Le Cyber Resilience Act (CRA) impose aux fabricants de portefeuilles crypto un délai de 24 heures pour signaler toute vulnérabilité activement exploitée aux autorités européennes. À partir du 11 septembre 2026, cette obligation s’appliquera également aux produits déjà commercialisés sur le marché de l’UE.
🔑 En bref
- Le CRA (Règlement UE 2024/2847) est entré en vigueur le 10 décembre 2024 et s’appliquera pleinement le 11 décembre 2027.
- Dès le 11 septembre 2026, les fabricants de hardware et software wallets devront signaler toute vulnérabilité exploitée sous 24 heures.
- Le rapport détaillé intervient sous 72 heures, suivi d’un rapport final sous 14 jours (vulnérabilité) ou 1 mois (incident grave).
- Les déclarations passent par la plateforme unique de l’ENISA, distribuées aux CSIRT nationaux.
- Les sanctions peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial annuel.
Les trois dates butoirs du Cyber Resilience Act
Le Règlement (UE) 2024/2847, publié au Journal officiel de l’Union européenne, constitue la première mesure paneuropéenne établissant des exigences obligatoires de cybersécurité pour les produits à éléments numériques — matériels ou logiciels — sur l’ensemble de leur cycle de vie. Son calendrier de mise en œuvre s’articule autour de trois jalons successifs.
La première échéance, le 11 septembre 2026, active les obligations de signalement des vulnérabilités activement exploitées et des incidents graves. Cette date est particulièrement sensible : elle concerne non seulement les nouveaux produits, mais aussi les gammes déjà commercialisées dans l’UE. La deuxième, le 11 décembre 2026, impose aux États membres d’avoir désigné et notifié leurs organismes d’évaluation de la conformité à la Commission européenne. La troisième, le 11 décembre 2027, marque l’application complète, avec les exigences de conformité technique, le marquage CE et la gestion intégrale du cycle de vie.
| Date butoir | Obligation |
|---|---|
| 11 septembre 2026 | Signalement des vulnérabilités et incidents graves (24h / 72h) |
| 11 décembre 2026 | Notification des organismes d’évaluation de la conformité |
| 11 décembre 2027 | Conformité technique complète, marquage CE, cycle de vie |
<
Les délais de signalement imposés aux fabricants de wallets
Pour les portefeuilles de cryptoactifs — qu’il s’agisse de hardware wallets connectés ou de logiciels téléchargeables répondant aux critères du test européen de conformité — le CRA impose une cascade de notifications à respecter scrupuleusement. Le délai de 24 heures correspond à un signalement précoce initial, et non à la correction du problème. L’avertissement précoce doit préciser les États membres où le produit est connu pour avoir été mis à disposition, et indiquer, pour un incident grave, si des actes illicites ou malveillants sont suspectés.
Un signalement plus détaillé doit suivre dans les 72 heures suivant la prise de conscience de l’événement, sauf si les informations pertinentes ont déjà été communiquées. Pour une vulnérabilité activement exploitée, cette déclaration inclut des informations générales sur le produit, l’exploit, la vulnérabilité et les mesures correctives envisagées. Pour un incident grave, elle précise la nature de l’incident, une évaluation initiale et les informations d’atténuation disponibles.
« L’obligation de 24 heures ne porte pas sur la rapidité de correction, mais sur la capacité à détecter et confirmer une exploitation active. »
Analyste sectoriel, ContinueOps
Les rapports finaux obéissent à des échéances distinctes : 14 jours après qu’une mesure corrective devient disponible pour une vulnérabilité, et un mois après la notification des 72 heures pour un incident grave. La précision de ces déclarations suppose en pratique de connaître le contenu exact du produit, ce qui rend la tenue d’un Software Bill of Materials (SBOM) indispensable pour les fabricants de wallets.
Portail ENISA, SBOM et obligations des stewards open source
Les déclarations sont déposées une seule fois via la plateforme de rapport unique que l’ENISA, l’agence européenne de cybersécurité, met en place durant l’année 2026. Ce portail transmet la notification à l’équipe nationale de réponse aux incidents informatiques (CSIRT) désignée, met les informations à disposition de l’ENISA, puis assure la distribution aux autres CSIRT compétents. Les fabricants doivent également informer les utilisateurs impactés et, le cas échéant, l’ensemble de leur base d’utilisateurs lorsqu’une action est requise.
Le régime des licences open source ne crée pas d’exemption globale. Selon les orientations de la Commission publiées le 27 juillet 2026, les produits free et open source fournis commercialement restent soumis aux obligations du fabricant. Les logiciels non monétisés fournis par leur fabricant ne devraient pas être considérés comme une activité commerciale, tandis que les contributeurs individuels ne sont pas traités comme des fabricants pour les logiciels hors de leur responsabilité. Les stewards de logiciels open source constituent une catégorie juridique distincte, dont les obligations de signalement débutent le 11 décembre 2027.
Le champ d’application du CRA est volontairement large : il couvre les produits à éléments numériques dont l’utilisation prévue inclut une connexion directe ou indirecte à un appareil ou à un réseau. Cette définition englobe explicitement les logiciels et les solutions de traitement de données à distance, au-delà des seuls appareils physiques connectés. Les produits déjà encadrés par des règles sectorielles spécifiques — dispositifs médicaux, véhicules à moteur, aviation civile — restent exclus.
Sanctions et implications pour l’écosystème crypto
Le non-respect des exigences essentielles ou des obligations du fabricant expose les entreprises à des sanctions pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial annuel total, selon le montant le plus élevé. Des plafonds inférieurs s’appliquent aux autres infractions et à la fourniture d’informations incorrectes. Pour les acteurs crypto, ces montants représentent un risque financier significatif, susceptible de redéfinir les priorités d’investissement en cybersécurité des éditeurs de wallets.
Les dispositions transitoires méritent une attention particulière : les produits placés sur le marché européen avant le 11 décembre 2027 et conformes à la législation existante peuvent continuer à être distribués jusqu’à cette date sans satisfaire aux exigences complètes de conformité du CRA. Toutefois, ces dispositions transitoires ne dispensent pas des obligations de signalement actives dès septembre 2026 — un point que les fabricants de gammes existantes doivent intégrer dès maintenant dans leur gouvernance.
Conclusion
Le Cyber Resilience Act redéfinit la chaîne de responsabilité des fabricants de portefeuilles crypto opérant sur le marché européen. La fenêtre de 24 heures pour signaler une vulnérabilité exploitée impose une refonte des processus de détection et de remontée d’incidents, avec le SBOM comme prérequis opérationnel. D’ici septembre 2026, les éditeurs de wallets — y compris pour les produits open source commercialisés — devront avoir cartographié leurs dépendances logicielles, désigné leurs points de contact CSIRT et formé leurs équipes à la rédaction de notifications conformes.
Le scénario le plus probable reste une application graduelle, ponctuée de guides publiés par l’ENISA et la Commission. Reste un point de vigilance : la définition large des « produits à éléments numériques » pourrait, à terme, rattraper des catégories aujourd’hui à la marge — des SDK crypto aux plugins de navigateur — et imposer un niveau de conformité inédit à l’ensemble de la chaîne de valeur Web3.
Sources
- CryptoSlate — Crypto wallet creators now have just 24 hours to alert regulators when flaws are exploited
- ContinueOps — Cyber Resilience Act Timeline
- OpenMetal — Why the EU Cyber Resilience Act’s reporting clock depends on your infrastructure
- CyberResilienceAct.eu — Explained
- OpenSSF — EU Cyber Resilience Act
- European Commission — Cyber Resilience Act
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
