Cyber Resilience Act : ce qui change vraiment pour vos objets connectés le 11 septembre 2026

Vous avez un routeur posé quelque part dans le salon, peut-être une caméra qui surveille l’entrée, une enceinte qui répond quand vous lui parlez. Question simple : pendant combien d’années le fabricant s’est-il engagé à corriger les failles de ces appareils ? Vous n’en savez rien. Moi non plus, pour la moitié des miens. Jusqu’ici, aucun texte n’obligeait qui que ce soit à l’écrire quelque part.

Le Cyber Resilience Act, de son nom complet règlement européen 2024/2847, s’attaque à ce trou. Sa première échéance concrète tombe le 11 septembre 2026. Méfiez-vous du raccourci qui circule : ce jour-là, rien ne change dans les rayons, et l’étiquette de votre prochaine caméra ne vous dira toujours rien de sa sécurité. Ce qui bascule, c’est une obligation qui pèse sur les fabricants, et qui couvre déjà le matériel branché chez vous. Je vous montre ce qui s’applique maintenant, ce qui attend décembre 2027, et les trois réflexes à prendre sans attendre le calendrier européen.

Ce qui commence vraiment le 11 septembre 2026

Une seule disposition entre en application à cette date : l’article 14 du règlement, celui qui impose le signalement. À partir du 11 septembre, tout fabricant qui découvre une vulnérabilité activement exploitée dans l’un de ses produits doit le déclarer. Même chose pour un incident grave affectant la sécurité du produit.

Le mot « activement exploitée » fait tout le travail, et il mérite qu’on s’y arrête. Il ne s’agit pas d’une faille théorique repérée par un chercheur dans un laboratoire. Il s’agit d’une faille dont on sait qu’elle sert déjà à attaquer des appareils réels. C’est le cas le plus urgent, et c’est celui que l’Europe a choisi de traiter en premier.

Les délais sont serrés. Le fabricant a 24 heures pour envoyer une alerte précoce, 72 heures pour une notification complète, puis 14 jours après la mise à disposition d’un correctif pour son rapport final (un mois dans le cas d’un incident grave). Ces signalements partent vers le CSIRT désigné comme coordinateur et vers l’ENISA, l’agence européenne de cybersécurité, via une plateforme de signalement unique. Pour un fabricant établi en France, l’interlocuteur est le CERT-FR, rattaché à l’ANSSI.

Voilà pour la mécanique administrative. Mais le même article 14 contient un alinéa qui vous concerne directement, et personne n’en parle : le fabricant doit aussi informer les utilisateurs du produit de cette vulnérabilité ou de cet incident, et le cas échéant leur indiquer les mesures d’atténuation à prendre. Mieux : si le fabricant traîne à le faire, le CSIRT qui a reçu le signalement peut décider d’informer les utilisateurs lui-même. Autrement dit, le silence gêné après la découverte d’une faille, cette pratique bien installée chez les fabricants d’objets connectés, n’est plus une option légale.

Pourquoi votre routeur acheté il y a trois ans est déjà concerné

C’est le point que la plupart des articles ratent, et il est contre-intuitif. La règle générale du règlement, posée à l’article 69, dit que les produits mis sur le marché avant le 11 décembre 2027 n’ont pas à respecter le texte, sauf s’ils font l’objet d’une modification substantielle après cette date. Traduction : personne ne va exiger d’un fabricant qu’il remette aux normes une caméra vendue en 2023. Sur ce plan, aucune rétroactivité.

Sauf que le même article prévoit une dérogation explicite, et elle vise précisément l’article 14. Les obligations de signalement s’appliquent à tous les produits entrant dans le champ du règlement, y compris ceux mis sur le marché avant décembre 2027. Le routeur que vous avez branché il y a trois ans, la caméra installée l’an dernier, l’enceinte reçue à Noël : si une faille de l’un de ces appareils se retrouve exploitée dans la nature, le fabricant doit la signaler et vous prévenir. Dès maintenant.

C’est la seule partie du Cyber Resilience Act qui produit un effet immédiat sur du matériel déjà installé. Elle vaut d’être connue, ne serait-ce que pour savoir quoi reprocher à un fabricant qui vous laisse dans le noir.

Caméras, serrures, jouets : ce que le règlement vise nommément

Le champ d’application est très large : tout produit comportant des éléments numériques dont l’usage prévu inclut une connexion à un appareil ou à un réseau. Une ampoule pilotable, un thermostat, un aspirateur robot, un téléviseur, un logiciel : tout y passe.

Une catégorie mérite votre attention, celle des produits importants de classe I, listés à l’annexe III. Ce sont ceux que l’Europe juge plus sensibles, et qui devront passer par une procédure de conformité plus stricte. La liste ressemble à un inventaire de salon : routeurs, modems et commutateurs destinés à la connexion internet, serrures connectées, caméras de sécurité, systèmes de surveillance pour bébé, systèmes d’alarme, assistants vocaux domestiques, objets connectés de la maison dotés de fonctions de sécurité, jouets connectés à fonctions sociales ou de géolocalisation, et objets portables à finalité de suivi de santé.

Ce classement n’a rien d’arbitraire. Ce sont les appareils qui gardent une porte, filment un couloir, écoutent une chambre d’enfant ou tiennent l’entrée de votre réseau. Une caméra de surveillance compromise ne coûte pas de l’argent, elle coûte de l’intimité, et un routeur compromis donne accès à tout ce qui passe derrière lui.

À l’inverse, plusieurs familles d’appareils sortent du texte parce qu’elles relèvent déjà d’autres réglementations : les dispositifs médicaux, les tests de diagnostic in vitro, les véhicules à moteur, l’aviation civile et les équipements marins. Votre voiture connectée et votre lecteur de glycémie ne sont donc pas couverts par le Cyber Resilience Act. Ils ne sont pas pour autant sans règles, ils en ont simplement d’autres.

Le vrai changement pour l’acheteur arrive en décembre 2027

Si vous ne devez retenir qu’une date pour vos achats, c’est celle-là : le 11 décembre 2027, quand le gros du règlement devient applicable. Trois dispositions vont alors changer la vie d’un acheteur, et elles sont bien plus concrètes que l’obligation de signalement.

Premier changement, le plus utile : le fabricant devra définir une période de support, c’est-à-dire la durée pendant laquelle il s’engage à traiter les failles de son produit. Le règlement pose un plancher de cinq ans, sauf si l’appareil est manifestement destiné à durer moins longtemps, auquel cas la période colle à sa durée d’usage attendue. Fini, en théorie, la caméra abandonnée par son fabricant dix-huit mois après sa sortie.

Deuxième changement, et c’est celui que j’attends le plus : la date de fin de cette période de support devra être indiquée au moment de l’achat, au minimum le mois et l’année, de façon claire et facilement accessible, sur le produit, son emballage ou par voie numérique. Un chiffre comparable, affiché en rayon, à côté du prix. Le jour où une caméra affichera « support jusqu’à 03/2032 » et sa voisine « support jusqu’à 06/2029 », le débat sur les vingt euros d’écart changera de nature.

Et le plus discret des trois : chaque mise à jour de sécurité diffusée pendant la période de support devra rester disponible au moins dix ans après sa publication, ou jusqu’à la fin de la période de support si celle-ci va au-delà. Ça paraît anodin. Ça ne l’est pas quand vous ressortez un appareil d’un carton après trois ans et que le serveur de mise à jour a fermé entre-temps.

Ce que ce règlement ne réglera pas

Soyons clairs, ce texte ne va pas nettoyer votre logement. Tous les objets déjà branchés chez vous restent hors des exigences de conception, de la période de support et du marquage. Un appareil vendu sans jamais recevoir la moindre mise à jour continuera sa carrière exactement comme avant, et il en circule des millions.

Le rappel le plus net de cette limite, on l’a eu il y a quelques jours à peine avec ces 100 000 routeurs Wi-Fi vendus avec une porte dérobée installée en usine. Aucune période de support n’aurait empêché ça, puisque le problème venait du fabricant lui-même.

Autre nuance à garder en tête : le régime de sanctions du règlement, qui peut monter à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial, relève lui aussi de l’application générale de décembre 2027. Entre le 11 septembre 2026 et cette date, l’obligation de signalement existe donc sans son bras armé. Ce qui ne la rend pas décorative, un fabricant sérieux s’y met tout de suite, mais ce qui explique pourquoi vous risquez de ne rien voir changer avant un moment.

Ce qui vous protège déjà, sans attendre 2027

Reste une question : d’ici décembre 2027, rien ne vous protège ? Si. Un autre texte européen est passé avant celui-là, en bien plus discret. Depuis le 1er août 2025, le règlement délégué 2022/30, qui complète la directive RED sur les équipements radio, impose trois exigences à tout appareil qui se connecte en Wi-Fi, en Bluetooth ou en 4G : résister aux attaques venues du réseau, protéger les données personnelles et empêcher la fraude sur les fonctions de paiement. Sans preuve de conformité, pas de marquage CE, donc pas de vente légale en Europe.

Concrètement, les normes harmonisées qui vont avec (la série EN 18031) écartent des pratiques qui traînaient depuis quinze ans, à commencer par le mot de passe d’usine identique sur toute une série d’appareils. Ça ne dit toujours rien de la durée de support, et ça ne vaut que pour le matériel radio vendu neuf depuis cette date. Mais le vide réglementaire total sur les objets connectés, lui, appartient au passé.

Les trois réflexes à prendre maintenant

1. Premier réflexe, avant d’acheter. Cherchez la durée de support annoncée par le fabricant. Certains la publient déjà, sur leur site ou dans leur documentation, sans y être contraints. C’est un excellent critère de tri, et je le place personnellement avant la fiche technique : entre deux caméras équivalentes, celle dont le fabricant s’engage sur cinq ans vaut mieux que celle qui gagne un mégapixel. Si l’information est introuvable, considérez que c’est une réponse en soi.
2. Deuxième réflexe, sur ce que vous avez déjà. Ouvrez l’application ou l’interface de chaque objet connecté et vérifiez deux choses : que les mises à jour automatiques sont actives, et à quand remonte la dernière. Un appareil dont le dernier firmware date de plus de deux ans est un appareil que son fabricant a probablement lâché, quoi qu’en dise sa page produit.
3. Et le plus utile des trois : pour tout ce qui n’est plus suivi, coupez l’accès à distance. C’est lui qui transforme un objet vulnérable en objet attaquable depuis n’importe où. Désactivez l’ouverture de ports et l’UPnP sur votre box, basculez ces appareils sur un réseau Wi-Fi invité pour qu’ils ne voient pas vos ordinateurs, et changez les mots de passe restés d’usine. Ma page sur la sécurisation de votre box internet détaille la marche à suivre. Quand un appareil garde une porte ou filme une pièce et n’est plus mis à jour, la seule décision saine reste de le remplacer.

Ce qu’il faut retenir de cette date

Le 11 septembre 2026 ne vous apporte rien de visible, et il faut le dire honnêtement plutôt que de vendre une révolution. Il installe une obligation de transparence chez les fabricants, il couvre le matériel que vous possédez déjà, et il prépare le terrain pour la partie qui compte vraiment.

Trois choses à faire en sortant de cet article. Vérifiez les mises à jour automatiques de vos objets connectés ce soir, ça prend un quart d’heure. Isolez sur un réseau invité tout ce qui n’est plus suivi. Et à partir de décembre 2027, refusez d’acheter un objet connecté qui n’affiche pas sa date de fin de support, exactement comme vous refuseriez un aliment sans date de péremption. C’est le seul chiffre de ce règlement qui finira par arriver jusqu’à l’étiquette, et c’est celui qui changera le marché.