Règlement sur la cyber-résilience : ce que les entreprises devraient préparer dès maintenant sur le plan organisationnel

L’obligation de notification prévue à l’article 14 du règlement sur la cyber-résilience s’applique depuis le 11 septembre 2026 et impose une première notification dans les 24 heures suivant la prise de connaissance d’une vulnérabilité activement exploitée ou d’un incident grave. Respecter ce délai suppose que la structure interne nécessaire soit en place bien avant le premier incident. Ce qui compte n’est pas l’état de la plateforme de notification externe, mais la chaîne interne allant de la détection à la décision de notifier.

Ce qu’exige l’obligation de notification à compter du 11 septembre 2026

Les fabricants doivent notifier une vulnérabilité activement exploitée ou un incident de sécurité grave en trois étapes : une alerte précoce dans les 24 heures, une notification complète dans les 72 heures et un rapport final au plus tard 14 jours après la mise à disposition d’une mesure corrective.

L’article 14 du règlement sur la cyber-résilience impose la première notification sans retard injustifié et, en tout état de cause, dans les 24 heures suivant la prise de connaissance.

Le rapport final doit décrire la vulnérabilité, nommer le cas échéant les acteurs malveillants impliqués et exposer la remédiation ainsi que les mesures d’atténuation possibles. Pour les incidents graves sans lien avec une vulnérabilité, le délai du rapport final est d’un mois au lieu de 14 jours.

Pourquoi l’échéance précède la capacité à la respecter

Les obligations générales des fabricants au titre de l’article 13, dont la documentation technique et l’évaluation de la conformité, ne s’appliquent formellement qu’à compter du 11 décembre 2027, alors que l’obligation de notification prévue à l’article 14 est entrée en vigueur 15 mois plus tôt.

Cet écart signifie que le processus de détection d’une exploitation active, qui relève en réalité des obligations de l’article 13, doit déjà fonctionner alors même qu’il n’est formellement exigé que plus tard. Les entreprises qui se fient à l’échéance ultérieure s’exposent à une lacune de notification qui ne tient pas à l’absence d’obligation légale, mais à l’absence de capacité de détection.

Les travaux de rattrapage sur les obligations de notification et la nomenclature logicielle portent précisément sur cet écart entre l’obligation de notification et l’obligation de documentation.

La Single Reporting Platform était-elle prête à temps ?

Dix jours avant l’échéance, le 1er septembre 2026, la Single Reporting Platform développée par l’ENISA ne disposait toujours d’aucune URL publiée sur l’internet public, alors qu’elle devait être mise en service en même temps que l’obligation de notification, le 11 septembre 2026.

Selon l’ENISA, la plateforme n’offre par ailleurs aucune interface de programmation au lancement, ce qui signifie que chaque notification obligatoire doit passer par le portail web. En outre, la liste des CSIRT nationaux désignés comme coordinateurs est restée longtemps incertaine, ce qui entrait en conflit avec le processus d’enregistrement, lequel exige de sélectionner un CSIRT compétent dans cette liste.

En vertu du règlement d’exécution (UE) 2026/881, adopté le 11 décembre 2025, la décision de retenir ou non certains éléments d’une notification lors de leur transmission à l’ENISA appartient au CSIRT destinataire.

Quelles responsabilités internes doivent être en place avant la première notification

Indépendamment de l’état de la plateforme externe, les entreprises doivent déjà connaître le CSIRT compétent pour leur établissement principal et disposer d’un processus de tri interne qui réunit, selon le calendrier requis, les éléments de l’alerte précoce, de la notification et du rapport final.

La décision de déclencher une notification repose rarement sur une seule personne. Elle suppose une répartition des rôles prédéfinie entre l’équipe de sécurité, le service juridique et la direction générale. Cette chaîne d’escalade pour une notification sous 24 heures doit être en place avant qu’un incident ne déclenche le délai, faute de quoi le temps disponible est absorbé par la coordination interne.

• Détection : qui établit techniquement l’exploitation active
• Décision : qui apprécie en quelques heures si une obligation de notification est déclenchée
• Contenu : qui fournit les informations pour les étapes à 24 heures, 72 heures et 14 jours
• Transmission : qui utilise le portail web de la plateforme de notification en l’absence d’interface automatisée

Ce que cela implique pour les fabricants suisses présents sur le marché de l’UE

Les entreprises suisses qui commercialisent des produits comportant des éléments numériques dans l’UE ou l’EEE relèvent du règlement sur la cyber-résilience quel que soit leur lieu d’établissement, alors que la Suisse elle-même ne dispose d’aucune loi horizontale comparable en matière de cybersécurité.

Le processus interne permettant de respecter le délai ne peut donc pas attendre une future réglementation suisse : il doit suivre l’exigence européenne dès qu’un produit entre sur ce marché. Les autres exigences du règlement sur la cyber-résilience ne concernent pas seulement le délai de notification, mais aussi l’évaluation de la conformité et le marquage CE.

Une première étape vérifiable consiste à déterminer, pour chaque produit concerné, le CSIRT compétent sur la base de l’établissement principal dans l’UE, puis à tester la chaîne de notification interne avant qu’un incident réel ne déclenche le délai.