Depuis le 11 septembre 2026, le Cyber Resilience Act oblige tout éditeur qui vend un logiciel, une app, un jeu ou un firmware dans l'Union à signaler une faille activement exploitée à l'ENISA et au CERT-FR dans les 24 heures. Nous préparons les éditeurs à tenir ce délai, et nous le tenons avec eux le jour venu.
Règlement (UE) 2024/2847, art. 14 · en vigueur depuis le 11 septembre 2026
Les trois échéances de l'article 14, dessinées à leur vraie longueur. Faites défiler : la première passe plus vite qu'on ne le croit.
Les 24 et 72 premières heures tiennent dans ce premier trait orange.
Premier signalement, simultanément au CSIRT coordinateur (en France, le CERT-FR) et à l'ENISA, par la plateforme unique. Il indique, s'il y a lieu, les États membres où le produit est disponible.
art. 14 §2 a
Le produit concerné, la nature de l'exploitation et de la vulnérabilité, les mesures correctives prises et celles que les utilisateurs peuvent appliquer.
art. 14 §2 b
Au plus tard 14 jours après la mise à disposition d'un correctif : la faille et sa gravité, l'acteur malveillant s'il est connu, le détail de la mise à jour.
art. 14 §2 c
Les incidents graves ayant un impact sur la sécurité du produit suivent le même rythme, avec un rapport final sous un mois (art. 14 §4). Vous devez aussi informer les utilisateurs concernés (art. 14 §8).
Le règlement s'applique en deux temps. Ne confondez pas l'urgence avec le chantier.
Depuis le 11 septembre 2026
Alerte sous 24 h, notification sous 72 h, rapport final 14 jours après le correctif.
art. 14 §2Même rythme, rapport final sous un mois.
art. 14 §4Les informer, et leur indiquer les mesures à prendre.
art. 14 §8L'obligation vaut aussi pour ceux mis sur le marché avant décembre 2027.
art. 69 §3À partir du 11 décembre 2027
Sécurité dès la conception, mises à jour de sécurité.
annexe I, partie ISBOM, politique de divulgation coordonnée, adresse de signalement.
annexe I, partie IILe dossier de l'annexe VII, la déclaration UE de conformité, le marquage CE.
art. 28 à 31, annexe VIIAu moins cinq ans de mises à jour de sécurité, sauf usage prévu plus court.
art. 13 §8Une habitude simple : regarder ce qui est public, le dire en privé, et ne jamais toucher à ce qui ne l'est pas.
Nous lisons ce qu'un navigateur télécharge déjà en visitant votre site. Pas de scan, pas de requête sur vos serveurs applicatifs, pas d'exploitation.
Quand nous relevons un constat chez un éditeur, il est le premier et le seul à le savoir. Aucune entreprise n'est jamais nommée publiquement pour un constat.
Un test d'intrusion commence par une autorisation écrite et un périmètre signé. Sans eux, nous ne touchons à rien.
Vos produits un par un : ce qui entre dans le CRA, ce qui attend 2027, qui reçoit les signalements.
Politique de divulgation, security.txt, procédure 24 h / 72 h / 14 j, registre, modèles de dépôt, SBOM.
Veille des CVE sur vos composants, tri des signalements entrants, et le jour venu, le dossier prêt à déposer.
Un test d'intrusion express, tel qu'il se déroule : cinq jours de test sur autorisation écrite, puis le rapport et le re-test de vos correctifs.
Deux lignes suffisent : votre produit, et ce qui vous inquiète. Réponse sous deux jours ouvrés.
Rien d'actif avant votre autorisation écrite : ce qui est testé, quand, et ce qui ne l'est pas.
Chaque faille trouvée est reproduite, puis classée par gravité.
Vous corrigez, nous vérifions que chaque correctif tient. Le re-test est inclus.
Aligné sur le CRA et NIS2, lisible par un dirigeant, avec le détail technique pour vos équipes.
Les failles trouvées et corrigées ne servent plus à personne. Vous savez où vous en êtes, et quoi dire à vos clients.
Sans engagement. Les documents produits vous appartiennent, même si vous arrêtez. Un exemple caviardé de chaque livrable vous est envoyé avant tout paiement.
Tout ce qu'il faut pour pouvoir être prévenu et tenir le délai, livré en cinq jours ouvrés.
Savoir, chaque jour, quelle alerte vous concerne vraiment.
Votre équipe de réponse aux vulnérabilités, sans la recruter.
Votre application web ou votre API, testée en cinq jours, sur autorisation écrite et périmètre signé.
Vous préférez tout faire vous-même ? Les quinze outils ci-dessous sont gratuits et sans inscription. Nous ne vous en voudrons pas.
Voir les outilsChacun fait une chose, entièrement dans votre navigateur, sauf les deux vérificateurs de domaine qui font deux requêtes publiques. Sans inscription.
Ravensfell est un cabinet de sécurité produit fondé en 2026 par Nils Perrin, au service des éditeurs de logiciels, des studios de jeux et des fabricants d'objets connectés qui vendent dans l'Union européenne. Nils conduit lui-même chaque mission.
Pas de logos clients sur cette page : nous préférons ce que vous pouvez vérifier. Ce site applique les règles que nous recommandons, et nos propres outils le contrôlent sous vos yeux.
Nous avons lu, comme n'importe quel visiteur, ce que votre page d'accueil fait télécharger à un navigateur : scripts, feuilles de style, fichier security.txt, certificat. Rien n'a été testé ni exploité, et nous ne conservons que le nom de domaine, le constat et sa date. Votre adresse de contact était publiée sur votre site. Pour ne plus rien recevoir, répondez « stop ».
Oui. Le règlement vise tout « fabricant » qui met un produit comportant des éléments numériques sur le marché de l'Union, sans seuil de taille. Les micro et petites entreprises ont droit à une documentation technique simplifiée et à un canal de communication dédié mis en place par leur État membre, et ne sont pas sanctionnées pour le seul dépassement du délai de 24 heures. Elles restent tenues de signaler.
art. 33 §1 b et §5, art. 64 §10 a
Une vulnérabilité pour laquelle il existe des preuves fiables qu'un acteur malveillant l'a exploitée dans un système sans l'autorisation de son propriétaire. C'est le déclencheur du signalement en 24 heures. Une faille découverte mais non exploitée se corrige ; elle ne se signale pas.
art. 3, point 42
Simultanément au CSIRT désigné comme coordinateur dans votre pays (en France, le CERT-FR de l'ANSSI) et à l'ENISA, en une seule fois, par la plateforme unique de signalement.
art. 14 §1, art. 16
Ce n'est obligatoire qu'à partir du 11 décembre 2027, quand le règlement exigera une politique de divulgation coordonnée et une adresse de signalement. Mais c'est par là qu'on vous prévient d'une faille exploitée, donc par là que commence votre délai de 24 heures. Le générateur est gratuit.
annexe I, partie II, points 5 et 6
Jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial pour les manquements aux exigences essentielles et aux obligations des articles 13 et 14. Les micro et petites entreprises échappent à l'amende pour le seul retard de l'alerte de 24 heures, pas à l'obligation.
art. 64 §2 et §10 a
Le reste du règlement s'applique : exigences essentielles de sécurité, SBOM, documentation technique, déclaration de conformité, marquage CE, période de support d'au moins cinq ans. Nous vous y préparons pendant les quinze mois qui restent.
NIS2 vise surtout les entités de taille moyenne ou plus dans dix-huit secteurs. Si vous êtes en dessous, vous n'êtes pas directement concerné, mais vos clients qui le sont vont exiger des garanties de leurs fournisseurs. Nos documents servent de réponse à leurs questionnaires.
directive (UE) 2022/2555, art. 2 et 21
Vingt minutes suffisent pour savoir ce qui s'applique à votre logiciel et ce qui peut attendre. Décrivez votre produit en deux lignes : nous revenons vers vous sous deux jours ouvrés.