Le Cyber Resilience Act est le règlement européen (UE) 2024/2847 qui impose des exigences de sécurité aux « produits comportant des éléments numériques », c'est-à-dire tout objet ou logiciel qui se connecte à un réseau, du thermostat à l'automate industriel. Le règlement s'applique dans son ensemble le 11 décembre 2027, mais son article 14 s'applique depuis le 11 septembre 2026. Le BSI, l'autorité allemande de sécurité informatique, l'a rappelé dans un communiqué daté du 11 septembre : à partir de cette date, tout fabricant qui met un tel produit sur le marché de l'Union doit signaler les vulnérabilités activement exploitées et les incidents graves qui affectent la sécurité de ses produits. Le signalement passe par la plateforme unique mise en place par l'ENISA, l'agence européenne de cybersécurité, et parvient au CSIRT de l'État membre où se prennent les décisions de cybersécurité du produit ; en France, c'est le CERT-FR. Aucune inscription préalable n'est requise. Selon l'article 14, l'alerte précoce est due sous 24 heures après connaissance de la faille, la notification sous 72 heures et le rapport final sous 14 jours ; l'obligation vaut aussi pour les produits déjà vendus.