Quand une vulnérabilité mal gérée devient un défaut de produit
Depuis le 11 septembre 2026, les fabricants de produits comportant des éléments numériques (objets connectés, logiciels, systèmes embarqués) sont soumis à une nouvelle obligation issue du Cyber Resilience Act (règlement (UE) 2024/2847). Ce texte est souvent suivi par les équipes cybersécurité ou conformité réglementaire, rarement par les équipes juridiques en charge du contentieux. Or ce texte s'articule directement avec la responsabilité des produits défectueux, et les deux sujets doivent désormais être pensés ensemble.
Les nouvelles obligations depuis le 11 septembre
L'article 14 du Cyber Resilience Act, entré en application le 11 septembre 2026, impose aux fabricants de signaler toute vulnérabilité activement exploitée dans l'un de leurs produits (par exemple une interception de données bancaires lors d'une transaction de paiement sur une borne de recharge électrique mal sécurisée, ou un accès non autorisé au flux vidéo d'une caméra de surveillance connectée, exploité pour espionner les occupants d'un logement ou repérer une absence prolongée). Le calendrier est strict : une première alerte sous 24 heures, puis une notification plus détaillée sous 72 heures. Ces signalements sont transmis à l'ENISA (l'agence de l'Union européenne pour la cybersécurité, chargée notamment de centraliser ces notifications) ainsi qu'au CSIRT national compétent, c'est-à-dire l'équipe nationale de réponse aux incidents de sécurité informatique (en France, le CERT-FR, rattaché à l'ANSSI). Ces transmissions s'effectuent via une plateforme unique commune à l'ensemble des États membres, la Single Reporting Platform, développée et tenue à jour par l'ENISA. En France, la surveillance du marché au titre du CRA relève pour sa part de l'Agence nationale des fréquences (ANFR), avec l'appui technique de l'ANSSI, répartition des rôles qu'il convient de garder à l'esprit lorsqu'un incident survient. Cette obligation vise aussi les produits déjà commercialisés avant le 11 septembre, non les seuls nouveaux produits mis sur le marché.
Cette échéance du 11 septembre n'est qu'une première étape : l'essentiel des obligations de conformité du Cyber Resilience Act (exigences de sécurité dès la conception, documentation technique, marquage CE) n'entrera en application que le 11 décembre 2027. Mais l'obligation de signalement, elle, est déjà effective.
Le risque financier direct : des amendes qui peuvent atteindre 15 millions d’euros
Le non-respect des obligations de signalement des articles 13 et 14 expose à une amende administrative pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial total de l’entreprise, le montant le plus élevé étant retenu. Il s'agit du niveau de sanction le plus élevé prévu par le règlement, au même niveau que le non-respect des exigences essentielles de cybersécurité. L'échelle des sanctions comporte trois niveaux : 15 M€ ou 2,5 % pour les exigences essentielles et les obligations de gestion des vulnérabilités ; 10 M€ ou 2 % pour les autres obligations du règlement ; 5 M€ ou 1 % pour la communication d’informations fausses ou incomplètes aux autorités.
Le règlement prévoit un régime dérogatoire pour les PME et microentreprises : le seul non-respect du délai de 24 heures ne peut fonder une sanction à leur égard, l’obligation de signalement demeurant par ailleurs pleinement applicable. Cette dérogation ne bénéficie pas aux grandes entreprises. Les autorités de surveillance du marché disposent en outre d’un pouvoir distinct de la sanction pécuniaire : elles peuvent ordonner une action corrective, un retrait ou un rappel du produit, ou en restreindre la mise à disposition sur le marché : des mesures dont l’incidence opérationnelle et réputationnelle peut excéder celle de l’amende elle-même.
Le lien avec la responsabilité produits, trop souvent ignoré
La directive (UE) 2024/2853 sur la responsabilité des produits défectueux, applicable le 9 décembre 2026, contient une précision rarement commentée : elle cite explicitement le respect des exigences de cybersécurité parmi les critères permettant d'apprécier la défectuosité d'un produit connecté.
Une vulnérabilité mal gérée (signalement tardif, absence de correctif, silence prolongé face à une faille connue) ne constitue plus seulement un manquement réglementaire au titre du Cyber Resilience Act. Elle peut désormais être invoquée par un consommateur, ou par une association agréée dans le cadre d'une action de groupe, comme un élément établissant la défectuosité du produit au sens de la responsabilité civile.
Un incident de cybersécurité mal traité expose ainsi l'entreprise à deux conséquences distinctes et cumulatives : une sanction réglementaire au titre du Cyber Resilience Act, et une exposition contentieuse au titre de la responsabilité produits. Traiter ces deux sujets séparément (l'un par l'équipe technique ou conformité, l'autre par la direction juridique) prive l'entreprise d'une vision d'ensemble du risque réel encouru.
Une notification CRA ne dispense ni du RGPD ni de NIS2
Un même incident de sécurité peut déclencher plusieurs obligations de notification distinctes, fondées sur des textes différents, avec des déclencheurs, des délais et des destinataires propres à chacun. Signaler une vulnérabilité à l'ENISA au titre du CRA ne dispense donc pas d'examiner séparément si les autres obligations applicables sont également engagées.
L'obligation de notification à la CNIL (article 33 du RGPD) repose sur un critère distinct : l'existence d'une violation de données à caractère personnel, indépendamment de la question de savoir si un produit ou une vulnérabilité est en cause. Une vulnérabilité exploitée dans un objet connecté n'emporte donc une obligation RGPD que si elle a effectivement compromis des données personnelles, ce qui est fréquent pour ce type de produits, sans être systématique. Lorsque c'est le cas, les deux obligations s'appliquent cumulativement, sur des fondements distincts et auprès d'autorités distinctes.
S'ajoute, pour certaines entreprises, la directive NIS2, dont la transposition en droit français reste en cours. Ce texte impose ses propres obligations de notification à l'ANSSI, selon un rythme comparable (alerte sous 24 heures, notification sous 72 heures, rapport final sous un mois), mais un champ d'application distinct : NIS2 régule les opérateurs relevant de secteurs critiques, quelle que soit la nature du produit en cause, tandis que le Cyber Resilience Act régule les produits eux-mêmes, quel que soit le secteur du fabricant. Une entreprise peut ainsi se trouver soumise aux deux textes simultanément, au titre de deux qualités différentes.
Chaque incident de sécurité affectant un produit connecté mérite donc une analyse au regard de chacun de ces textes, plutôt qu'une notification unique présumée suffisante.
Tips pratiques
Quatre réflexes pour tout fabricant ou distributeur de produits comportant des éléments numériques :
- Identifiez, en interne, qui porte l'obligation de signalement. Un défaut d'organisation est souvent la première cause de retard : vérifiez qu'un circuit clair relie les équipes techniques qui détectent une vulnérabilité et celles chargées de la déclarer dans les délais de 24 et 72 heures.
- L'obligation de signalement ne se limite pas aux nouveaux lancements : elle couvre aussi les produits déjà commercialisés avant le 11 septembre. Un inventaire à jour de votre gamme, avec les vulnérabilités connues associées à chaque produit, évite une mauvaise surprise le jour où une faille est découverte sur un produit ancien.
- Vos équipes cybersécurité et juridique se parlent-elles réellement lorsqu'une vulnérabilité est détectée ? Un signalement CRA traité isolément par l'équipe technique, sans que la direction juridique en soit informée, passe à côté de son incidence potentielle sur l'appréciation de la défectuosité au sens de la directive 2024/2853.
- Conservez la trace de chaque signalement et de chaque correctif apporté. Cette documentation sert un double objectif : démontrer la diligence du fabricant au titre du Cyber Resilience Act, et répondre aux obligations de divulgation renforcées de la directive sur la responsabilité des produits défectueux.
