Cyber Resilient Act : premier couac, deux ans après... – 15/09

## Cyber Resilient Act : le premier couac d'un dispositif stratégique, deux ans après L'émission Tech&Co Business du mardi 15 septembre, présentée par Frédéric Simottel sur BFM Business, a mis en lumière le premier accroc rencontré par le Cyber Resilient Act, deux ans après son entrée en application. Autour de la table, Pascal Le Digol, directeur général France de WatchGuard Technologies, Benoît Grunenwald, expert en cybersécurité chez ESET, et Adrien Merveille, directeur technique de Check Point France, ont décrypté les failles d'un texte pourtant présenté comme un pilier de la souveraineté numérique française. ## Un cadre ambitieux rattrapé par la réalité opérationnelle Le Cyber Resilient Act visait à durcir les obligations des entreprises et des administrations en matière de résilience face aux cyberattaques. Deux ans plus tard, le constat dressé par les trois spécialistes invités révèle un décalage entre les intentions affichées et la mise en œuvre effective sur le terrain. Selon les intervenants, les organisations concernées peinent à respecter les exigences imposées, notamment en matière de détection, de réponse à incident et de remontée d'information vers les autorités compétentes. Ce premier couac, souligné dès le titre du podcast, illustre la difficulté structurelle à transformer un cadre législatif en pratiques concrètes, dans un écosystème où les menaces évoluent plus vite que les textes. ## REACTIV : l'ANSSI muscle son arsenal Face à ces limites, le renforcement de l'ANSSI avec le dispositif REACTIV constitue l'une des réponses mises en avant lors de l'émission. Ce mécanisme vise à doter l'agence nationale de moyens supplémentaires pour intervenir rapidement en cas d'incident majeur. Les experts réunis par BFM Business ont insisté sur la nécessité d'une coordination accrue entre les acteurs privés et les pouvoirs publics. La question du financement et de la montée en compétences des équipes reste toutefois posée, dans un marché où la pénurie de profils qualifiés demeure un frein reconnu par l'ensemble de la filière. ## Microsoft et la transparence sur la cybersécurité Autre point abordé : la mise au point de Microsoft sur la cybersécurité. L'éditeur américain, régulièrement critiqué pour la vulnérabilité de ses produits face à des campagnes d'attaques sophistiquées, a été amené à préciser sa position et ses engagements. Pour les intervenants, cette clarification intervient dans un contexte de défiance croissante vis-à-vis des fournisseurs de solutions cloud, dont la responsabilité est de plus en plus interrogée par les autorités européennes et les entreprises clientes. ## Le laxisme franco-européen face aux fuites en série Le débat s'est enfin porté sur ce que les participants qualifient de rançon du laxisme franco-européen face aux fuites de données en série. La multiplication des incidents touchant des organisations françaises et européennes souligne, selon eux, une forme de résignation collective. Le manque de sanctions dissuasives, la fragmentation des régimes juridiques nationaux et la lenteur des procédures sont pointés du doigt comme des facteurs aggravants. ## Une prise de conscience encore incomplète Deux ans après l'entrée en vigueur du Cyber Resilient Act, le premier couac enregistré ne signe pas l'échec du dispositif, mais révèle l'écart persistant entre ambition réglementaire et exécution. Le renforcement de l'ANSSI via REACTIV, les clarifications de Microsoft et les alertes répétées de la filière dessinent un enjeu de crédibilité pour l'ensemble de l'écosystème franco-européen. La question centrale reste désormais celle des moyens alloués et de la capacité collective à transformer les textes en protections réellement opérationnelles.