Le 31 juillet, l’ENISA a publié une fiche d’information et deux guides pas à pas pour la Single Reporting Platform, l’outil par lequel, à partir du 11 septembre, les fabricants de logiciels et de produits connectés devront signaler les vulnérabilités activement exploitées et les incidents graves. Les guides expliquent comment s’enregistrer, qui peut le faire, quels champs remplir. Lus d’affilée, ils dessinent un tableau qu’aucun communiqué n’a eu intérêt à formuler en toutes lettres : la plateforme devient opérationnelle le 11 septembre, le jour même où l’obligation devient contraignante. Aucun fabricant ne l’aura jamais vue. Il n’existe pas d’environnement de test, aucune API n’est prévue, l’adresse publique n’a pas été communiquée, et la liste des CSIRT nationaux auxquels il faudra parler arrivera, textuellement, « at a later stage ». Quand le rideau se lève, la première représentation est la première, et le public est déjà assis.
Vingt-quatre heures, mesurées à partir du moment où l’on sait
Il vaut la peine de rappeler ce qui se déclenche, exactement. L’article 14 du Cyber Resilience Act impose au fabricant qui a connaissance d’une vulnérabilité activement exploitée dans l’un de ses produits, ou d’un incident grave touchant la sécurité du produit, une alerte précoce sous 24 heures au CSIRT désigné comme coordinateur et à l’ENISA. Suivent une notification plus complète sous 72 heures et un rapport final. La violation de ces obligations relève de la tranche haute des sanctions du règlement, jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, la même que celle réservée aux exigences essentielles de sécurité.
Le détail qui décide de tout, c’est le point de départ de l’horloge. Les 24 heures ne se mesurent pas à partir du correctif, ni de la confirmation technique : elles se mesurent à partir de la connaissance. Et la connaissance est un fait organisationnel avant d’être technique. Elle survient dans le ticket d’un client, dans un email arrivé sur le mauvais canal, dans un fil que quelqu’un lit douze heures plus tard. Une entreprise qui n’a pas décidé qui, en son sein, a l’autorité de déclarer « nous savons » n’a pas un problème de paperasse : elle a une horloge qui démarre sans que personne ne l’entende tourner.
Le régime plein du règlement arrive le 11 décembre 2027, et j’ai déjà soutenu que ces mois ne sont pas un sursis. La partie qui démarre maintenant est celle qui porte l’horloge la plus courte de tout le droit européen des produits.
La plateforme qui ouvre le soir de la première
Les guides du 31 juillet décrivent un flux raisonnable. Enregistrement via EU Login. Deux sièges par fabricant : un Assigned Representative principal et un secondaire, qui entre par invitation email, et l’invitation expire au bout de sept jours. Le CSIRT coordinateur se choisit dans un menu déroulant. Les champs minimaux de l’alerte précoce sont peu nombreux et sensés : type de notification, niveau, nom du fabricant, produit, un titre, et pour les incidents l’indication d’un acte illicite ou malveillant présumé. Jusque-là, de la bureaucratie ordinaire, et même bien conçue.
Puis il y a la FAQ, le plus instructif des trois documents parce qu’il parle par la négative. « No Application Programming Interfaces will be provided at this stage » : pas d’API, à l’époque où chaque conférence sur la compliance prononce le mot automatisation à chaque diapositive. Le signalement au délai le plus court du droit européen sera une personne qui remplit un formulaire web, très possiblement à trois heures du matin. L’adresse publique « will be communicated and published in due course », c’est-à-dire qu’elle n’existe pas. La liste des CSIRT désignés comme coordinateurs, le menu déroulant qui détermine à qui vous parlez, sera fournie plus tard. Et les tests de la plateforme sont internes, entre l’ENISA et les CSIRT : aucune répétition n’est prévue pour les fabricants. Le premier signalement réel sera aussi le premier test de charge effectué par des mains extérieures.
Ce n’est pas un détail de chronique administrative. C’est la différence entre une obligation et un service : l’obligation est prête depuis des mois, le service ouvre le soir de la première.
L’onboarding est une exigence non écrite
Le règlement dit quoi signaler et en combien de temps. Il ne dit pas, parce que ce n’est pas son rôle, que pour le faire sous 24 heures il faut s’être enregistré avant : avoir les comptes EU Login, avoir choisi les deux noms, savoir quel CSIRT sélectionner dans le menu. Aucune de ces préconditions n’est une obligation juridique. Toutes ensemble, elles sont la différence entre respecter l’article 14 et le violer.
C’est une catégorie qu’on rencontre sans cesse dans le travail de compliance et qui n’a pas de nom : l’exigence non écrite, la condition opérationnelle sans laquelle l’exigence écrite est inexécutable. Qui arrive au 12 septembre sans s’être enregistré ne sera pas sanctionné pour cela, parce que l’enregistrement n’est pas dû. Il a simplement transformé la première vulnérabilité exploitée dans son produit en course contre deux horloges, celle du signalement et celle de l’onboarding, et la seconde n’était dans le plan de personne. Avec une circonstance aggravante de calendrier : l’invitation du représentant secondaire expire en sept jours, et septembre est le mois où les principaux rentrent tout juste de vacances avec d’autres priorités.
Les obligations ne glissent pas. Les instruments, oui
Le 27 juillet, la Commission a publié les orientations pratiques prévues par l’article 26 du règlement : champ d’application, traitement des données à distance, open source, modification substantielle, période de support. Par rapport au projet mis en consultation, les demandes de l’industrie retenues se situent toutes du côté produit, celui qui échoit en décembre 2027 : les correctifs de sécurité mineurs ne relancent pas la période de support, la réévaluation de conformité d’un produit modifié porte sur les composants touchés, pas sur le système entier. Du côté signalement, qui échoit dans quatre semaines, rien n’a été concédé. Non par sévérité : il n’y avait pas de marge, les dates de l’article 14 sont dans le règlement et aucune orientation ne peut les déplacer.
Pendant ce temps, les normes harmonisées, le seul instrument qui donnera la présomption de conformité, ont pris l’autre chemin : la Commission a proposé de repousser de deux mois les échéances de la demande de normalisation, les premières normes horizontales étant désormais attendues pour fin octobre 2026 et les verticales pour fin décembre. Aucune norme harmonisée CRA n’a été citée au Journal officiel à ce jour, donc la présomption de conformité n’existe encore pour aucune catégorie de produit. Le schéma est celui que le modèle de maturité de l’ENISA avait déjà rendu visible en juillet : l’Europe tient les dates de ses obligations et manque celles de ses instruments. Qui attend les normes « pour ne pas faire le travail deux fois » n’économise rien : il parie sur la clémence des autorités de surveillance du marché. Stratégie légitime, à condition de la présenter au conseil d’administration pour ce qu’elle est, un pari et non un plan.
Ce qui se passe quand une obligation s’allume
Pour savoir ce qui se passera après le 11 septembre, pas besoin d’imagination : c’est déjà arrivé, en Italie, ces six derniers mois. Le 24 juillet, l’ACN, l’agence nationale de cybersécurité, a publié son bilan opérationnel du premier semestre 2026, le premier avec les obligations de notification NIS2 pleinement en vigueur : 2 171 événements cyber gérés, en hausse de 47 % par rapport à la même période de 2025 ; 1 160 notifications reçues, 953 obligatoires et 207 volontaires, de 890 entités, dont 690 n’avaient jamais rien notifié auparavant. Sur le même semestre, le ransomware a reculé de 12 % et les DDoS de 32 %. L’agence elle-même, avec une honnêteté qui mérite d’être saluée, attribue la croissance à l’extension de son périmètre d’observation et non à une augmentation proportionnelle de la menace.
Deux leçons sortent de ces chiffres. La première : quand les volumes de signalements CRA exploseront, et ils exploseront, quelqu’un les lira comme la preuve que l’Europe est attaquée. Ils seront la preuve que l’Europe a allumé la lumière. La seconde tient dans le nombre 690 : six cent quatre-vingt-dix organisations ont parlé à leur autorité pour la première fois de leur existence parce qu’une obligation les y a contraintes. Un premier contact avec un régulateur sous un délai de 24 heures est le pire premier contact possible, et l’ACN, qui sera aussi le CSIRT coordinateur de l’Italie sur la plateforme européenne, s’apprête à recevoir une seconde vague de débutants.
Le registre que personne n’a testé en public
Il reste un dernier aspect, à manier avec mesure. Une plateforme qui recueille en temps réel les vulnérabilités activement exploitées et pas encore corrigées des produits du marché européen est, par construction, l’une des archives les plus convoitées du continent. Le règlement le sait : l’article 16 permet aux CSIRT de retarder la diffusion d’une notification pour des motifs de cybersécurité, et l’acte délégué qui régit ces cas a été adopté en décembre. Je ne soutiens pas que la plateforme soit insécurisée, je n’ai pas d’éléments pour cela. J’observe une asymétrie : à qui signale, on demande de faire confiance à un système qu’il n’a jamais pu voir, tandis que qui recueille n’a rien eu à démontrer en public. Pour une infrastructure qui gardera la liste des portes ouvertes de l’Europe, une période de fonctionnement visible avant l’obligation n’était pas un luxe : c’était le minimum de la confiance qu’on tient désormais pour acquise.
Les quatre semaines
La partie utile de tout cela, c’est que presque tout ce qui précède le formulaire peut se répéter maintenant, sans attendre l’ENISA. Les comptes EU Login se créent aujourd’hui, pas le 11 septembre. Les deux noms se choisissent avec le calendrier de septembre sous les yeux, parce qu’une invitation qui expire en sept jours ne pardonne pas les congés décalés. La décision sur qui déclare la connaissance, et par quel canal, tient sur une page : c’est la ligne où démarre l’horloge, et c’est un fait organisationnel, pas technique. Et la répétition générale que personne n’offre se fait en interne : on prend le pire incident de l’année passée et on remplit, sur n’importe quel document, les six champs de l’alerte précoce, en chronométrant le temps qu’il faut non pas pour écrire les réponses, mais pour les connaître. J’ai déjà soutenu que la compliance échoue par manque d’inventaire : si nommer le produit, la version et le composant prend plus de 24 heures, le problème n’est pas le formulaire de l’ENISA.
Le 11 septembre, le rideau se lève de toute façon, pour tout le monde. La différence entre ceux qui ont répété et les autres ne se verra pas ce jour-là. Elle se verra la première nuit où une horloge démarre à trois heures du matin, et où, dans l’une des deux entreprises, quelqu’un sait déjà quel formulaire ouvrir, avec quels identifiants, et quoi écrire dedans.
Ce qu'il faut retenir
La Single Reporting Platform devient opérationnelle le 11 septembre 2026, le jour même où l’obligation de signalement de l’article 14 devient contraignante. Il n’existe pas d’environnement de test pour les fabricants, la FAQ de l’ENISA exclut toute API « at this stage » et l’adresse publique n’a pas été communiquée : le premier signalement réel sera aussi le premier essai de la plateforme par des mains extérieures.
L’obligation est écrite dans le règlement, ses préconditions non : un compte EU Login, deux Assigned Representatives par fabricant avec une invitation qui expire en sept jours, un CSIRT coordinateur à choisir dans une liste qui n’a pas encore été publiée. Qui arrive au 12 septembre sans s’être enregistré a transformé sa première vulnérabilité exploitée en course contre deux horloges.
Les orientations de la Commission du 27 juillet ne cèdent du terrain que du côté produit, qui échoit en 2027 : les correctifs de sécurité mineurs ne relancent pas la période de support, la réévaluation porte sur les composants modifiés. Du côté signalement, qui échoit dans quatre semaines, rien n’a été concédé. Et les normes harmonisées glissent de deux mois pendant que les dates des obligations ne bougent pas.
Le premier semestre NIS2 italien est l’aperçu empirique : 2 171 événements cyber gérés par l’ACN, en hausse de 47 %, pendant que ransomware et DDoS reculent. Quand les volumes de signalements CRA exploseront après le 11 septembre, ce ne sera pas la preuve que l’Europe est attaquée : ce sera la preuve que l’Europe a allumé la lumière.
L’horloge des 24 heures démarre à la connaissance, et la connaissance est un fait organisationnel avant d’être technique. La répétition que personne n’offre se fait en interne : prendre le pire incident de l’an dernier, remplir les champs de l’alerte précoce sur un simple document et mesurer le temps qu’il faut rien que pour connaître les réponses. S’il faut plus de 24 heures, le problème n’est pas le formulaire.
Questions & réponses
Qu’impose l’article 14 du Cyber Resilience Act à partir du 11 septembre 2026 ?
Le fabricant qui a connaissance d’une vulnérabilité activement exploitée dans l’un de ses produits comportant des éléments numériques, ou d’un incident grave touchant la sécurité du produit, doit transmettre une alerte précoce sous 24 heures au CSIRT désigné comme coordinateur et à l’ENISA, suivie d’une notification plus complète sous 72 heures et d’un rapport final. L’horloge démarre au moment de la connaissance, pas au moment du correctif, et la violation de ces obligations relève de la tranche haute des sanctions du règlement : jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial.
Qu’est-ce que la Single Reporting Platform et pourquoi ne peut-on pas l’essayer à l’avance ?
C’est la plateforme unique, instituée par l’article 16 du CRA et gérée par l’ENISA, par laquelle passent tous les signalements de l’article 14. Elle devient opérationnelle le 11 septembre 2026, le jour même où l’obligation devient contraignante. Les tests ont été internes, entre l’ENISA et les CSIRT nationaux : aucun environnement d’essai n’est prévu pour les fabricants, la FAQ officielle exclut toute API « at this stage » et l’adresse publique ne sera communiquée que juste avant le lancement.
Comment fonctionne l’enregistrement sur la plateforme ?
Il faut un compte EU Login. Chaque fabricant dispose de deux sièges : un Assigned Representative principal et un secondaire, qui entre par une invitation par email valable sept jours. Lors de l’enregistrement, on choisit dans un menu déroulant le CSIRT national désigné comme coordinateur, mais la liste des CSIRT désignés n’a pas encore été publiée. La validation par le CSIRT intervient après le premier accès et court en parallèle d’un éventuel signalement : on peut notifier avant la fin de la validation, mais personne ne veut découvrir le fonctionnement du flux pendant sa première vulnérabilité exploitée.
Les chiffres des signalements vont exploser après le 11 septembre : cela signifie-t-il que les attaques augmentent ?
Non, et le premier semestre NIS2 italien le prouve. Le 24 juillet 2026, l’ACN a fait état de 2 171 événements cyber gérés, en hausse de 47 % par rapport à la même période de 2025, avec 1 160 notifications reçues de 890 entités, dont 690 notifiaient pour la toute première fois. Sur le même semestre, le ransomware a reculé de 12 % et les DDoS de 32 %. L’agence elle-même attribue la croissance à l’extension du périmètre d’observation, pas à une augmentation proportionnelle de la menace : quand une obligation de notification s’allume, c’est la visibilité qui monte, pas l’attaque.
Que peut faire un fabricant dans les quatre semaines qui restent ?
Tout ce qui précède le formulaire peut se répéter dès maintenant : créer les comptes EU Login aujourd’hui, choisir les deux représentants avec le calendrier de septembre sous les yeux, puisque l’invitation du secondaire expire en sept jours, et décider par écrit qui, dans l’entreprise, déclare la connaissance d’une vulnérabilité exploitée et par quel canal, parce que c’est là que démarre l’horloge. Puis faire en interne la répétition générale que l’ENISA n’offre pas : prendre le pire incident de l’an dernier et remplir sur un simple document les champs de l’alerte précoce, en chronométrant le temps qu’il faut rien que pour connaître les réponses.
L'auteur
