Règlement sur la cyberrésilience

Le règlement (UE) 2024/2847, entré en vigueur le 10 décembre 2024, vise ceux qui fabriquent des produits numériques, là où DORA et NIS2 pèsent sur ceux qui les utilisent. L'obligation de signaler les vulnérabilités activement exploitées et les incidents graves s'applique depuis le 11 septembre 2026, le reste du texte à partir du 11 décembre 2027. Il pose des exigences essentielles de sécurité pour tout produit comportant des éléments numériques mis sur le marché de l'Union, du routeur domestique à la bibliothèque logicielle commerciale : conception sans vulnérabilité exploitable connue, configuration sécurisée par défaut, traitement des vulnérabilités pendant une période de support annoncée, et établissement d'une nomenclature des composants logiciels, que le fabricant n'est pas tenu de rendre publique. Il impose au fabricant de signaler les vulnérabilités activement exploitées et les incidents graves. Et il soumet le tout au régime du marquage CE, donc au retrait du marché en cas de manquement. Pour l'assurance, deux conséquences se dessinent. La souscription de risques de responsabilité produit se dote d'un référentiel objectif là où elle n'avait qu'un usage professionnel. Et la sinistralité cyber devrait se déplacer en amont, un défaut de produit devenant un manquement réglementaire du fabricant plutôt qu'une simple négligence de l'utilisateur final.