Obligation de signalement pour les fabricants de portefeuilles : ce qui s’applique depuis le 11 septembre 2026

Depuis le 11 septembre 2026, une obligation inédite s’applique dans toute l’Union européenne : quiconque met à disposition sur le marché européen, à titre commercial, un produit comportant des éléments numériques doit signaler aux autorités compétentes, dans un délai de 24 heures, toute vulnérabilité activement exploitée, et informer les utilisateurs concernés de cette vulnérabilité ainsi que des contre-mesures qu’ils peuvent prendre eux-mêmes.

Pour vous, détenteur de cryptomonnaies, c’est la seconde partie qui compte le plus. Elle figure à l’article 14, paragraphe 8, du règlement européen sur la cyberrésilience et déplace la question de savoir qui doit veiller à ce que vous soyez informé d’un problème affectant votre portefeuille. Jusqu’ici, c’était une affaire de culture d’entreprise. Désormais, c’est une obligation juridique assortie d’un régime d’amendes.

Cet article explique ce qui s’applique exactement, à partir de quand, à qui, et où passe la frontière entre l’état du droit établi et la surinterprétation. Car le règlement ne nomme aucune marque de portefeuille, et quiconque en tire une liste de fabricants concernés écrit plus que ce qui y figure.

Ce qui s’applique depuis le 11 septembre 2026 : l’article 14 du règlement sur la cyberrésilience

Le règlement sur la cyberrésilience est le règlement (UE) 2024/2847, couramment appelé Cyber Resilience Act ou, en abrégé, CRA. Le CRA est entré en vigueur le 10 décembre 2024, mais ne s’applique pleinement qu’à partir du 11 décembre 2027. L’article 71, paragraphe 2, contient à ce sujet une phrase qui bouleverse tout le calendrier : « Le présent règlement est applicable à partir du 11 décembre 2027. Toutefois, l’article 14 est applicable à partir du 11 septembre 2026 et le chapitre IV (articles 35 à 51) est applicable à partir du 11 juin 2026. »

L’article 14 est intitulé « Obligations de signalement des fabricants » et constitue donc la partie du règlement mise en vigueur la première. Tout le reste – l’évaluation de la conformité, le marquage CE, les exigences essentielles de cybersécurité de l’annexe I – n’arrive qu’en 2027. Quand on lit en ce moment que le CRA s’applique, c’est de cet article-là qu’il s’agit.

L’essentiel en une phrase : un fabricant doit signaler toute vulnérabilité activement exploitée dans son produit et tout incident de sécurité grave simultanément au CSIRT désigné comme coordinateur et à l’Agence de l’Union européenne pour la cybersécurité, l’ENISA, au moyen d’une plateforme de signalement unique.

Qu’est-ce qu’un CSIRT ? Un Computer Security Incident Response Team est l’entité désignée par un État membre qui reçoit, évalue et transmet les incidents de sécurité. En Allemagne, le CERT-Bund, au sein de l’Office fédéral de la sécurité des technologies de l’information, est le CSIRT coordinateur, et le BSI assure en même temps la surveillance du marché.

Qu’est-ce qu’une vulnérabilité activement exploitée ? Une faille de sécurité dont le fabricant sait que des attaquants s’en servent déjà. Une faille théorique découverte en laboratoire ne déclenche pas le compte à rebours de 24 heures. L’abus constaté en pratique, si.

Pourquoi un règlement sur les produits concerne votre portefeuille crypto

Le CRA n’est ni du droit financier ni du droit des cryptoactifs. C’est un droit horizontal des produits, qui ne s’intéresse pas aux valeurs gérées par un appareil, mais seulement à la question de savoir s’il s’agit d’un produit comportant des éléments numériques et s’il est mis à disposition sur le marché de l’Union à titre commercial. C’est précisément ce qui le rend pertinent pour la conservation de cryptomonnaies.

Un portefeuille matériel est un appareil physique doté d’un micrologiciel, qui dialogue avec un logiciel d’accompagnement par USB, Bluetooth ou code QR. Une application de portefeuille est un logiciel qu’un fournisseur met à disposition en téléchargement. Par leur architecture, les deux relèvent de ce que l’article 3, point 1, décrit comme « un produit logiciel ou matériel et ses solutions de traitement des données à distance ». L’article 2, paragraphe 1, trace la limite par la connexion : le règlement s’applique aux produits dont la destination ou l’utilisation raisonnablement prévisible comprend « une connexion de données logique ou physique, directe ou indirecte, à un dispositif ou à un réseau ».

Pour la conservation de cryptomonnaies, c’est là que quelque chose change. Si vous conservez vos avoirs vous-même, votre sécurité tient à deux choses exactement : à la qualité de l’appareil ou du logiciel, et au fait d’apprendre à temps que quelque chose ne va pas. Sur le premier point, l’obligation de signalement ne dit encore rien ; les exigences correspondantes ne s’appliqueront qu’en 2027. Sur le second, elle dit quelque chose dès maintenant. Les appareils disponibles et ce qui les distingue figurent dans notre comparatif des portefeuilles matériels ; pour les solutions purement logicielles, les mêmes considérations valent avec une surface d’attaque différente.

Produit comportant des éléments numériques : qui est fabricant au regard du test juridique

Trois étapes décident si un appareil ou une application donnés sont couverts. Il n’existe aucune liste de produits concernés. Premièrement : le produit est-il mis à disposition sur le marché de l’Union, c’est-à-dire fourni en vue de sa distribution ou de son utilisation dans le cadre d’une activité commerciale ? Deuxièmement : s’agit-il d’un produit logiciel ou matériel au sens de l’article 3 ? Troisièmement : sa destination ou son utilisation raisonnablement prévisible comprend-elle une connexion de données directe ou indirecte ?

Un portefeuille matériel connecté, distribué commercialement, et une application de portefeuille proposée par une entreprise peuvent satisfaire ces trois questions. Il s’agit d’une application du test juridique et non d’une constatation officielle pour un produit déterminé. Quiconque en déduit que tel ou tel fournisseur doit maintenant faire telle ou telle chose avance une affirmation que ni le règlement ni les lignes directrices de la Commission n’étayent.

Le lieu d’établissement du fabricant importe également. L’article 14, paragraphe 7, le règle en détail : est déterminant le CSIRT de l’État membre dans lequel le fabricant a son établissement principal dans l’Union, c’est-à-dire là où les décisions relatives à la cybersécurité de ses produits sont principalement prises. S’il n’a aucun établissement dans l’Union, un ordre s’applique : d’abord l’État membre du mandataire, puis celui de l’importateur, puis celui du distributeur, et enfin l’État membre où se trouve le plus grand nombre d’utilisateurs. Un fournisseur établi hors d’Europe n’est donc pas automatiquement hors champ dès lors qu’il sert le marché européen.

24 heures, 72 heures, 14 jours : la chaîne des délais de l’article 14, paragraphe 2

Le règlement exige trois rapports successifs. Tous les délais courent à partir du moment où le fabricant en prend connaissance.

1. Alerte précoce, au plus tard 24 heures après la prise de connaissance. L’alerte précoce doit indiquer dans quels États membres le produit concerné a été mis à disposition, à la connaissance du fabricant. Le règlement n’exige rien de plus à ce stade, et c’est voulu : l’alerte précoce doit être rapide, non complète.
2. Signalement de la vulnérabilité, au plus tard 72 heures après la prise de connaissance. S’y ajoutent alors des informations générales sur le produit concerné, sur la nature de l’exploitation et de la vulnérabilité, sur les mesures correctives ou d’atténuation déjà prises, et expressément aussi sur les « mesures correctives ou d’atténuation que les utilisateurs peuvent prendre ».
3. Rapport final, au plus tard 14 jours après la mise à disposition d’une mesure d’atténuation. Il contient une description de la vulnérabilité, avec sa gravité et ses effets, le cas échéant des informations sur les attaquants, et des informations sur la mise à jour de sécurité ou l’autre mesure corrective.

Pour l’incident de sécurité grave visé à l’article 14, paragraphe 3, la même division entre 24 et 72 heures s’applique, mais le rapport final y est dû un mois après le signalement à 72 heures. Le paragraphe 5 définit quand un incident est grave : lorsqu’il porte atteinte à la capacité du produit de protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou de fonctions sensibles, ou lorsqu’il a conduit ou peut conduire à l’exécution d’un code malveillant.

Le signalement passe par la CRA Single Reporting Platform exploitée par l’ENISA. Le fabricant transmet une seule fois, et le signalement est rendu accessible simultanément au CSIRT coordinateur compétent et à l’ENISA. Après le rapport final, la personne qui a signalé ne peut en principe plus modifier sa déclaration.

Article 14, paragraphe 8 : quand le fabricant doit vous informer vous-même

Les délais à l’égard du CSIRT et de l’ENISA sont la partie dont traite la presse professionnelle. Pour vous, utilisateur, la phrase décisive se trouve ailleurs, à savoir à l’article 14, paragraphe 8. Légèrement abrégée, elle dispose qu’après avoir pris connaissance d’une vulnérabilité activement exploitée ou d’un incident de sécurité grave, le fabricant « informe les utilisateurs concernés du produit comportant des éléments numériques et, le cas échéant, tous les utilisateurs de cette vulnérabilité ou de cet incident grave et, si nécessaire, de toute mesure d’atténuation des risques et mesure corrective que les utilisateurs peuvent mettre en œuvre ».

Trois points y méritent une lecture attentive.

Premièrement : l’obligation se rattache à la même prise de connaissance que le signalement aux autorités. Le déclencheur est le même moment. Le règlement ne fixe toutefois aucun nombre d’heures pour l’information des utilisateurs. Ce qui est exigé, c’est une information liée à la prise de connaissance, et le texte se réfère ailleurs au caractère opportun. Faire des 24 heures prévues pour l’autorité un délai de 24 heures à l’égard des clients, c’est mal lire la disposition.

Deuxièmement : l’information doit porter sur les contre-mesures que vous pouvez prendre vous-même. C’est le cœur pratique du dispositif. Une communication qui se borne à indiquer qu’il y a eu un problème ne satisfait pas au texte s’il existe des mesures que les utilisateurs peuvent prendre eux-mêmes. Pour un portefeuille, ce sont précisément celles qui comptent : mettre à jour le micrologiciel, renoncer temporairement à une fonction déterminée, transférer des avoirs vers une nouvelle adresse, vérifier manuellement une signature avant de la confirmer.

Troisièmement : le règlement souhaite un format lisible par machine. Le texte évoque un format structuré et lisible par machine, facile à traiter automatiquement, et l’assortit de la réserve « le cas échéant ». Pour les chercheurs en sécurité et pour les portails qui agrègent les avertissements, c’est la formulation la plus intéressante de tout le paragraphe.

Que se passe-t-il si le fabricant se tait ? Le rôle du CERT-Bund

La seconde phrase du paragraphe 8 est le véritable levier nouveau : « Lorsque le fabricant n’informe pas en temps utile les utilisateurs du produit comportant des éléments numériques, les CSIRT désignés comme coordinateurs peuvent fournir ces informations aux utilisateurs lorsqu’ils estiment que cela est proportionné et nécessaire pour prévenir ou atténuer les effets de ces vulnérabilités ou incidents. »

Le droit européen prévoit ainsi qu’une autorité peut informer le public d’une vulnérabilité affectant un produit lorsque le fabricant ne le fait pas en temps utile. Pour l’Allemagne, cela signifie concrètement que le CERT-Bund, au sein du BSI, reçoit le signalement en qualité de CSIRT coordinateur, et que le BSI peut agir comme autorité de surveillance du marché. Il ne s’agit pas d’une obligation d’avertir : la formulation retenue est « peuvent » et renvoie à la proportionnalité et à la nécessité. Pour vous, cela signifie néanmoins qu’il existe désormais un second point où convergent les informations relatives à un produit que vous utilisez.

Un regard sur les cas des dernières semaines montre que cette voie est nécessaire. Lorsqu’une vulnérabilité affectant une implémentation du réseau Lightning de Bitcoin a été rendue publique en août, l’information destinée aux opérateurs tenait à une note de version et aux médias spécialisés. Nous avons traité ce cas dans notre article consacré à la faille de Core Lightning et à la question de savoir quand un nœud doit être mis hors ligne. La manière de vérifier techniquement un avertissement portant sur un portefeuille figure dans notre article sur le blind signing et la façon de le désactiver sur votre portefeuille matériel.

Ce que la règle ne dit expressément pas : aucune liste de marques de portefeuilles

Voici la réserve qui doit figurer dans tout texte honnête sur le sujet. Ni le règlement ni les lignes directrices de la Commission européenne ne citent une seule marque de portefeuille, un seul type d’appareil issu de l’univers crypto ou un fournisseur déterminé. Le CRA travaille avec des catégories de produits abstraites et un test juridique que chaque opérateur économique doit conduire pour lui-même.

Deux conséquences en découlent. D’une part, vous ne pouvez pas déduire du règlement si un appareil déterminé que vous possédez est couvert. Cela dépend de l’organisation du fabricant, de son lieu d’établissement, de son mode de distribution et de la manière dont les autorités compétentes appliquent le test juridique au cas d’espèce. D’autre part, vous lirez dans les prochains mois des textes qui combleront ce vide avec des noms. Écrire qu’un fournisseur précis « doit maintenant » faire ceci ou cela, c’est formuler une appréciation juridique qui ne repose ni sur une décision administrative ni sur une décision de justice.

Seule la procédure est fiable à ce stade. Si une telle affirmation vous intéresse, vérifiez deux choses. Repose-t-elle sur une déclaration du fabricant lui-même ou sur une prise de position d’une autorité ? Et porte-t-elle sur l’article 14, applicable depuis le 11 septembre, ou sur les obligations de conformité qui ne s’appliqueront qu’à partir du 11 décembre 2027 ? Les deux sont fréquemment confondues en ce moment.

Logiciel libre et open source : l’exception qui concerne de nombreux projets crypto

Une grande partie de l’infrastructure crypto est open source et entretenue par des personnes physiques, des associations ou des fondations. Le CRA réserve à cette configuration un traitement propre, important pour ce que l’on peut en attendre.

Le logiciel libre et open source est, selon le considérant 18, un logiciel dont le code source est partagé ouvertement et dont la licence prévoit tous les droits permettant de le rendre librement accessible, utilisable, modifiable et redistribuable. Ce qui est déterminant pour le champ d’application, c’est le caractère commercial de la mise à disposition : selon le même considérant, seul relève du champ d’application le logiciel libre et open source mis à disposition sur le marché, et donc fourni en vue de sa distribution ou de son utilisation dans le cadre d’une activité commerciale. Les simples circonstances du développement et le mode de financement ne doivent expressément jouer aucun rôle.

S’y ajoute l’article 64, paragraphe 10, point b). En vertu de celui-ci, les amendes qui y sont prévues ne s’appliquent pas aux gestionnaires de logiciels open source, et cela pour toute infraction au règlement. C’est l’un des privilèges les plus nets de l’ensemble de l’acte.

Pour vous, utilisateur, cela signifie ceci : s’agissant d’un portefeuille né d’un projet ouvert sans mise à disposition commerciale, ne comptez pas sur l’existence d’une obligation juridique de vous avertir. Pour un appareil ou une application qu’une entreprise propose à titre commercial, la situation est différente, même si le code source est ouvert. La question de savoir qui se trouve derrière un produit et comment il est distribué était déjà une bonne question de sélection. Depuis le 11 septembre 2026, elle a en outre une dimension juridique.

Amende jusqu’à 15 millions d’euros : ce que coûte une infraction à l’article 14

Une obligation sans conséquence reste un appel. L’article 64, paragraphe 2, fixe le cadre : les infractions aux obligations prévues aux articles 13 et 14 sont passibles d’amendes pouvant aller jusqu’à 15 millions d’euros ou, dans le cas des entreprises, jusqu’à 2,5 % du chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu. L’obligation de signalement se situe donc dans la plus élevée des trois tranches d’amendes que connaît le règlement.

Pour la fixation au cas d’espèce, le paragraphe 5 impose de tenir compte de la nature, de la gravité et de la durée de l’infraction, des amendes antérieures infligées au même opérateur économique et de la taille de l’entreprise, y compris sa part de marché. Les microentreprises et les petites entreprises sont expressément mentionnées.

Un allègement supplémentaire leur est réservé. L’article 64, paragraphe 10, point a), exonère les fabricants qui sont des microentreprises ou des petites entreprises des amendes prévues aux paragraphes 3 à 9, pour autant qu’il s’agisse du non-respect du délai de 24 heures de l’article 14, paragraphe 2, point a), ou de l’article 14, paragraphe 4, point a). L’obligation de signalement elle-même ne disparaît pas pour autant : seule tombe la sanction du dépassement de ce délai précis. Pour une petite start-up de portefeuilles employant trois développeurs et sans service d’astreinte, c’est la différence entre une disposition exigeante et une disposition qui menace son existence.

La mise en œuvre relève des autorités de surveillance du marché des États membres. En Allemagne, c’est le BSI qui est prévu à cet effet. Une amende infligée doit être communiquée par l’autorité aux autorités de surveillance du marché des autres États membres via le système d’information prévu par le règlement sur la surveillance du marché.

Annexes III et IV : pourquoi les portefeuilles matériels repasseront à l’ordre du jour en 2027

L’article 14 s’applique à tous les fabricants de produits comportant des éléments numériques, indépendamment de toute classe de risque. Le règlement connaît en outre deux annexes qui énumèrent des produits particulièrement sensibles, et leurs effets juridiques ne se déploieront qu’avec la pleine application, le 11 décembre 2027. Un coup d’œil vaut néanmoins la peine, car il montre comment le législateur envisage ce type d’appareils.

L’annexe IV énumère, sous l’intitulé « Produits critiques comportant des éléments numériques », trois entrées : les dispositifs matériels à boîtiers sécurisés ; les passerelles de compteurs intelligents ainsi que les « autres dispositifs à des fins de sécurité avancée, y compris le traitement cryptographique sécurisé » ; et les cartes à puce ou dispositifs similaires, y compris les éléments de sécurité. L’annexe III cite, en classe I, notamment les microprocesseurs et microcontrôleurs dotés de fonctionnalités liées à la sécurité et, en classe II, les microcontrôleurs inviolables.

Ce sont exactement les composants dont est fait un portefeuille matériel : un élément sécurisé, un microcontrôleur inviolable, un environnement isolé pour les opérations cryptographiques. La question de savoir si un appareil déterminé relève de l’une de ces entrées se décide là encore au cas par cas. La direction est toutefois lisible, et elle implique pour les fabricants de tels appareils, à partir de la fin de 2027, une évaluation de la conformité plus stricte, à laquelle un organisme notifié peut participer.

Ce que vous pouvez concrètement vérifier en tant qu’utilisateur de portefeuille

Le règlement s’adresse aux fabricants. Vous n’avez donc pas à agir. Mais quatre éléments sont désormais plus parlants qu’avant.

• Vérifiez si votre fournisseur dispose d’un canal de sécurité auquel vous pouvez vous abonner. Une page sécurité, une liste de diffusion, un canal dans l’application. Un fabricant qui entend satisfaire à l’article 14, paragraphe 8, a besoin d’un tel dispositif. Celui qui n’en a pas voudra vous joindre, le cas échéant, par un communiqué de presse.
• Vérifiez où le fournisseur est établi. Selon l’article 14, paragraphe 7, l’établissement principal dans l’Union détermine le CSIRT compétent. Pour les fournisseurs sans établissement dans l’Union, l’ordre supplétif passe par le mandataire, l’importateur, le distributeur et le nombre d’utilisateurs.
• Distinguez le produit commercial du projet ouvert. Pour un projet ouvert sans mise à disposition commerciale, l’obligation de signalement ne s’applique régulièrement pas, et les gestionnaires de logiciels open source sont exonérés des amendes. Cela ne rend pas ces logiciels moins bons, mais modifie ce sur quoi vous pouvez compter.
• Pour les avertissements, faites attention à la source. Il existe désormais, à côté du fabricant, un second expéditeur possible, à savoir le CSIRT coordinateur. En Allemagne, c’est le CERT-Bund au sein du BSI. Un avertissement qui en émane n’est pas une communication de marketing.

Vous trouverez le texte officiel du règlement au Journal officiel de l’Union européenne, sous la forme du règlement (UE) 2024/2847, version allemande ; l’article 14 figure au chapitre II, la date d’application à l’article 71, paragraphe 2. La voie de signalement allemande, avec son tableau de délais, est décrite par le BSI sur sa page consacrée à la CRA Single Reporting Platform.

Vérifier l’obligation de signalement des portefeuilles : ce qu’il faut en retenir

1. L’obligation d’information pèse désormais sur le fabricant, et non plus sur vous seul. Lorsqu’un fournisseur apprend l’existence d’une faille activement exploitée, il doit vous informer de cette faille et des mesures que vous pouvez prendre vous-même. Faites-en un critère de choix : un fournisseur doté d’un canal de sécurité qui fonctionne est le meilleur choix. Les appareils qui entrent en ligne de compte figurent dans le comparatif des portefeuilles matériels.
2. Vérifiez dans quelle configuration votre portefeuille est proposé. Produit commercial, projet ouvert, fournisseur avec ou sans établissement dans l’Union : de cela dépendent l’applicabilité de l’obligation de signalement et l’identité de l’autorité compétente le cas échéant. Pour les solutions purement applicatives, le comparatif des portefeuilles logiciels mérite un détour, car la structure du fournisseur et la voie de mise à jour y divergent.
3. Si vous ne conservez pas vous-même, la question se déplace vers le conservateur. Votre accès dépend alors de la surveillance exercée sur le prestataire et de ses pratiques de conservation. Les plateformes titulaires d’un agrément dans l’Union figurent dans le panorama des plateformes crypto réglementées.

(Au 13 septembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)