Le 11 septembre a mis la chaîne d'approvisionnement européenne en logiciels en mode « 24 heures sur 24 ».

AVIS D’EXPERT

À compter du 11 septembre, les fabricants de matériel et de logiciels commercialisés dans l’Union européenne sont soumis à un délai de 24 heures. Toute vulnérabilité activement exploitée ou tout incident grave affectant un produit comportant des éléments numériques, y compris les produits existants déjà sur le marché, doit être signalé à l’Agence de l’Union européenne chargée de la cybersécurité (ENISA) ainsi qu’à l’ANSSI en France dans un délai d’un jour, une notification complète devant suivre au plus tard dans les 72 heures, via la plateforme unique de signalement.

  Ce délai de signalement de 24 heures représente un défi opérationnel. Il suppose qu’une organisation sache déjà, en temps réel, qui a interagi avec une version vulnérable, à quel moment et avec quel niveau d’accès. Pour la plupart des fabricants, cette hypothèse ne tient pas la route. La gestion des vulnérabilités et les pipelines CI/CD constituent souvent la partie de la chaîne d’approvisionnement logicielle où le contrôle d’accès est le moins strict ; ils fonctionnent avec des identifiants partagés, des secrets codés en dur et des accès permanents que personne n’a vérifiés.  

L’étude 2026 de Keeper montre que 15 % des organisations françaises citent déjà la surveillance limitée des accès des tiers et des fournisseurs comme une lacune de gouvernance, un chiffre inférieur à la moyenne mondiale, bien que l’exposition qu’elle met en évidence soit la même que celle à laquelle tous les fabricants sont désormais confrontés. Cette lacune se situe directement au cœur de l’obligation de signalement. Un fabricant ne peut pas produire une divulgation défendable dans les 24 heures s’il ne peut pas d’abord établir qui disposait d’un accès privilégié au composant concerné.  

Respecter cette échéance dans la pratique implique de supprimer les secrets codés en dur des pipelines de compilation et de DevOps, de stocker en coffre-fort les identifiants utilisés pour accéder aux systèmes de gestion des vulnérabilités, et de conserver une piste d’audit suffisamment détaillée pour permettre un rapport le jour même. Les exigences essentielles de la loi sur la cyber-résilience vont encore plus loin, en imposant un contrôle d’accès et la protection des données d’authentification au sein même du produit. L’échéance de septembre récompense les fabricants qui se sont préparés et met en évidence ceux qui ne l’ont pas fait. L’échéance de décembre 2027 place la barre encore plus haut, puisque cette même exigence devra être intégrée au produit lui-même, avant même qu’un incident ne se produise.