Depuis le 11 septembre 2026, une obligation nouvelle pèse sur quiconque vend dans l’Union un produit qui embarque du logiciel. Le règlement sur la cyberrésilience, le Cyber Resilience Act, rend applicable son article 14 : dès qu’un fabricant apprend qu’une vulnérabilité de son produit est activement exploitée, il a vingt-quatre heures pour alerter les autorités. Le secteur du paiement est concerné au premier chef, et il l’a peu dit.
Trois échéances, une seule plateforme
La Commission européenne décrit une déclaration en trois temps. L’alerte précoce part dans les vingt-quatre heures suivant la prise de connaissance. Une notification circonstanciée suit dans les soixante-douze heures. Le rapport final intervient au plus tard quatorze jours après la mise à disposition d’une mesure corrective pour une vulnérabilité, ou dans le mois qui suit la notification de soixante-douze heures pour un incident grave.
Le point d’entrée est unique. L’ENISA a mis en service le jour même sa Single Reporting Platform : le fabricant déclare une fois, et l’information est acheminée vers l’équipe nationale de réponse aux incidents compétente et mise simultanément à la disposition de l’agence, puis partagée avec les autres CSIRT.
Pourquoi le paiement est en première ligne
La notion de « produit comportant des éléments numériques » est large : elle vise le matériel comme le logiciel mis sur le marché de l’Union. Dans le paiement, cela recouvre une famille d’objets que le secteur ne range pas spontanément parmi les « produits » : le terminal de point de vente, le clavier à code, le module de sécurité matériel, l’application d’encaissement sur téléphone, et les bibliothèques embarquées qui les font fonctionner.
- les fabricants de terminaux, qui vendent un objet physique doté d’un système et de mises à jour ;
- les éditeurs d’applications d’encaissement sur mobile, dont le produit est purement logiciel ;
- les fournisseurs de modules de sécurité et de composants cryptographiques ;
- les intégrateurs qui remettent sur le marché sous leur propre marque, et deviennent alors fabricants au sens du règlement.
La difficulté tient moins au principe qu’au délai. Vingt-quatre heures, c’est plus court que le cycle d’une équipe qui découvre une exploitation active : reproduire, qualifier, mesurer l’exposition du parc installé. Et ce parc est long : un terminal vit sept à dix ans, et l’obligation suit le produit mis sur le marché, pas le millésime du modèle.
Une horloge de plus, et ce n’est pas la même
Le secteur vit déjà sous plusieurs régimes de déclaration. DORA impose aux entités financières de signaler leurs incidents majeurs liés aux technologies de l’information, avec ses propres seuils et ses propres délais. Les règles des réseaux de cartes, elles, organisent la notification d’un compromis de données. Le règlement sur la cyberrésilience n’en remplace aucun : il s’ajoute, et il vise un autre acteur.
| Régime | Qui déclare | Ce qui déclenche |
|---|---|---|
| Cyber Resilience Act | le fabricant du produit | une vulnérabilité activement exploitée, ou un incident grave affectant la sécurité du produit |
| DORA | l’entité financière | un incident majeur lié aux technologies de l’information |
| Règles des réseaux | le participant au réseau | un compromis présumé de données de porteurs |
Un fabricant de terminaux qui vend à une banque peut donc se retrouver à déclarer à l’ENISA pendant que son client déclare, pour le même événement, à son autorité de supervision financière. Les deux obligations ne se substituent pas l’une à l’autre, et rien ne garantit qu’elles racontent la même histoire au même moment.
Ce qu’il faut avoir prêt
L’obligation est déclarative, mais elle suppose une organisation qui n’existe pas partout : savoir en vingt-quatre heures qu’une exploitation est active suppose de la détecter, donc de recevoir les signalements, donc d’avoir publié le moyen de les adresser. Le règlement impose d’ailleurs cette porte d’entrée.
Concrètement : un canal public de signalement des vulnérabilités, et quelqu’un pour le lire ; une astreinte capable de qualifier « activement exploitée » un week-end ; un inventaire à jour des produits encore pris en charge ; et un gabarit d’alerte prêt à partir, parce que vingt-quatre heures ne laissent pas le temps de l’écrire.
Une question ne sera tranchée qu’au premier cas réel : ce que vaut une alerte envoyée en vingt-quatre heures quand le fabricant ne sait pas encore si l’exploitation touche dix appareils ou cent mille. Le texte accepte cette incertitude, et c’est cohérent. Les autorités devront apprendre à lire des alertes qui disent peu.