Objets connectés : une nouvelle règle européenne entre en vigueur le 11 septembre

Ce vendredi 11 septembre 2026, un volet important du règlement européen sur la cyberrésilience, mieux connu sous son nom anglais de Cyber Resilience Act, devient contraignant. Il s'agit d'un texte adopté par l'Union européenne pour imposer un niveau minimum de sécurité à tous les produits numériques vendus sur son territoire : routeurs, caméras de surveillance, imprimantes réseau, montres connectées, logiciels de gestion, et jusqu'aux jouets et appareils électroménagers pilotés depuis un téléphone.

La Belgique et le Luxembourg sont évidemment concernés, puisque le règlement s'applique de la même manière dans les vingt-sept États membres. Concrètement, cette première échéance ne change rien à ce que vous devez faire vous-même, mais elle modifie en profondeur ce que vos fournisseurs sont obligés de vous dire.

Le silence des fabricants n'est plus permis

Jusqu'ici, un constructeur qui découvrait qu'une faille de son matériel était activement utilisée par des pirates pouvait très bien garder l'information pour lui, le temps de préparer un correctif ou, parfois, indéfiniment. C'est précisément ce que la Commission européenne veut faire cesser. À partir du 11 septembre, tout fabricant devra déclarer deux types d'événements : les vulnérabilités dont il constate qu'elles sont déjà exploitées, et les incidents graves qui compromettent la sécurité de son produit.

Les délais sont serrés. D'après les textes publiés par la Commission, une première alerte doit partir dans les vingt-quatre heures, un diagnostic plus complet dans les septante-deux heures, puis un rapport final au plus tard quatorze jours après la mise à disposition d'un correctif. Ces signalements transitent par une plateforme centralisée gérée par l'ENISA, l'agence européenne chargée de la cybersécurité, qui les redistribue aux équipes nationales d'intervention comme le Centre pour la Cybersécurité Belgique. Les sanctions prévues vont jusqu'à quinze millions d'euros ou 2,5 % du chiffre d'affaires mondial, et le retrait du marché européen reste possible.

Ce que vous devriez faire dès maintenant

Le reste du règlement, notamment l'obligation pour un produit d'être sécurisé dès sa conception et de porter un marquage CE couvrant aussi son volet numérique, n'entrera pleinement en application qu'en décembre 2027. Mais un point mérite votre attention immédiate : le texte impose aux fabricants d'annoncer une période de support pendant laquelle les mises à jour de sécurité restent gratuites, d'au moins cinq ans dans la plupart des cas.

Voici le conseil concret. Prenez trente minutes pour dresser la liste de tout ce qui, chez vous ou dans votre entreprise, se connecte à internet sans être un ordinateur : le routeur du fournisseur d'accès, le point d'accès Wi-Fi, le NAS où dorment les sauvegardes, les caméras, l'imprimante multifonction, le thermostat. Pour chaque appareil, notez l'année d'achat et cherchez sur le site du fabricant si le modèle reçoit encore des mises à jour. Un équipement qui n'en reçoit plus est une porte ouverte permanente : il ne sera jamais réparé, quelle que soit la faille découverte demain. Activez ensuite les mises à jour automatiques partout où c'est possible, et changez les mots de passe d'administration restés d'origine, une négligence qui figure encore parmi les causes les plus fréquentes d'intrusion selon les rapports du CERT-FR.

Cette nouvelle réglementation joue en votre faveur : elle vous donnera, à l'achat, une information claire sur la durée pendant laquelle un appareil restera défendable. En attendant décembre 2027, la question à poser à votre revendeur avant tout achat de matériel réseau est simple : combien d'années de mises à jour de sécurité sont garanties ? Chez Must Computer, à Bastogne comme à Wiltz, nous pouvons réaliser cet inventaire avec vous, identifier les équipements arrivés en fin de support et vous orienter vers du matériel dont la maintenance est réellement assurée dans la durée.