Depuis le 11 septembre 2026, une nouvelle étape du Cyber Resilience Act (CRA) est devenue réalité. Les fabricants de produits comportant des éléments numériques commercialisés dans l’Union européenne doivent désormais signaler les vulnérabilités activement exploitées et les incidents graves impactant la sécurité de leurs produits. Une première alerte doit intervenir dans les 24 heures suivant la prise de connaissance, suivie d’une notification plus complète dans les 72 heures. Les entreprises doivent effectuer ces déclarations via la plateforme unique de signalement opérée par l’ENISA.

Derrière le délai de 24 heures se cache pourtant un enjeu beaucoup plus profond. En effet, avant de pouvoir signaler rapidement, les organisations doivent d’abord comprendre rapidement. Cela représente probablement l’un des changements les plus structurants introduits par le CRA, puisqu’il pousse à ne plus appréhender la réglementation que comme un exercice de conformité. Elle oblige les organisations concernées à s’interroger sur leur capacité réelle à identifier une vulnérabilité, à en mesurer l’impact et à prendre les premières décisions de remédiation dans un environnement numérique devenu extrêmement distribué.

Au fil des années, le périmètre numérique des entreprises s’est considérablement étendu, avec applications SaaS, services cloud, infrastructures multiples, composants logiciels tiers, API, utilisateurs distants ou encore chaînes de sous-traitance. Dans ce contexte, une organisation ne peut pas notifier en 24 heures ce qu’elle met plusieurs jours à comprendre.

La première exigence devient donc celle de la visibilité. Lorsqu’un incident survient, les équipes doivent pouvoir déterminer rapidement quels systèmes et services il affecte, quelles données il expose, quels utilisateurs ou composants il implique et quelles dépendances peuvent contribuer à propager le risque.

Cette capacité à contextualiser l’incident devient aussi importante que sa détection elle-même. Une alerte sans contexte ne génère que du bruit parasite, tandis qu’une alerte enrichie d’une compréhension des données, des utilisateurs et des applications permet de prendre une décision.

Le CRA devrait donc conduire les entreprises concernées à raisonner autour de trois capacités, à savoir voir, comprendre et agir. Voir signifie disposer d’une visibilité suffisamment continue sur son environnement numérique et ses dépendances. Comprendre consiste à contextualiser rapidement une vulnérabilité ou un incident afin d’en déterminer l’impact réel, notamment sur les applications, les utilisateurs et les données. Agir équivaut enfin à disposer des capacités techniques mais aussi des processus internes permettant de contenir le risque, d’isoler les éléments compromis, de remédier et de déclencher les circuits de notification sans attendre la réunion d’un comité plusieurs jours plus tard.

La technologie ne peut évidemment répondre seule à ces enjeux. La vitesse de réaction dépend autant de l’architecture de sécurité que de la gouvernance qui l’accompagne, sans doute l’une des principales leçons à tirer de cette nouvelle réglementation. Les organisations qui commenceront à chercher l’information au moment où survient l’incident auront déjà perdu une partie des précieuses 24 premières heures.

Elles doivent donc préparer en amont leurs processus de décision, identifier clairement les responsabilités, cartographier leurs dépendances critiques et définir les mécanismes permettant de remonter rapidement les informations pertinentes. Cette logique doit également s’étendre à l’écosystème de fournisseurs et de partenaires technologiques. Dans des chaînes numériques de plus en plus interdépendantes, la capacité d’une entreprise à respecter ses propres obligations dépend aussi de la rapidité avec laquelle ses partenaires peuvent lui fournir une information fiable.

Le Cyber Resilience Act ne doit pas être confondu avec NIS2. Là où NIS2 renforce notamment les obligations de cybersécurité et de gestion des risques de nombreuses organisations essentielles ou importantes, le CRA instaure un cadre horizontal de cybersécurité pour les produits comportant des éléments numériques, de leur conception à leur maintenance.

Les obligations de notification applicables depuis le 11 septembre 2026 constituent d’ailleurs une première étape. L’essentiel des exigences du CRA s’appliquera à partir du 11 décembre 2027, notamment avec des exigences de cybersécurité couvrant le cycle de vie des produits. Les entreprises ont donc devant elles une période qu’elles peuvent considérer soit comme un compte à rebours réglementaire, soit comme une opportunité de transformation.

Le véritable enjeu du Cyber Resilience Act dépasse finalement la capacité à produire une notification dans les délais réglementaires. Le délai de 24 heures agit comme un révélateur de maturité cyber. Une organisation capable de comprendre rapidement ce qui se passe dans son environnement, d’identifier les applications et les données concernées, d’en mesurer l’exposition et de déclencher immédiatement les bonnes actions sera naturellement mieux armée pour satisfaire aux exigences réglementaires. En résumé, elle sera plus résiliente face aux attaques. Le CRA représente donc une formidable opportunité, en proposant aux entreprises de faire de la conformité non pas une finalité, mais la conséquence d’une meilleure maîtrise de son environnement numérique. À terme, les organisations qui réussiront cette transformation seront celles capables de transformer la visibilité, le contexte et la rapidité d’action en avantage de confiance et de résilience.