Depuis le 11 septembre, les fabricants de produits numériques vendus en Europe ont un nouveau réflexe à adopter : signaler, via une plateforme unique opérée par l’ENISA, toute vulnérabilité activement exploitée ou tout incident grave touchant leurs produits. Une échéance discrète mais lourde de sens, qui enclenche surtout le compte à rebours des 15 mois avant l’arrivée des obligations les plus structurantes du règlement européen sur la cyber-résilience.
Un formulaire, une diffusion automatique
La Single Reporting Platform, développée, exploitée et maintenue par l’agence européenne pour la cybersécurité (ENISA), repose sur un principe simple : une seule déclaration suffit. Le fabricant choisit le CSIRT désigné comme coordinateur, en général celui de son pays d’établissement principal, et dépose sa notification en ligne.
À partir de là, la mécanique s’enclenche toute seule. Le CSIRT qui reçoit l’alerte la transmet sans délai aux autres CSIRT des Etats membres ou le produit concerné est également commercialisé, tandis que l’ENISA reçoit l’information au même moment. Les autorités de surveillance du marché peuvent elles aussi être destinataires de certains éléments, pour exercer leurs propres missions de contrôle. Une seule notification suffit même lorsqu’un fabricant dispose de plusieurs filiales dans l’Union où que sa maison mère est basée hors d’Europe : à charge de l’entreprise de coordonner ses équipes en interne.
Pour l’heure, l’obligation ne concerne que les fabricants. Les stewards de logiciels open source devront s’y plier à leur tour, mais seulement à partir du 11 décembre 2027.
Le vrai chronomètre démarre maintenant
Cette plateforme n’est qu’une pièce du dispositif. Elle marque surtout, comme le rappelle l’ENISA elle-même, une étape importante dans la mise en œuvre du Cyber Resilience ACt et dans la construction d’une approche européenne plus coordonnée face aux risques cyber. Son directeur exécutif, Juhan Lepassaar, insiste sur l’enjeu : les vulnérabilités des produits numériques sont régulièrement exploitées par des attaquants pour perturber des services critiques, qu’il s’agisse de santé, d’énergie, de transport ou de télécommunications.
C’est précisément le constat que dressait Vincent Strubel via son post LinkedIn en soulignant que la construction du numérique s’est largement fait dans une forme d’insouciance, avec une absence quasi-totale de règles contraignantes pour les fournisseurs de solutions numériques, une anomalie selon lui par rapport à n’importe quel autre secteur industriel. Il pointait aussi un paradoxe qui prend tout son sens à la lumière de cette nouvelle obligation : l’intelligence artificielle promet de débusquer les failles plus vite qu’on ne pourra les corriger, ce qui rend d’autant plus urgent de traiter ces défauts de sécurité à l’échelle du système, et si possible à la racine.
Les quinze mois qui s’ouvrent ne sont donc qu’un prélude. Le 11 décembre 2027, ce sont les exigences de sécurité de fond du règlement qui entreront en application, imposant cette fois des propriétés de sécurité minimales à tout produit numérique commercialisé sur le marché européen.
