← Tous les articles Cybersécurité

Failles de sécurité : depuis le 11 septembre, les fabricants doivent parler

13 septembre 2026 · 5 min de lecture · par SabiSys

Depuis le 11 septembre 2026, un règlement européen oblige les fabricants de matériel et de logiciels à signaler aux autorités toute faille de sécurité activement exploitée, dans les 24 heures. Vous ne fabriquez ni routeur ni logiciel ? Ce texte vous concerne quand même, et pour deux raisons très concrètes : vous allez être informé beaucoup plus vite des problèmes qui touchent vos équipements, et vos critères d'achat vont devoir évoluer. Voici ce qu'il faut en retenir, sans jargon juridique.

Ce que le règlement impose, en clair

Le Cyber Resilience Act est le règlement européen qui fixe des exigences de cybersécurité pour tous les produits comportant des éléments numériques. Autrement dit : à peu près tout ce qui se branche ou se met à jour, du pare-feu au point d'accès WiFi, de la caméra IP au NAS, de l'imprimante réseau à l'application métier. Il est entré en vigueur le 10 décembre 2024, et sa première échéance opérationnelle est tombée le 11 septembre 2026.

Depuis cette date, tout fabricant qui découvre une vulnérabilité activement exploitée dans un de ses produits, ou un incident grave affectant la sécurité de celui-ci, doit le signaler aux autorités. Les délais sont serrés : une alerte précoce dans les 24 heures, une notification complète dans les 72 heures, puis un rapport final sous 14 jours pour une vulnérabilité, une fois le correctif disponible. Le signalement passe par la plateforme européenne de l'ENISA et arrive au centre national compétent, en Belgique le Centre pour la Cybersécurité Belgique. Prochaine étape : le 11 décembre 2027, l'ensemble des obligations s'appliquera, avec sécurité dès la conception, gestion des vulnérabilités sur toute la durée de vie du produit et marquage CE à la clé.

Pourquoi cela vous concerne, même si vous ne fabriquez rien

Jusqu'ici, quand un fabricant découvrait une faille exploitée dans la nature, il n'avait aucune obligation d'en informer qui que ce soit. Certains publiaient un correctif discret, d'autres attendaient. Ce temps est terminé. Concrètement, vous allez voir passer davantage d'avis de sécurité, plus tôt, et plus publiquement.

C'est une excellente nouvelle, à une condition : que quelqu'un, chez vous ou chez votre prestataire, en fasse quelque chose. Car une faille rendue publique est aussi une faille connue des attaquants. La fenêtre dangereuse n'est plus le temps que met le fabricant à réagir, mais le temps que met votre entreprise à appliquer le correctif. Dans la plupart des PME que nous rencontrons, le problème n'est pas le manque d'information : c'est qu'on ne sait pas exactement quel matériel tourne, dans quelle version, et depuis quand.

Le vrai sujet : savoir ce qui tourne chez vous

Faites l'exercice mentalement. Combien d'appareils de votre entreprise reçoivent des mises à jour ? Les ordinateurs et les serveurs, bien sûr. Mais aussi le routeur, le pare-feu, les points d'accès WiFi, le NAS de sauvegarde, les caméras, les imprimantes, le système d'alarme, parfois la pointeuse et les automates techniques. Chacun de ces boîtiers contient un micrologiciel, et chacun peut devenir la porte d'entrée d'une attaque.

C'est exactement ce que nous mettons en place chez nos clients sous contrat : un inventaire vivant du parc, la supervision des versions installées et l'application pilotée des mises à jour. Les postes et la partie Microsoft 365 sont gérés via Intune, le réseau et les équipements via nos outils d'infogérance. Quand un avis de sécurité sort, la question n'est plus « est-ce que ça nous concerne ? » mais « voici les quatre appareils concernés, on planifie quand ? ».

L'autre angle mort classique, ce sont les équipements que le fabricant ne met plus à jour du tout. Ils fonctionnent, personne ne s'en plaint, et ils accumulent silencieusement des failles qui ne seront jamais corrigées. Le nouveau règlement va rendre ces cas beaucoup plus visibles, parce qu'il impose aux fabricants d'annoncer la durée pendant laquelle un produit sera soutenu.

Ce que cela change au moment d'acheter

C'est probablement l'effet le plus utile du texte pour une PME. À partir de décembre 2027, la période de support devra être annoncée clairement : combien d'années le fabricant s'engage-t-il à fournir des correctifs de sécurité ? Cette information change complètement la comparaison entre deux devis. Un switch ou une caméra vingt pour cent moins chers, mais soutenus deux ans au lieu de sept, ne sont pas une affaire.

Vous pouvez déjà poser la question aujourd'hui, sans attendre l'échéance. C'est d'ailleurs une des raisons pour lesquelles nous travaillons avec des gammes professionnelles au cycle de vie documenté : du matériel Dell côté postes et serveurs, des équipements UniFi côté réseau et WiFi. Le prix d'achat n'est qu'une partie de l'équation, la durée de vie sécurisée en est une autre.

Votre plan d'action en 6 étapes

1. Listez tout ce qui se met à jour dans l'entreprise : postes, serveurs, pare-feu, points d'accès, NAS, caméras, imprimantes, alarme.
2. Notez la version installée de chacun, et la date de la dernière mise à jour appliquée.
3. Repérez les équipements abandonnés par leur fabricant : ce sont vos priorités de remplacement.
4. Décidez qui applique les correctifs et à quel rythme, puis écrivez-le noir sur blanc. Un correctif critique ne devrait pas attendre le mois suivant.
5. Ajoutez la période de support à vos critères d'achat, au même titre que le prix et les performances.
6. Vérifiez vos sauvegardes pendant que vous y êtes : c'est ce qui vous sauve quand un correctif arrive trop tard.

SabiSys s'occupe du suivi à votre place

Surveiller les avis de sécurité de dix fabricants différents n'est pas le métier d'une PME. C'est le nôtre. Sous contrat d'infogérance, nous tenons l'inventaire de votre parc, nous suivons les publications de vos fournisseurs et nous appliquons les mises à jour de façon planifiée, sans interrompre votre activité. Vous recevez un état des lieux clair, pas une pile d'alertes.

Vous voulez savoir où vous en êtes ? Notre check-up sécurité gratuit vous situe en trois minutes, et un audit gratuit et sans engagement fait le tour de votre installation, chez vous, en une heure. Contactez SabiSys, votre partenaire informatique dans la région de Liège.