L'Union européenne serre la vis face aux cyberattaques. Le nouveau règlement sur la cyber-résilience, le Cyber Resilience Act, impose des obligations inédites aux fabricants d'appareils connectés à partir du 11 septembre 2026, rapporte L'Internaute. Routeurs, ordinateurs, téléphones : tous les produits comportant des éléments numériques mis sur le marché européen devront répondre à des règles de sécurité renforcées, qui s'appliquent aux fabricants, aux importateurs et aux distributeurs.

Concrètement, un appareil devra désormais être livré sans vulnérabilité connue. Son fabricant devra fournir des mises à jour de sécurité gratuites pendant au moins cinq ans et informer les utilisateurs des risques encourus. Une gestion continue des failles sera instaurée en interne, et les produits les plus sensibles devront passer par une évaluation d'organismes tiers. Le marquage CE attestera de la conformité au texte pour toute mise sur le marché.

Un délai de 24 heures pour signaler les failles

À cette date du 11 septembre 2026, une règle précise entre en vigueur : dès qu'une vulnérabilité est activement exploitée, le fabricant devra la notifier. La procédure passe par l'Agence de l'Union européenne pour la cybersécurité (ENISA), qui transmet ensuite à l'autorité nationale compétente, le CERT-FR en France, rattaché à l'Agence nationale de la sécurité des systèmes d'information (ANSSI).

Les délais sont serrés. Une première alerte doit être émise sous 24 heures, une notification complète sous 72 heures, et un rapport final sous 14 jours. L'application complète du règlement, elle, n'est prévue qu'en décembre 2027. En cas de manquement, les amendes peuvent atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel de l'entreprise. Le retrait des produits du marché européen reste aussi possible.

Des routeurs déjà visés par des pirates liés au renseignement russe

Ce texte arrive alors que les routeurs, ces boîtiers qui distribuent Internet dans les foyers et les entreprises, sont devenus une cible prisée. Depuis l'été 2025, un groupe de pirates informatiques militaires russes s'y attaque directement. Selon les renseignements britanniques et allemands, ce groupe a infiltré plusieurs milliers d'appareils dans le monde pour rediriger secrètement le trafic vers des serveurs malveillants sous son contrôle.

En Finlande, la police de sécurité locale (Skyddspolisen) a alerté sur des routeurs mal protégés installés dans des logements ordinaires, utilisés à l'insu de leurs propriétaires pour masquer du trafic d'espionnage et compliquer l'identification des pirates. En France, plus de 12 000 appareils étaient recensés comme vulnérables à Paris le 9 avril dernier, selon l'Opinion. Peu d'articles de presse ont pour l'instant fait écho à cette menace.

Pour les particuliers, pas besoin de remplacer un routeur déjà installé à domicile : le règlement vise les fabricants et les nouveaux produits mis en vente. Un conseil demeure valable, quel que soit le texte : changer d'appareil dès qu'il ne reçoit plus de correctifs de sécurité, ou lorsqu'il devient trop ancien pour prendre en charge les standards récents. Cette obsolescence survient souvent après quelques années à peine, et rend le boîtier très vulnérable.