EU regulation
L'ENISA note la cyberrésilience européenne à 71,53 à l'approche de l'échéance CRA
Le rapport biennal State of Cybersecurity in the Union, publié le 10 novembre 2026, note l'Union à 71,53 sur 100, alors que les obligations produit du règlement sur la cyberrésilience arrivent le 11 décembre 2027.
L'essentiel
- L'ENISA a publié le 10 novembre 2026 le rapport prévu par l'article 18 de NIS2, avec une moyenne de 71,53 sur 100 à son indice de cybersécurité.
- Les sous-scores sont inégaux : chaîne d'approvisionnement 89,91, mise en oeuvre des politiques 66,72, écosystèmes de certification 55,56 et maturité de la réponse aux incidents 54,76.
- Les obligations de signalement du règlement sur la cyberrésilience s'appliquent depuis le 11 septembre 2026, date d'ouverture de la plateforme unique de signalement.
- Les obligations principales relatives aux produits s'appliquent à partir du 11 décembre 2027 et se matérialisent par le marquage CE.
Sur cette page
Qu'a publié l'ENISA le 10 novembre 2026 ?
L'ENISA a publié le 10 novembre 2026 son rapport State of Cybersecurity in the Union et note l'Union à 71,53 sur 100 dans son propre indice de cybersécurité européen. Ce rapport n'est pas un exercice volontaire : c'est l'évaluation biennale exigée par l'article 18 de la directive NIS2. Derrière la moyenne, les sous-scores sont inégaux. La gestion de la chaîne d'approvisionnement atteint 89,91 et la recherche et développement 79,24, tandis que la mise en oeuvre des politiques reste à 66,72, les écosystèmes de certification à 55,56 et la maturité des équipes nationales de réponse aux incidents à seulement 54,76. La cybersécurité dans l'enseignement primaire et secondaire obtient 55,44, contre 73,59 dans l'enseignement supérieur.
Le directeur exécutif Juhan Lepassaar indique que le rapport "reflects on the EU's collective effort and determination to become more resilient", tout en relevant que "challenges persist and recent developments not only in frontier AI models but also cyber incidents" révèlent des lacunes. Le rapport constate que le niveau de menace reste substantiel dans l'Union et suit la mise en oeuvre de NIS2, du règlement sur la cyberrésilience, du Cyber Solidarity Act, du projet de Cybersecurity Act 2 et du plan d'action européen sur la cybersécurité et l'IA.
Quelle est l'échéance du règlement sur la cyberrésilience pour les éditeurs ?
Le 11 décembre 2027. Selon la Commission, le règlement sur la cyberrésilience est entré en vigueur le 10 décembre 2024, ses obligations de signalement s'appliquent depuis le 11 septembre 2026 et ses obligations principales à partir du 11 décembre 2027. Il couvre le matériel et les logiciels connectables sur toute la chaîne de valeur, impose aux fabricants de traiter les vulnérabilités pendant le cycle de vie du produit et se matérialise par le marquage CE. La Commission mentionne une approche spécifique pour les logiciels libres et open source, compte tenu de leur rôle dans l'écosystème.
Chaque jeudi matin, heure d'Europe centrale.
Le briefing Thinking
Un courriel par semaine : ce qui a changé dans le logiciel professionnel européen, quels prix ont bougé et quel comparatif nous avons publié. Aucun courrier commercial.
Quelles obligations s'appliquent déjà ?
Celles de signalement. Depuis le 11 septembre 2026, les fabricants doivent déclarer les vulnérabilités activement exploitées et les incidents graves, et l'ENISA a lancé le même jour la plateforme unique de signalement du règlement. L'ENISA précise que les intendants de logiciels open source n'entrent dans l'obligation de signalement qu'à partir du 11 décembre 2027. La partie du texte qui mord en situation d'incident est donc déjà en vigueur, plus d'un an avant les exigences produit.
Ce que cela change pour une PME européenne
Si vous vendez du logiciel, ou du matériel qui en contient, dans l'Union, décembre 2027 est une échéance produit et non une échéance administrative : elle change ce que vous devez pouvoir prouver sur votre processus de développement, votre traitement des vulnérabilités et votre durée de support. Deux ans ne suffisent que si le chantier entre dans un cycle budgétaire : inscrivez-le dès maintenant au plan 2027. Si vous achetez du logiciel, le geste utile ce trimestre est de demander aux nouveaux fournisseurs comment ils comptent satisfaire le règlement et s'ils signalent déjà au titre de l'obligation de septembre 2026, car un éditeur incapable de répondre vous renseigne sur son ingénierie. Le score qui doit inquiéter un acheteur modeste est celui de la maturité de la réponse aux incidents, à 54,76 : le filet de sécurité national est plus faible que la moyenne ne le suggère, et votre propre plan de sauvegarde et de reprise pèse d'autant plus. Les éditeurs qui documentent leur conformité peuvent référencer leur produit via /fr/get-listed, et les exploitants qui réexaminent les systèmes financiers devant survivre à un incident commenceront par /fr/best/best-accounting-software-luxembourg-2026.
Questions et réponses
Le règlement sur la cyberrésilience s'applique-t-il à un petit éditeur ?
Qu'est-ce que l'indice de cybersécurité de l'UE ?
Sources
- [1] ENISA reveals the state of cybersecurity in the Union consulté le 2026-11-11
- [2] European Commission: Cyber Resilience Act consulté le 2026-11-11
- [3] ENISA: The CRA Single Reporting Platform is launched consulté le 2026-11-11
