L’UE impose l’alerte sous 24 heures

Depuis le 11 septembre, les fabricants de produits connectés et de logiciels commerciaux vendus sous leur marque dans l’UE doivent signaler sous 24 heures toute faille exploitée ou tout incident grave. L’obligation couvre aussi les produits déjà vendus, mais ne garantit pas qu’un correctif atteigne les utilisateurs.

Depuis le 11 septembre, toute entreprise qui vend dans l’UE, sous sa propre marque, un appareil connecté ou un logiciel commercial dispose de 24 heures après avoir appris que des attaquants exploitent une faille pour en avertir les autorités (règlement, Commission européenne). L’obligation concerne aussi les produits déjà sur le marché, y compris ceux vendus depuis longtemps. En un jour, l’information détenue par une entreprise peut ainsi parvenir aux autorités chargées de la cybersécurité dans toute l’UE. Mais signaler une attaque ne suffit pas à installer un correctif sur les appareils concernés.

Cette obligation de signalement est la première partie du règlement sur la cyberrésilience (Cyber Resilience Act), la loi européenne sur la sécurité des produits numériques, à entrer en vigueur. Les règles qui encadrent la conception des produits ne s’appliqueront qu’à partir du 11 décembre 2027 (ENISA).

Ce qui déclenche le délai

Deux types d’événements imposent un signalement. Le premier est une vulnérabilité activement exploitée : des éléments fiables doivent montrer qu’une personne a utilisé une faille à des fins malveillantes et sans autorisation. Le second est un incident grave qui affecte la sécurité du produit, même si aucune faille n’a été prouvée. Un chercheur qui signale en privé un bug sans indice d’attaque ne déclenche pas cette obligation, selon les recommandations du centre national néerlandais de cybersécurité (Dutch NCSC).

Le compte à rebours démarre quand le fabricant a connaissance du problème. Il ne dépend ni du moment où les attaquants ont frappé ni de la publication d’un correctif. Le fabricant doit envoyer une première alerte sous 24 heures, puis une notification plus complète sous 72 heures, à compter du même moment et non du premier signalement (FAQ de l’ENISA).

Un rapport final est exigé plus tard, à une échéance qui varie selon qu’il s’agit d’une faille exploitée ou d’un incident. Le fabricant doit aussi expliquer aux utilisateurs concernés comment se protéger (règlement).

Où va l’alerte

Tous les signalements passent par la Single Reporting Platform, gérée par l’ENISA, l’agence de l’UE chargée de la cybersécurité. Le fabricant adresse son rapport au CSIRT du pays où se trouve son principal établissement dans l’UE. Un CSIRT est une équipe nationale chargée de recevoir les alertes sur les incidents informatiques. Elle transmet ensuite le rapport à ses homologues de chaque pays où le produit est vendu (ENISA).

Les rapports ne sont pas rendus publics. Certains décriront des failles pour lesquelles aucun correctif n’existe encore. Dans des cas exceptionnels, l’équipe chargée de la coordination peut donc retarder leur transmission aux autres pays, mais les échéances imposées au fabricant restent les mêmes (règlement). Le risque est direct : la diffusion de détails sur une faille non corrigée peut la rendre plus dangereuse.

Qui doit être prêt

Le terme « fabricant » désigne l’entreprise qui vend un produit sous son propre nom. Le lieu de son siège et sa taille ne changent rien à cette définition. Elle englobe aussi bien le contrôleur de maintenance à distance d’un constructeur allemand de machines que l’application commerciale d’une entreprise irlandaise, même si celle-ci est gratuite (Silicon Republic).

L’essentiel de la charge est opérationnel : une personne habilitée à faire le signalement doit pouvoir détecter une attaque, évaluer la situation et envoyer le rapport, y compris un dimanche soir. Le 11 septembre, l’association allemande d’électrotechnique VDE a appelé les fabricants à mettre en place ces procédures de détection et de remontée des alertes (VDE).

Juste avant le lancement, la presse française a relevé que les signalements se faisaient manuellement, sans interface de dépôt automatisé (ZDNet France). Chaque alerte dépend donc de la disponibilité d’une personne au moment où le délai commence.

Les entreprises qui dépassent les délais relèvent des autorités nationales de surveillance du marché. Ces régulateurs peuvent vérifier si les produits sont conformes et sanctionner les manquements. Les amendes peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial (règlement). Les annonces de lancement expliquent le dispositif, mais ne donnent pas le nombre de signalements reçus (ENISA, Commission européenne).

L’Europe dispose désormais d’un canal unique pour transmettre aux équipes nationales de cybersécurité l’information qu’un fabricant détient sur une attaque. Il couvre tous les pays où le produit est vendu, y compris pour des produits anciens encore en service. Les autorités sont informées plus vite ; les utilisateurs, eux, ne sont protégés qu’une fois le correctif installé sur leur appareil.

Pour savoir si des alertes plus rapides conduisent à des correctifs plus rapides, l’ENISA et la Commission devraient publier deux données : le nombre de signalements reçus et le délai avant qu’un correctif parvienne aux utilisateurs.