Règlement de cybersécurité : obligation de signaler vulnérabilités et incidents

Le règlement (UE) 2024/2847, appelé Cyber Resilience Act, impose à tous les fabricants de signaler toute vulnérabilité activement exploitée ou un incident grave de sécurité, y compris pour les produits déjà sur le marché. Le texte, finalisé en 2024, évoque des défis liés à la norme harmonisée et à la plateforme de signalement. Les fabricants doivent partager le code ou la documentation correspondante des modifications logicielles ou matérielles pour remédier à une vulnérabilité. Le règlement ne précise pas la responsabilité des mainteneurs, mais exige que les fabricants vérifient la sécurité des composants qu’ils intègrent. Le coût de développement est accru, mais le mainteneur n’a pas de client à répercuter ce surcoût.