploitées, c’est-à-dire celles dont il existe une preuve fiable qu’un acteur malveillant s’en est servi, et les incidents graves qui affectent la sécurité du produit.

Les délais restent ceux fixés par le règlement : une alerte précoce dans les 24 heures après en avoir pris connaissance, une notification dans les 72 heures, puis un rapport final, quatorze jours après la mise à disposition d’un correctif pour une vulnérabilité, un mois après la notification pour un incident grave. Le signalement volontaire, lui, n’est pas encore ouvert : il viendra dans une phase ultérieure.

Qui se connecte, et comment

L’accès se fait par l’adresse portal.cra-srp.enisa.europa.eu. Les personnes qui signalent au nom du fabricant, que l’ENISA appelle des représentants désignés, doivent disposer d’un compte EU Login personnel avec authentification multifacteur. Ce compte peut être créé à l’avance.

Un seul représentant principal par fabricant, qui peut inviter jusqu’à vingt représentants secondaires. Le lien entre le représentant et l’entreprise est validé par le CSIRT, l’équipe nationale de réponse aux incidents, mais cette validation se déroule en parallèle : un représentant non encore vérifié peut déposer jusqu’à vingt notifications. L’ENISA conseille de ne s’enregistrer qu’au moment où un signalement est nécessaire, ce qui prend quelques minutes si le compte EU Login existe déjà.

La réponse attendue pour une entreprise suisse

C’est le point que nous avions laissé ouvert en août. La foire aux questions tranche : un fabricant sans établissement principal dans l’Union détermine le pays compétent dans un ordre précis. D’abord l’État membre où son mandataire agit pour le plus grand nombre de ses produits. À défaut, celui où son importateur met le plus de produits sur le marché. À défaut encore, celui où son distributeur en rend le plus disponibles. En dernier recours, l’État membre qui compte le plus d’utilisateurs de ses produits.

La responsabilité de ce choix incombe au fabricant. L’ENISA précise qu’une notification adressée au mauvais CSIRT peut être invalidée et devoir être déposée à nouveau. Avec un délai de 24 heures, ce n’est pas une question à découvrir le jour d’un incident. Elle précise aussi qu’une seule notification suffit par événement, même lorsque la maison mère est hors de l’Union : c’est au fabricant de se coordonner en interne.

Quelques limites à connaître

Au lancement, la plateforme n’existe qu’en anglais. Il n’y a pas d’interface de programmation : tout se saisit à la main. Si la plateforme est indisponible, il faut attendre son rétablissement, quitte à contacter directement le CSIRT dans l’intervalle, mais le dépôt sur la plateforme reste obligatoire ensuite.

Un détail technique mérite l’attention : dans la version actuelle, le compteur de la notification à 72 heures affiche une échéance fixée 48 heures après le dépôt de l’alerte précoce. Une notification peut donc apparaître en retard avant que les 72 heures ne soient écoulées. L’ENISA annonce une correction.

Ce qui déclenche l’obligation

L’obligation naît au moment où le fabricant prend connaissance de l’exploitation. Selon la foire aux questions, qui renvoie aux explications de la Commission européenne, un fabricant qui en avait déjà connaissance avant le 11 septembre n’a pas à la signaler rétroactivement. En revanche, s’il l’apprend après cette date, l’obligation s’applique, y compris pour une faille ancienne et pour des produits mis sur le marché avant l’application complète du règlement, prévue le 11 décembre 2027.

Trois choses à faire maintenant

Désigner la personne qui sera représentant principal, et lui faire créer son compte EU Login avec authentification multifacteur. Déterminer, pour chaque gamme exportée, le CSIRT compétent selon l’ordre ci-dessus, en vérifiant avec votre mandataire ou votre importateur. Et intégrer ce circuit à votre plan de réponse aux incidents, avec un suppléant. L’ENISA indique par ailleurs tenir un service d’assistance, notamment à destination des PME.

En conclusion

La plateforme simplifie le geste, pas la décision qui le précède. Savoir si un événement relève d’une vulnérabilité activement exploitée, quel pays est compétent et qui signe, tout cela dépend de votre gamme, de vos circuits de distribution et de votre organisation. Ces questions se règlent en quelques heures à froid, beaucoup moins bien quand le délai de 24 heures court déjà. Le guide sur le Cyber Resilience Act reprend le cadre général.