Les fabricants commerciaux de portefeuilles crypto concernés doivent soumettre une alerte préliminaire dans les 24 heures suivant le moment où ils prennent connaissance de l’exploitation active d’une vulnérabilité de leur produit, conformément au Cyber Resilience Act de l’Union européenne. Cette exigence constitue une obligation de signalement et non une obligation de corriger la faille en une journée ; elle s’applique uniquement aux portefeuilles entrant dans le champ commercial de la loi.

Cette mesure s’inscrit dans le Cyber Resilience Act de l’UE, officiellement le règlement (UE) 2024/2847. Le règlement établit des exigences de cybersécurité pour les produits comportant des éléments numériques qui se connectent à des appareils ou à des réseaux. La Commission européenne fournit davantage d’informations dans ses orientations sur le signalement au titre du Cyber Resilience Act et son résumé du CRA.

Pour les fabricants de portefeuilles crypto, le changement le plus immédiat est la brièveté du délai de signalement, qui commence au moment où le fabricant prend connaissance du fait qu’une attaque est en cours.

Qu’est-ce qui déclenche le délai de signalement de 24 heures ?

Le délai commence lorsqu’un fabricant prend connaissance d’une vulnérabilité activement exploitée ou d’un incident grave affectant son produit. Le fabricant dispose alors de 24 heures pour soumettre une alerte préliminaire.

Le déclencheur est limité. Il concerne les vulnérabilités que des attaquants exploitent effectivement, et non chaque défaut identifié au cours du développement ou des tests de routine. Des experts juridiques de Freshfields ont expliqué que l’exploitation active exige des éléments fiables démontrant qu’un acteur malveillant exploite la vulnérabilité sans l’autorisation du propriétaire du système.

La période de 24 heures constitue donc une obligation d’alerter les autorités de régulation, et non une obligation de disposer déjà d’un correctif. Un fabricant de portefeuille peut signaler une attaque en cours tout en poursuivant l’enquête sur l’incident et le développement d’une mesure corrective.

L’alerte préliminaire ne constitue que la première étape du signalement. Une notification complète doit être soumise dans les 72 heures suivant la prise de connaissance, séparément de l’alerte initiale de 24 heures.

Pour une vulnérabilité activement exploitée, le rapport final doit être remis au plus tard 14 jours après qu’une mesure corrective est devenue disponible. Pour un incident grave, le rapport final doit être remis dans un délai d’un mois suivant la notification de 72 heures.

Ces obligations de signalement ont commencé le 11 septembre 2026. L’ensemble plus large des obligations du Cyber Resilience Act s’appliquera à partir du 11 décembre 2027. Le règlement est entré en vigueur le 10 décembre 2024.

Quels fabricants de portefeuilles crypto sont concernés ?

La règle s’applique aux produits comportant des éléments numériques mis à disposition sur le marché de l’UE. Elle inclut les produits dont l’utilisation prévue ou raisonnablement prévisible implique une connexion de données à un appareil ou à un réseau, ce qui couvre la plupart des logiciels et matériels de portefeuille crypto.

Le terme « commercial » est important. Mettre un produit à disposition sur le marché signifie le fournir dans le cadre d’une activité commerciale, que le produit soit payant ou proposé gratuitement. Un logiciel distribué sans frais peut néanmoins entrer dans le champ d’application s’il est fourni dans le cadre d’une activité commerciale.

Les produits qui ne sont pas fournis dans le cadre d’une activité commerciale ne relèvent pas de ce champ particulier. L’application de la règle à un portefeuille donné reste une question à examiner au cas par cas. Les documents de la Commission ne classent pas les produits de portefeuille spécifiques, et aucune source citée ne confirme qu’un portefeuille matériel, un portefeuille logiciel ou un service hébergé donné est couvert ou exempté.

Les projets open source sont traités séparément. Les responsables de logiciels open source seront soumis à leurs propres obligations de signalement au titre de l’article 24(3) à partir du 11 décembre 2027. Ces responsables ne sont pas soumis aux sanctions pour violation du Cyber Resilience Act.

Le règlement prévoit également une qualification fondée sur la taille de l’entreprise. Selon le résumé de la Commission, les fabricants qui remplissent les critères des microentreprises ou des petites entreprises pourraient ne pas être sanctionnés d’une amende pour non-respect du délai de 24 heures. Cela ne supprime pas leur obligation de signaler l’incident.

La règle s’applique également aux produits déjà mis sur le marché de l’UE avant le 11 décembre 2027.

Impact opérationnel pour les fabricants de portefeuilles

Un délai de 24 heures laisse peu de temps à une entreprise pour créer une procédure de réponse aux incidents après le début d’une attaque. Des analystes de Freshfields ont relevé que les délais de signalement courts offrent une marge limitée pour mettre en place des procédures après la survenue d’un événement.

Le délai continue de courir pendant les week-ends et les jours fériés. Freshfields a expliqué que ces jours n’interrompent pas la période de signalement.

Les équipes chargées des portefeuilles peuvent donc devoir établir à l’avance des procédures permettant d’enregistrer le moment précis où la prise de connaissance intervient, de transmettre le dossier à une équipe responsable et de rassembler rapidement les informations requises sur l’incident.

Le signalement aux autorités, l’enquête sur l’incident et la correction de la vulnérabilité sont des tâches distinctes. Un fabricant peut informer les autorités tout en continuant à déterminer l’étendue de l’attaque et à développer ou déployer un correctif. Le processus de signalement ne fixe pas en lui-même un délai de 24 heures pour achever la correction.

Les fabricants soumettent leurs rapports par l’intermédiaire de la plateforme unique de signalement du Cyber Resilience Act. Le rapport est adressé à l’équipe nationale compétente de réponse aux incidents de sécurité informatique, ou CSIRT, et les informations sont mises à la disposition de l’Agence de l’Union européenne pour la cybersécurité, ou ENISA, au même moment, sauf dans des circonstances tout à fait exceptionnelles.

Pour les utilisateurs de portefeuilles, le dépôt d’un rapport ne garantit pas qu’un portefeuille est sécurisé ou que les fonds des utilisateurs sont protégés. Il permet aux autorités d’être informées rapidement d’une attaque active. Les champs obligatoires du rapport, les procédures de soumission et les éventuelles obligations d’informer les clients doivent être vérifiés au regard des orientations officielles avant d’être considérés comme définitifs.

Pour un détenteur de cryptomonnaies utilisant un portefeuille d’une entreprise opérant dans l’UE, l’effet pratique est que le fabricant peut désormais être tenu d’informer rapidement les autorités lorsque des attaquants exploitent une vulnérabilité du produit. Ce niveau de signalement s’applique depuis le 11 septembre 2026.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou un conseil en investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Effectuez toujours vos propres recherches avant de prendre une décision.