Les fabricants de portefeuilles crypto font face à la règle d'exploitation de 24 heures de l'UE

En vertu de la Loi sur la résilience cybernétique de l'UE, les fabricants de portefeuilles crypto commerciaux ont désormais 24 heures pour signaler une vulnérabilité exploitée activement ou un incident de sécurité grave aux autorités nationales de cybersécurité. Le régime de divulgation accélérée est entré en vigueur le 11 septembre 2026 et s'applique à tout "produit avec des éléments numériques" ayant une connexion de données directe ou indirecte, incluant les portefeuilles matériels connectés fournis commercialement et les applications de portefeuille téléchargeables. Les déclarations passent par la Plateforme de déclaration unique de l'ENISA vers le CSIRT national coordonnateur, avec une notification complète due dans les 72 heures et un rapport de vulnérabilité devant être soumis dans les 14 jours suivant une mesure corrective.

Pourquoi c'est important

La CRA redéfinit la sécurité des portefeuilles, la transformant d'une meilleure pratique industrielle en une fonction de responsabilité produit réglementée. Les fabricants de portefeuilles fonctionnent désormais sur un calendrier orienté vers le régulateur qui reflète les normes de divulgation des appareils électroniques grand public. Les projets open-source ne bénéficient pas d'une exemption générale : les produits fournis commercialement, gratuits et open-source peuvent toujours faire face à des obligations de fabricant, tandis que les contributeurs non rémunérés et les logiciels de fabricant non monétisés sont exclus. Les gestionnaires open-source forment une catégorie légale distincte dont les obligations de déclaration ne commencent que le 11 décembre 2027. La règle s'applique également aux lignes de produits existantes : tout produit mis sur le marché de l'UE avant le 11 décembre 2027 fonctionne sur le même calendrier de 24 heures.

Impact sur le marché

Pour les vendeurs de portefeuilles matériels, cette fenêtre resserre le calcul des coûts autour des correctifs silencieux. Les petits opérateurs avec des équipes de réponse aux incidents réduites font désormais face au même calendrier d'alerte précoce que les fabricants d'appareils multinationaux, et les fournisseurs de portefeuilles auront probablement besoin de personnel dédié à la conformité ou de relations avec des CSIRT tiers. Le portail de l'ENISA centralise la visibilité pour chaque régulateur européen, de sorte qu'un seul événement de divulgation passe d'un problème de confiance client privé à un événement réglementaire multi-juridictionnel en moins d'un jour. Optimiste pour les marques de portefeuilles ayant un bon historique de sécurité et des politiques de divulgation de vulnérabilités publiques ; pessimiste pour les vendeurs qui ont historiquement compté sur des correctifs discrets. Les assureurs cybernétiques rédigeant des couvertures pour les portefeuilles distribués dans l'UE vont probablement réévaluer les conditions de la fenêtre de 24 heures dans leurs polices.