Àngela Vercher
Responsable marketing Ibérie
Àngela Vercher est responsable marketing expérimentée dans le secteur de la conformité et de la réglementation. Chez Formalize, elle dirige le marketing pour l'Ibérie, aidant les professionnels de la conformité, des risques et de la sécurité à se tenir informés des réglementations et à trouver des solutions pratiques à leurs défis quotidiens.
Points clés:
Depuis le 11 septembre 2026, les fabricants de produits comportant des éléments numériques doivent envoyer un avertissement précoce dans un délai de 24 heures à compter du moment où ils prennent connaissance d'une vulnérabilité exploitée de manière active ou d'un incident grave affectant la sécurité de leur produit.
L'obligation incombe aux fabricants et couvre les produits déjà présents sur le marché de l'UE. Les solutions SaaS pures sont généralement exclues du champ d'application du CRA, tout comme les produits régis par leurs propres règles sectorielles, tels que les dispositifs médicaux et les véhicules.
Le CRA ajoute une obligation de signalement; il n'en remplace aucune. La notification de violation de données en 72 heures prévue par le RGPD s'applique toujours, et NIS2 dispose de son propre avertissement précoce en 24 heures pour les incidents significatifs.
En Espagne, NIS2 n'a toujours pas été transposée en droit national, de sorte que le décret-loi royal 12/2018 demeure pour l'instant le cadre applicable à la notification des incidents.
Les équipes les mieux positionnées pour respecter ces délais sont celles qui ont convenu au préalable de la manière dont un incident est classé, de l'autorité compétente pour prendre la décision et du lieu où cette décision est consignée.
Les grands titres récents en Espagne l'ont exprimé simplement: les entreprises disposent désormais de 24 heures pour signaler une cyberattaque. C'est un titre utile, mais simplifié. Le Règlement sur la cyberrésilience (CRA), Règlement (UE) 2024/2847, est en vigueur depuis décembre 2024, mais la première obligation s'appliquant aux fabricants, l'obligation de signaler certaines vulnérabilités et certains incidents, n'est entrée en vigueur que le 11 septembre 2026. La majeure partie du règlement, y compris le marquage CE et les exigences essentielles de cybersécurité, suivra le 11 décembre 2027. Ce qui a changé en septembre est plus restreint que « chaque entreprise, chaque attaque », et à certains égards plus exigeant, car cela s'ajoute aux obligations de signalement dont de nombreuses organisations disposent déjà.
Ce qui a changé le 11 septembre
L'article 14 du CRA exige des fabricants qu'ils signalent deux types d'événements: les vulnérabilités exploitées de manière active dans leurs produits, et les incidents graves qui affectent la sécurité de ces produits. Les fabricants soumettent chaque signalement via la plateforme unique de signalement de l'Agence de l'Union européenne pour la cybersécurité (ENISA), et celui-ci parvient simultanément à l'ENISA et à l'équipe de réponse aux incidents de sécurité informatique (CSIRT) nationale désignée comme coordinatrice. La plateforme est devenue opérationnelle le jour même où l'obligation a pris effet.
Le signalement se déroule en trois étapes:
Étape | Délai | Contenu |
|---|---|---|
Avertissement précoce | Dans les 24 heures suivant la prise de connaissance | Une première alerte, précisant notamment où le produit est disponible dans l'UE |
Notification | Dans les 72 heures | Des détails supplémentaires et une évaluation initiale |
Rapport final | 14 jours après la mise à disposition d'un correctif ou d'une mesure d'atténuation (vulnérabilités), ou un mois après la notification (incidents graves) | Une description complète, la cause et les mesures prises |
Les fabricants doivent également informer les utilisateurs concernés, et si nécessaire l'ensemble des utilisateurs, afin qu'ils puissent se protéger. Toutefois, l'obligation n'a pas d'effet rétroactif: selon les orientations de la Commission européenne, les fabricants ne sont pas tenus de signaler rétrospectivement une exploitation dont ils avaient déjà connaissance avant le 11 septembre.
À qui s'applique-t-il, et à qui s'applique-t-il pas
L'obligation de 24 heures incombe aux fabricants de produits comportant des éléments numériques, ce qui couvre la plupart des matériels et logiciels qui se connectent à un équipement ou à un réseau. Elle s'applique aux produits déjà présents sur le marché de l'UE, et non seulement aux nouveaux lancements.
Trois limites sont faciles à négliger:
Les solutions SaaS pures sont généralement exclues du champ d'application. Le CRA réglemente les produits, non les services. Les services cloud utilisés sans aucun composant installé peuvent relever à la place de la directive NIS2, selon le fournisseur, bien que des clients installables, des agents ou un traitement de données à distance dont dépend un produit puissent faire entrer de nouveau une offre dans le champ d'application.
Certains secteurs disposent de leurs propres règles. Les produits déjà régis par une législation sectorielle de l'UE, tels que les dispositifs médicaux et les véhicules, sont exclus du CRA.
Les petits fabricants doivent toujours effectuer un signalement. Selon la Commission européenne, les microentreprises et les petites entreprises ne peuvent pas faire l'objet d'amendes pour avoir manqué le délai d'avertissement précoce de 24 heures, mais l'obligation elle-même s'applique à elles dans son intégralité.
Pour les organisations qui achètent des logiciels plutôt que de les concevoir, l'obligation de signalement incombe à leurs fournisseurs. Cela ne la rend pas irrelevante pour autant. Une notification CRA émanant d'un fournisseur constitue exactement le type de signal qui doit alimenter vos propres processus de gestion des risques liés aux fournisseurs et de gestion des incidents.
Un incident, trois chronomètres
C'est ici que la comparaison avec le droit de la protection des données trouve ses limites. Le Règlement général sur la protection des données (RGPD) accorde aux organisations un délai de 72 heures pour notifier une violation de données à caractère personnel, et il est tentant d'interpréter le CRA comme ce même délai réduit à 24 heures. En pratique, les deux délais s'appliquent en parallèle, déclenchés par des événements différents et adressés à des autorités différentes. Ajoutez NIS2 pour les organisations entrant dans son champ d'application, et un seul incident peut déclencher trois chronomètres distincts.
Imaginez un éditeur de logiciels de taille moyenne en Espagne. Un attaquant exploite une vulnérabilité dans l'un de ses produits installés, s'en sert pour accéder aux propres systèmes d'assistance de l'entreprise et copie les coordonnées des clients. En l'espace de quelques heures, cette entreprise peut se retrouver face à un avertissement précoce selon le CRA pour la vulnérabilité exploitée, une notification RGPD pour les données personnelles concernées et, selon qu'elle relève ou non des règles nationales NIS, une notification pour un incident significatif affectant ses services.
CRA | NIS2 | RGPD | |
|---|---|---|---|
Élément déclencheur | Une vulnérabilité exploitée de manière active ou un incident grave affectant la sécurité du produit | Un incident significatif affectant les services d'une entité entrant dans le champ d'application | Une violation de données à caractère personnel susceptible d'engendrer un risque pour les personnes |
Qui signale | Les fabricants de produits comportant des éléments numériques | Les entités essentielles et importantes | Les responsables de traitement |
Premier délai | Avertissement précoce en 24 heures | Avertissement précoce en 24 heures | Notification en 72 heures |
Destinataire | La plateforme unique de signalement de l'ENISA, transmise au CSIRT coordinateur et à l'ENISA | Le CSIRT national ou l'autorité compétente | L'autorité de protection des données, en Espagne l'Agence espagnole de protection des données (AEPD) |
Les délais représentent la partie visible. La partie difficile intervient au cours de la première heure, lorsque quelqu'un doit décider quel régime s'applique, sur la base d'informations incomplètes. Les trois chronomètres se déclenchent dès que l'organisation prend connaissance de l'événement, mais chaque régime a sa propre grille de lecture de ce dont il doit être informé. Cette décision est facile à sous-estimer et, dans de nombreuses organisations, les critères permettant de la prendre ne sont écrits nulle part.
La complexité supplémentaire en Espagne
Les organisations espagnoles sont confrontées à une complication de plus. L'Espagne a manqué l'échéance d'octobre 2024 pour transposer NIS2, et le projet de loi destiné à le faire, l'Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, a été approuvé par le Conseil des ministres en janvier 2025 mais n'avait toujours pas été adopté au début du mois de septembre 2026. En juillet 2026, la Commission européenne a renvoyé l'Espagne devant la Cour de justice de l'UE en raison de ce retard.
En attendant le vote de la nouvelle loi, le décret-loi royal 12/2018 demeure le cadre national pour la notification des incidents. Les détails nationaux concrets, tels que l'autorité à notifier et les seuils applicables, ne seront arrêtés que lorsque le texte espagnol sera définitif. Cela laisse les équipes espagnoles s'organiser par rapport à une directive dont le contenu est fixé et une loi nationale qu'elles ne peuvent pas encore lire. Le CRA n'a pas ce problème: en tant que règlement européen, il s'applique directement, en Espagne comme partout ailleurs dans l'UE.
L'UE va-t-elle simplifier cela?
Bruxelles est consciente de ce chevauchement. Dans le cadre de ses propositions d'Omnibus numérique, la Commission européenne a proposé un point d'entrée unique pour le signalement des incidents, adossé à la plateforme du CRA, de sorte qu'une seule notification puisse satisfaire plusieurs obligations légales à la fois. Au moment où nous écrivons ces lignes, il ne s'agit que d'une proposition. Et même si elle est adoptée, elle ne décidera pour personne des régimes qu'un incident déclenche, ni ne supprimera la nécessité de respecter le délai le plus court applicable.
Découvrez comment votre équipe gérerait la première heure
Apportez votre processus d'incident actuel, même s'il est informel aujourd'hui. Nous préférons parcourir un scénario réaliste avec vous plutôt que de le décrire de manière abstraite.
À quoi ressemble une bonne préparation
Se préparer à cela relève principalement de quelques décisions, prises à tête reposée, avant qu'un premier incident réel ne les impose. Selon nous, cinq décisions sont primordiales:
Une liste de contrôle de triage unique pour les trois régimes. Un court ensemble de questions qui vérifie les déclencheurs du CRA, de NIS2 et du RGPD en une seule passe, au lieu de trois processus distincts reprenant chacun depuis le début.
Des décideurs nommés, avec des remplaçants. Quelqu'un doit être responsable de la décision de signaler, pour chaque régime, y compris les week-ends et jours fériés. Un délai de 24 heures ne marque aucune pause.
Un travail préparatoire effectué à l'avance. Sachez quels produits sont disponibles dans quels pays de l'UE, inscrivez-vous sur la plateforme de l'ENISA avant d'en avoir besoin et maintenez à jour les coordonnées des autorités.
Un registre de chaque décision, y compris les décisions de ne pas signaler. Lorsqu'un régulateur demande ultérieurement pourquoi un incident n'a pas été notifié, la justification doit déjà exister et ne pas être reconstruite de mémoire.
Une répétition à partir d'un scénario réaliste. Un exercice de simulation basé sur un cas comme celui décrit ci-dessus montre rapidement où le processus flanche.
Comment Formalize vous accompagne
Aucune plateforme ne peut décider à votre place si un incident doit faire l'objet d'un signalement, et nous ne soumettons pas de notifications en votre nom. Ce que fait Formalize, c'est centraliser le travail préparatoire au même endroit, afin que la première heure ne soit pas consacrée à le chercher:
Des registres d'incidents avec des responsables désignés et des délais, incluant la justification de chaque décision de signalement.
Les politiques et contrôles sous-jacents à votre réponse aux incidents, avec des responsabilités claires, documentées et tenues à jour.
Vos travaux relatifs à NIS2 et au RGPD regroupés dans le même système, au lieu d'outils distincts nécessitant chacun leur propre mise à jour.
Des fiches fournisseurs connectées à la gestion de vos risques, afin qu'une notification de sécurité émanant d'un prestataire trouve sa place.
Vous êtes un cabinet de conseil aidant vos clients dans leur mise en conformité avec le Règlement sur la cyberrésilience? Nous co-développons nos solutions avec des partenaires apportant l'expertise technique, et le programme de partenariat Formalize Partner Program est le point de départ idéal.
Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil juridique.