Depuis le 11 septembre 2026, l'obligation prévue à l'article 14 du règlement (UE) 2024/2847, dit Cyber Resilience Act, est en vigueur. La plateforme ENISA Single Reporting Platform (SRP) est désormais le seul canal légalement reconnu pour notifier une vulnérabilité activement exploitée ou un incident grave affectant vos produits. Les équipes qui n'ont pas encore testé le portail arrivent à cette échéance avec un désavantage opérationnel : la première alerte peut survenir n'importe quand.
La SRP : un canal unique, non substituable
L'article 14 du CRA est précis sur ce point : la notification s'effectue exclusivement via la plateforme SRP de l'ENISA. Ni un e-mail à l'ANSSI, ni un signalement via un portail national, ni une déclaration auprès d'un organisme tiers ne valent au sens du règlement. La plateforme relaie automatiquement votre notification au CSIRT national compétent. Pour les fabricants établis ou actifs en France, ce CSIRT est le CERT-FR de l'ANSSI.
Ce fonctionnement en canal unique centralisé est un changement d'habitude pour les équipes familières avec les processus NIS2, qui transitent par les autorités nationales. Sous le CRA, le flux part de l'ENISA vers le CERT-FR, et non l'inverse. Une notification soumise via un autre canal n'est pas comptabilisée comme conforme.
Trois délais, selon la nature de l'événement
L'article 14 distingue deux catégories d'événements à notifier. La première est la vulnérabilité activement exploitée : une faille pour laquelle il existe des preuves d'exploitation en conditions réelles, pas seulement un code de démonstration ou une analyse théorique. La seconde est l'incident grave : une atteinte à la sécurité du produit qui entraîne une perturbation significative ou un accès non autorisé à des données.
Pour chacune, la séquence est identique en structure, mais les délais divergent sur le rapport final. Pour une vulnérabilité activement exploitée : alerte précoce dans les 24 heures suivant la découverte, notification complète dans les 72 heures, rapport final au plus tard 14 jours après la mise à disposition d'une correction ou d'une mesure d'atténuation. Pour un incident grave, les délais d'alerte et de notification complète restent 24 h et 72 h, mais le rapport final peut être soumis dans le mois suivant.
La Commission européenne estimait, dans son analyse d'impact d'octobre 2022, que le CRA couvrirait plus de 160 000 fabricants à l'échelle mondiale. La grande majorité d'entre eux n'avait jamais soumis de notification via la SRP avant aujourd'hui.
Ce que "activement exploitée" signifie en pratique
L'obligation de notification commence dès que le fabricant "prend connaissance" de l'exploitation active. Cette formulation est importante : elle ne suppose pas que l'exploitation soit publiquement documentée, ni que votre produit soit confirmé victime dans un incident précis. Une alerte d'un chercheur, un signalement d'un client, une observation dans vos journaux de télémétrie, un ajout à la liste CISA KEV (Known Exploited Vulnerabilities) sont tous des points de départ possibles.
La liste KEV du CISA est un signal fort, mais elle ne déclenche pas automatiquement l'obligation. C'est votre propre prise de connaissance du fait que votre produit spécifique est concerné qui fait courir le délai de 24 h. Un fabricant qui voit une CVE touchant une bibliothèque qu'il intègre et qui vérifie que cette CVE est activement exploitée dans la nature est en situation de notification.
Un exemple concret : le fabricant IoT face à son premier délai
Un fabricant de passerelles réseau industrielles reçoit ce matin à 9 h 00 le signalement d'un chercheur : une vulnérabilité dans le composant d'authentification de son firmware version 4.2 est exploitée dans des réseaux industriels en Europe du Nord. Il dispose jusqu'au 12 septembre à 9 h 00 pour soumettre une alerte précoce sur la SRP. L'alerte précoce n'exige pas une analyse complète : elle doit indiquer le produit concerné, la nature approximative de la vulnérabilité et les populations potentiellement affectées.
Si le fabricant n'a pas de compte actif sur la SRP à 9 h 00, la création du compte, la prise en main de l'interface et la rédaction de l'alerte doivent tenir en moins de 24 h. Les équipes qui avaient testé le portail durant la période préparatoire disposent d'une heure d'avance structurelle. Les autres commencent maintenant.
Ce que votre équipe doit vérifier aujourd'hui
Quatre éléments opérationnels doivent être vérifiables sans délai. Le premier est l'accès : un ou plusieurs membres de l'équipe ont un compte SRP actif, testé, avec les droits nécessaires pour soumettre une notification. Le deuxième est le processus : qui décide de notifier, sur quelle base, sous quelle autorité dans l'organisation. Le troisième est un modèle d'alerte précoce avec les champs exigés par la SRP. Le quatrième est la définition interne de ce qui constitue, pour vos lignes de produits, une "vulnérabilité activement exploitée".
La politique de divulgation coordonnée des vulnérabilités (CVD), dont la formalisation était la priorité des jours précédant cette échéance, est le document d'appui naturel de ce processus. Les équipes qui ne l'ont pas encore formalisée trouveront les éléments de structure dans l'article sur la politique CVD que les éditeurs de logiciel n'ont pas encore formalisée.
La vraie difficulté : décider avec une information partielle
L'alerte précoce à 24 h est conçue pour fonctionner avec une information incomplète. Le règlement ne demande pas une analyse de cause racine ni un correctif opérationnel dans ce délai : il demande une déclaration initiale permettant à l'ENISA et au CERT-FR de contextualiser la menace. La notification complète à 72 h permet d'ajouter les détails d'impact. Le rapport final à 14 jours documente les mesures prises.
La difficulté réelle est organisationnelle : prendre la décision de notifier, sous pression et avec une information incomplète, en moins de 24 h, est un exercice qui ne s'improvise pas le jour d'un incident. Les fabricants qui avaient simulé ce processus, même sur papier, arrivent au 11 septembre avec une préparation mesurable.
L'article 14 du CRA est en vigueur depuis ce matin. La SRP est ouverte. Le prochain délai de 24 h commencera à courir à la prochaine découverte d'exploitation active, que votre organisation soit prête ou non.