Les défaillances des objets connectés sous l'œil de Bruxelles
Le signalement des failles et incidents concernant des objets connectés par leurs fabricants, tels que ceux déployés dans les territoires intelligents, est désormais obligatoire. Il doit aider à limiter les cyberattaques exploitant ces failles.
© Adobe stock
Le Cyber Resilience Act (CRA), règlement entré en vigueur en décembre 2024, encadre la cybersécurité des produits intégrant des composants numériques. Depuis ce 11 septembre 2026, les fabricants et distributeurs de ces produits ont l'obligation de signaler les failles et incidents. La pleine application du CRA ne sera cependant effective qu'en décembre 2027.
Renforcer la réactivité
Concrètement, l'obligation pèse sur le fabricant, puis l'importateur et le distributeur. Le CRA prévoit des délais très serrés pour gagner en réactivité face aux cyberattaques : alerte précoce sous 24 heures, notification complète sous 72 heures, rapport sous quatorze jours pour une vulnérabilité, un mois pour un incident grave. Le signalement s'effectue via une plateforme européenne unique, qui informe simultanément l'Enisa (agence cyber européenne) et, pour la France, le Cert-FR de l'Anssi. L'obligation de signalement des incidents s'applique à l'ensemble du parc de produits déjà commercialisés.
Un périmètre large, du capteur à l'hyperviseur
Outre les produits grand public, sont concernés tous les produits numériques que déploient les territoires intelligents : capteurs, éclairage et mobilier urbain connectés, vidéoprotection, gestion technique de bâtiments, compteurs communicants, mais également VPN, navigateurs, gestionnaires de mots de passe, antivirus ou hyperviseurs. Le logiciel libre relève d'un régime particulier : l'obligation s'applique à celui qui le commercialise (éditeur, intégrateur). En revanche, les logiciels libres gérés par des communautés non commerciales ne sont pas concernés.
Des collectivités mieux informées
Concrètement, ce règlement devrait permettre aux collectivités d'être mieux informées des vulnérabilités des systèmes qu'elles déploient. Les fournisseurs devront désormais informer sans délai les utilisateurs des failles exploitées et proposer des correctifs. Côté commande publique, le CRA entend renforcer l'encadrement des produits – conformité, durée du support, contact vulnérabilités –, mais ces exigences, et notamment le marquage CE, ne seront en vigueur qu'à partir de décembre 2027. D'ici là, une veille active s'impose, via le Cert-Fr ou les C-Sirt territoriaux et thématiques.
Empilement des signalements
En l'état actuel des textes, ce signalement vient s'ajouter à d'autres : RGPD, pour les fuites de données personnelles (à la Cnil), NIS2, pour les incidents cyber (à l'Anssi), AI Act pour les systèmes d'IA à haut risque. Des signalements qui concernent pleinement les collectivités… sous réserve d'être pleinement opérationnels. Si c'est le cas du RGPD, l'Anssi attend toujours la transposition effective de NIS2 pour jouer son rôle de gendarme. Quant à l'AI Act, l'effectivité des obligations pour les SIA à haut risque a été décalée à fin 2027 par l'omnibus IA. Bruxelles a pris conscience de cette complexité. Le "digital omnibus", différent de celui concernant l'IA, prévoit un "point d'entrée unique" géré par l'Enisa pour les signalements cyber. Cependant, le texte est toujours en discussion depuis près d'un an, car la "simplification" du RGPD qu'il comprend passe mal auprès de certains acteurs, comme le Sénat en France.
