Voir la table des matières Ne plus voir la table des matières
Depuis le 11 septembre 2026, un fabricant de portefeuille matériel qui découvre une faille activement exploitée sur ses appareils n’a plus le loisir de la corriger en silence pendant des semaines. Il doit prévenir les autorités européennes dans la journée, sous peine d’une amende pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial. L’obligation découle du Cyber Resilience Act, le règlement (UE) 2024/2847, un texte entré en vigueur le 10 décembre 2024 qui impose des exigences de cybersécurité à tout produit numérique mis sur le marché européen.
Pour qui détient des bitcoins en autoconservation, la question n’a rien de théorique. Un portefeuille matériel est le dernier rempart entre une phrase secrète et un attaquant, et les détenteurs apprennent souvent les incidents par la rumeur plutôt que par leur fabricant. Ce chronomètre de 24 heures change-t-il quelque chose au quotidien du porteur d’un Ledger ou d’un Trezor ?
Ce que l’article 14 oblige désormais à déclarer
Le texte vise deux événements distincts, et il ne laisse pas au fabricant le soin d’en apprécier la gravité à sa guise. Dès qu’une entreprise a connaissance d’une vulnérabilité activement exploitée dans l’un de ses produits, ou d’un incident grave affectant sa sécurité, le compteur des 24 heures démarre à la découverte, pas à la publication d’un correctif.
Le signalement part vers deux destinataires simultanément : l’ENISA, l’agence européenne de cybersécurité, et le CSIRT national compétent, l’équipe publique chargée de répondre aux incidents informatiques. En France, ce rôle revient au CERT-FR, par lequel l’ANSSI assure la réception et la coordination du traitement. Si le produit circule dans plusieurs pays, l’information est ensuite redistribuée aux homologues concernés.
Une précision pèse lourd pour les acheteurs d’appareils déjà en circulation : l’obligation s’applique rétroactivement à tous les produits commercialisés, et pas seulement aux modèles sortis après septembre 2026. Un portefeuille acheté en 2022 entre dans le champ au même titre que celui sorti le mois dernier.
Quatre échéances qui s’enchaînent après la découverte
Le règlement ne s’arrête pas à l’alerte initiale. Il déroule un calendrier calqué sur celui de la directive NIS2, pour éviter aux entreprises de jongler entre deux régimes de déclaration. Les délais sont identiques pour les failles exploitées et pour les incidents graves.
- 24 heures après la découverte : une alerte précoce auprès de l’ENISA et du CSIRT coordinateur ;
- 72 heures : une notification complète, avec les détails techniques et l’état des mesures correctives ;
- 14 jours : le rapport final sur la vulnérabilité, une fois le correctif ou la mesure d’atténuation disponible ;
- un mois à compter de la notification à 72 heures : le rapport final pour les incidents graves.
La notification reste confidentielle à ce stade. Le CSIRT destinataire peut différer la diffusion de l’information lorsque sa circulation immédiate exposerait les utilisateurs à un risque supplémentaire, ce qui préserve la pratique du correctif discret. Le silence devient une décision du régulateur et non plus du seul fabricant.
L’article 14 impose en contrepartie d’informer sans retard injustifié les utilisateurs concernés, une fois le danger écarté. La contrepartie est directe pour le détenteur : savoir quand un incident nous concerne n’a rien d’académique, comme l’a rappelé la fuite du fichier clients d’un fabricant de portefeuilles cet été. L’information arrivait alors par la presse avant d’arriver par la marque.
Ledger, Trezor, BitBox : qui tombe dans le champ
Le règlement cible les produits comportant des éléments numériques, soit tout matériel ou logiciel connecté directement ou indirectement à un appareil ou à un réseau, et mis sur le marché européen dans un cadre commercial. Les portefeuilles matériels y entrent sans discussion, du français Ledger au tchèque Trezor, en passant par les suisses BitBox et Tangem ou le hongkongais Keystone.
Les logiciels compagnons suivent, au même titre que les extensions de navigateur qui se rémunèrent sur les frais de swap. Le texte range ces produits en trois niveaux de risque, du produit courant auto-évalué par son fabricant au produit critique soumis à un organisme tiers. Les fabricants établis hors de l’Union doivent désigner un mandataire européen, tandis que importateurs et distributeurs vérifient la conformité avant d’écouler les appareils. La chaîne entière est tenue, pas seulement l’usine.
Le logiciel libre garde une porte de sortie étroite
Un projet open source développé et fourni en dehors de toute activité commerciale échappe au champ d’application, et les fondations qui soutiennent un projet relèvent d’un régime allégé. L’exemption protège le code, pas le modèle économique : dès que ce code sert de support à une activité monétisée, ventes de matériel, abonnements ou commissions d’échange, son éditeur bascule dans le régime général.
La nuance couvre finalement peu de monde dans l’écosystème des portefeuilles crypto, où l’ouverture du code est un argument commercial autant qu’une philosophie. L’article 24(3) du règlement étendra ces obligations de signalement aux intendants de logiciels libres impliqués dans le développement d’un produit, mais seulement à partir du 11 décembre 2027.
Un guichet unique de déclaration opéré par l’ENISA
Le jour même de l’entrée en application, l’ENISA a mis en service la capacité initiale de sa Single Reporting Platform, point d’entrée unique des déclarations. Un fabricant dépose une seule notification, et le CSIRT coordinateur qui la reçoit se charge de la transmettre aux équipes des autres États membres où le produit est commercialisé.
L’agence, qui opère la plateforme depuis le 11 septembre 2026 et annonce vouloir en étendre les fonctions dans les mois qui viennent, présente l’outil comme une brique de la gestion coordonnée des vulnérabilités à l’échelle du marché intérieur.
Les vulnérabilités des produits numériques sont souvent exploitées par des acteurs malveillants pour détourner ou entraver des services critiques, comme la santé, l’énergie, les transports ou les télécommunications. Le signalement et le partage rationalisés des informations sur les vulnérabilités activement exploitées et les incidents graves contribuent à bâtir un marché unique numérique plus résilient.
Juhan Lepassaar, directeur exécutif de l’ENISA, communiqué de presse du 11 septembre 2026
Le dispositif ne dit rien du niveau de sécurité des produits eux-mêmes, et c’est sa limite du moment. Il organise la circulation de l’information sur les failles, pas leur disparition. Les attaques qui vident vraiment les portefeuilles passent ailleurs, par la boîte mail plutôt que par le microcontrôleur, et les faux courriels d’assistance restent le vecteur le plus rentable.
Ce que décembre 2027 prépare vraiment
Le vrai basculement arrive le 11 décembre 2027, quand les exigences de fond du règlement s’appliqueront. Les fabricants devront publier l’inventaire de leurs composants logiciels, le SBOM, assurer des mises à jour de sécurité pendant toute la durée de support annoncée, avec un plancher de cinq ans sauf durée de vie plus courte, puis apposer le marquage CE sur leurs boîtiers.
Le portefeuille matériel rejoindra alors le régime de conformité qui encadre déjà les routeurs et les caméras connectées. Pour un secteur qui a longtemps vendu de la souveraineté individuelle en s’affranchissant des cadres, l’arrivée d’un marquage réglementaire sur le boîtier n’est pas un détail : elle rapproche l’objet du statut d’équipement grand public certifié, avec ce que cela suppose de contraintes et de garanties.
Reste la question que le règlement ne tranche pas. Un patrimoine numérique se défend par une chaîne de décisions où le matériel n’est qu’un maillon, aux côtés de la gestion des sauvegardes, de la vigilance devant les sollicitations et du choix des intermédiaires. L’Europe vient de fiabiliser un maillon, et son propre durcissement réglementaire avait déjà montré, lors de la bascule des plateformes européennes, qu’un cadre plus strict ne suffit pas à mettre les détenteurs à l’abri.
