Cyber Resilience Act : le chronomètre de 24 heures s'enclenche pour les wallets crypto en Europe

Vingt-quatre heures, pas une de plus. Depuis le 11 septembre, les fabricants de produits numériques commercialisés dans l’Union européenne doivent signaler toute vulnérabilité activement exploitée ou tout incident de sécurité grave dans les 24 heures suivant sa découverte. Les fabricants de wallets matériels et les éditeurs de logiciels de portefeuille payants sont concernés lorsqu’ils mettent leurs produits sur le marché européen. Détails à suivre.

Points clés

Dès le 11 septembre 2026, toute vulnérabilité activement exploitée dans un wallet doit être signalée sous 24 heures à l’ENISA et au CSIRT national

Le calendrier se poursuit avec une notification complète à 72 heures, puis un rapport final à 14 jours ou un mois selon les cas

Les wallets matériels et les logiciels monétisés sont concernés, l’open source non commercial bénéficiant d’une exemption

Sanction maximale : 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial, avant l’entrée en vigueur du volet produit en décembre 2027

Wallets crypto en Europe : le chronomètre de 24 heures s’enclenche

Le Cyber Resilience Act porte le nom officiel de règlement (UE) 2024/2847. Entré en vigueur le 10 décembre 2024, il s’applique par paliers successifs, et le premier d’entre eux vise précisément le signalement des failles.

Dès qu’un fabricant a connaissance d’une vulnérabilité activement exploitée dans l’un de ses produits ou d’un incident grave affectant sa sécurité, il doit alerter l’ENISA (Agence de l’Union européenne pour la cybersécurité) et le CSIRT national compétent. Le sigle désigne le Computer Security Incident Response Team, l’équipe publique de réponse aux incidents informatiques. Le CERT-FR assure cette mission en France.

24 heures : alerte précoce auprès de l’ENISA et du CSIRT compétent

72 heures : notification complète, avec les détails techniques et l’état des mesures correctives

14 jours : rapport final sur la vulnérabilité, une fois le correctif ou la mesure d’atténuation disponible

1 mois : rapport final pour les incidents graves, décompté à partir de la notification à 72 heures

« Un fabricant notifie toute vulnérabilité activement exploitée contenue dans le produit comportant des éléments numériques dont il a connaissance simultanément au CSIRT désigné comme coordinateur et à l’ENISA. »

Article 14 du règlement (UE) 2024/2847 sur la cyberrésilience – Source : UE

Les signalements transitent par une plateforme unique hébergée par l’ENISA, qui les redistribue ensuite aux autorités concernées. La notification reste confidentielle à ce stade : le texte permet au CSIRT destinataire de différer la diffusion de l’information lorsque sa circulation immédiate exposerait les utilisateurs à un risque supplémentaire.

Corriger discrètement une faille avant d’en parler, pratique courante chez les constructeurs de portefeuilles matériels, demeure donc possible, mais sous le regard du régulateur. L’article 14 impose en contrepartie d’informer les utilisateurs concernés sans retard injustifié de la vulnérabilité et des mesures à prendre, une garantie nouvelle pour les détenteurs de bitcoins.

Quels wallets crypto tombent sous le coup du Cyber Resilience Act

Le règlement cible les produits comportant des éléments numériques, soit tout matériel ou logiciel connecté directement ou indirectement à un appareil ou à un réseau et mis sur le marché européen dans le cadre d’une activité commerciale. Les wallets matériels y entrent sans discussion, du français Ledger au tchèque Trezor, en passant par les suisses BitBox et Tangem ou le hongkongais Keystone. Les logiciels compagnons suivent, au même titre que les extensions de navigateur qui se rémunèrent sur les frais de swap.

Le texte ménage cependant une porte de sortie pour le logiciel libre. Un projet open source développé et fourni en dehors de toute activité commerciale échappe au champ d’application, et les intendants de logiciels libres (open-source software stewards), typiquement les fondations qui soutiennent un projet, relèvent d’un régime allégé.

Mais la nuance protège peu la majorité des wallets crypto : dès que le code ouvert sert de support à une activité monétisée (ventes de matériel, abonnements, commissions d’échange), son éditeur bascule dans le régime général.

Les fabricants établis hors de l’Union doivent enfin désigner un mandataire européen, pendant que les importateurs et les distributeurs se voient chargés de vérifier la conformité des produits avant de les écouler. L’amende maximale grimpe à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.