Depuis le 11 septembre 2026. Un fabricant de wallet vendu dans l’Union a 24 heures pour prévenir, dès qu’il sait qu’une faille de son produit est déjà exploitée. C’est l’article 14 du *Cyber Resilience Act*. Crypto Briefing tient le calendrier. Matériel et logiciel. Si le produit est en vente dans l’UE, le siège peut être ailleurs.

Trois délais, pas un slogan

24 heures : premier signal, via la plateforme unique de l’ENISA, l’agence cyber de l’UE. Le message part ensuite vers les équipes nationales. 72 heures : notification plus complète, périmètre, gravité. Un rapport final : 14 jours après une mesure de correction, ou dans le mois pour un incident grave.

L’horloge part quand le fabricant prend connaissance d’une exploitation en cours. Un rapport théorique d’un chercheur, sans attaque, ne la lance pas. Phrase utile. Sans elle, on vend une alerte à chaque bug.

L’amende, et ce qui reste en 2027

Manquer les articles 13 et 14 : jusqu’à 15 millions d’euros, ou 2,5 % du chiffre d’affaires mondial, le plus élevé des deux. Les micro et petites entreprises sont, selon Crypto Briefing, exemptées d’amende sur le premier signal de 24 heures.

Le reste du règlement, les exigences de conception, vise décembre 2027. Le 11 septembre n’ouvre que le signalement. Ce n’est pas MiCA. Ce n’est pas un interdiction de wallet. C’est un délai, pour une faille déjà utilisée.

Sources : Crypto Briefing, CryptoRank.