Demain, 11 septembre 2026, un règlement européen franchit une étape. Il s’appelle le Cyber Resilience Act, et si vous avez croisé cette semaine un titre du genre « les nouvelles règles sur les routeurs entrent en vigueur et beaucoup ne sont pas prêts », vous vous êtes peut-être demandé si votre box allait s’arrêter de fonctionner.

Non. Elle marchera demain matin exactement comme ce soir. Personne ne va rien débrancher, aucun appareil ne devient illégal, et vous n’avez strictement aucune démarche à faire.

Cela dit, il se passe quelque chose de réel, et pour une fois c’est plutôt à votre avantage. Je vais essayer de l’expliquer comme je le ferais debout devant une box, sans le vocabulaire de Bruxelles.

Le Cyber Resilience Act en deux minutes

Le Cyber Resilience Act (son petit nom est CRA, et sa référence officielle le règlement européen 2024/2847) part d’un constat assez simple. On vend depuis vingt ans des objets qui se branchent à internet sans que personne ne soit vraiment tenu de s’occuper de leur sécurité une fois qu’ils sont sortis du magasin. Une caméra de surveillance, un routeur, un thermostat connecté, un logiciel : si une faille était découverte trois ans plus tard, rien n’obligeait le fabricant à la corriger, ni même à vous prévenir qu’elle existait.

Le règlement renverse ça. Il impose des obligations sur toute la durée de vie du produit, et plus seulement au moment de la vente. Il est entré en vigueur en décembre 2024, mais il s’applique par étapes, et c’est la première marche qui tombe demain.

  • 11 septembre 2026 : les fabricants doivent signaler les failles activement exploitées et les incidents graves.
  • 11 décembre 2027 : tout le reste. Marquage CE couvrant la cybersécurité, durée de support obligatoire, fin des mots de passe par défaut.

Ce qui démarre demain, concrètement

Deux obligations, sur un calendrier serré. Quand un fabricant apprend qu’une faille de son produit est activement exploitée, c’est-à-dire que quelqu’un s’en sert déjà pour attaquer et que ce n’est plus une hypothèse de laboratoire, il a 24 heures pour envoyer une alerte précoce, 72 heures pour une notification complète, et 14 jours après la mise à disposition d’un correctif pour le rapport final. Pour un incident grave, le rapport final tombe sous un mois.

Ces signalements passent par une plateforme unique gérée par l’ENISA, l’agence européenne de cybersécurité, mise en ligne pour l’occasion. Elle redistribue l’information aux autorités nationales. En France, c’est le CERT-FR, le centre d’alerte de l’ANSSI, qui reçoit et coordonne, et qui transmet ensuite à l’ANFR, l’autorité chargée de surveiller le marché.

Un détail qui compte plus qu’il n’en a l’air : l’obligation vaut aussi pour les produits déjà vendus, et même pour ceux dont la période de support est terminée, tant qu’ils restent disponibles sur le marché européen. Un fabricant ne pourra plus se débarrasser du sujet en répondant que le modèle est ancien.

La partie qui vous concerne directement

Il y a dans ce règlement un paragraphe dont on parle beaucoup moins et qui est, de mon point de vue, le plus intéressant pour vous. C’est l’article 14, paragraphe 8.

À partir de demain, quand un fabricant découvre qu’une faille de son produit est activement exploitée, il ne doit pas seulement prévenir les autorités. Il doit aussi vous prévenir, vous. Les utilisateurs concernés, et lorsque c’est pertinent l’ensemble des utilisateurs. Et il doit vous indiquer, quand il y a quelque chose à faire, les mesures que vous pouvez appliquer pour limiter les dégâts.

Et si le fabricant traîne ? Le texte a prévu le cas. Le CERT-FR, une fois le signalement reçu, peut informer les utilisateurs lui-même s’il juge que c’est nécessaire et proportionné.

C’est un renversement discret mais réel. Jusqu’ici, la nouvelle qu’un routeur était troué circulait sur des forums spécialisés, dans la presse technique, parfois nulle part du tout. Le client, lui, l’apprenait rarement. À partir de demain, prévenir les gens fait partie du travail, et ne pas le faire expose à des sanctions qui peuvent monter à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial.

Pourquoi les box et les routeurs sont en première ligne

Le règlement classe les produits par niveau de risque. Les routeurs, les modems et les box figurent parmi les « produits importants » de classe I, la catégorie qui demandera le contrôle le plus sérieux. Ce n’est pas arbitraire, et sur le terrain ça se comprend immédiatement.

Une box, c’est quatre choses à la fois :

  • le seul appareil de la maison allumé vingt-quatre heures sur vingt-quatre, toute l’année ;
  • le point de passage obligé de tout le reste, ordinateurs, téléphones, télévision, caméras, thermostat ;
  • un appareil directement exposé à internet, contrairement à ce qui se trouve derrière lui ;
  • et celui auquel, très exactement, personne ne touche jamais.

La dernière ligne est la vraie raison. Un boîtier posé sur un meuble en 2017 et qui n’a jamais bronché ne donne aucune raison de s’en occuper. Il clignote, ça marche, on l’oublie. Sauf que le logiciel qui tourne dedans a neuf ans, et que les failles découvertes depuis n’ont pas disparu parce que l’appareil fait bonne figure.

Ajoutez que dans un village, la box ne sert pas qu’à regarder des vidéos. C’est elle qui porte la caisse enregistreuse du commerce, le terminal de paiement, le Wi-Fi du gîte, la télésurveillance de l’atelier et la sauvegarde du cabinet. Quand elle tombe ou qu’elle est détournée, ce n’est pas une soirée gâchée, c’est une journée de travail perdue.

Box internet de l’opérateur ou routeur acheté, ce n’est pas la même histoire

La distinction est importante et rarement faite, alors qu’elle change tout en pratique.

Si vous louez la box de votre opérateur (Livebox, Freebox, Bbox, box SFR et compagnie), les mises à jour sont poussées à distance, généralement sans que vous vous en aperceviez, et l’opérateur renouvelle son parc de lui-même. C’est plutôt confortable. Le revers, c’est que vous ne choisissez ni le moment de la mise à jour, ni la date à laquelle votre modèle sera abandonné.

Si vous avez acheté votre matériel (routeur, répéteur Wi-Fi, prise CPL, petit serveur de fichiers, caméra), c’est vous le propriétaire, et sur beaucoup de modèles la mise à jour ne se fait pas toute seule. C’est là que se trouve le matériel le plus souvent laissé à l’abandon par son fabricant, parfois quelques mois seulement après la fin de la commercialisation.

Ce qui arrivera vraiment en décembre 2027

C’est à cette date que la partie visible entrera en jeu, celle que vous verrez sur l’emballage et dans la notice. Pour tout produit connecté vendu neuf dans l’Union européenne :

  • une durée de support annoncée, d’au moins cinq ans, sauf si la durée de vie attendue du produit est plus courte ;
  • des mises à jour de sécurité gratuites pendant toute cette période, et si possible séparées des mises à jour de fonctionnalités ;
  • la fin des mots de passe par défaut, du fameux « admin / admin » et des clés identiques sur toute une série ;
  • pour les produits grand public, les mises à jour automatiques activées d’origine, avec un moyen simple de les refuser ;
  • un produit livré sans vulnérabilité connue au moment de la mise sur le marché ;
  • et un marquage CE qui, pour la première fois, couvre aussi la cybersécurité.

Le plus utile au quotidien, c’est la durée de support affichée. Aujourd’hui, rien ne vous dit devant le rayon si le routeur à 79 euros sera suivi pendant cinq ans ou abandonné dans dix-huit mois. Demain, ce sera écrit, et deux appareils au même prix cesseront d’être comparables sur la seule fiche technique. C’est le genre de détail qui, à terme, fait plus pour la sécurité de tout le monde qu’un discours sur les mots de passe.

Une précision pour ceux qui suivent le sujet : depuis le 1er août 2025, les équipements radio vendus en Europe, dont les routeurs Wi-Fi, doivent déjà respecter des exigences de cybersécurité au titre de la directive RED. Le CRA ne les annule pas, il les absorbe. Le texte RED correspondant sera abrogé le 11 décembre 2027, précisément le jour où le CRA s’appliquera pleinement.

Ce que ça change pour un dépanneur de village

Un règlement européen ne change pas la vie d’un technicien du jour au lendemain. Ce qu’il change, c’est ce qu’on peut exiger, et ce qu’on peut vérifier.

Aujourd’hui, quand je regarde un routeur dont le dernier micrologiciel date de 2019, je peux dire à son propriétaire que l’appareil n’est plus suivi. Mais c’est mon avis contre le silence du fabricant, et le silence a souvent l’air plus rassurant. Quand la durée de support sera une information officielle, écrite avant l’achat, la conversation devient factuelle : la période est terminée depuis deux ans, voilà ce que ça implique, voilà ce que je recommande.

Et à partir de demain, si une faille de votre matériel est exploitée dans la nature, l’information doit remonter jusqu’à vous plutôt que rester dans un bulletin technique que personne ne lit hors du métier.

Je ne vais pas vous vendre l’idée que tout est réglé. Le règlement ne s’applique pas rétroactivement au matériel déjà installé chez vous : votre box de 2017 n’en tirera rien, sinon le devoir de signalement. Et il faudra des années avant que le parc se renouvelle. Mais c’est la première fois que quelqu’un écrit noir sur blanc qu’un objet connecté doit être entretenu, et pas seulement vendu.

Ce que vous pouvez faire ce week-end, sans attendre 2027

Voilà le vrai sujet, celui sur lequel vous avez la main dès maintenant. Comptez vingt minutes, et rien de tout cela ne demande de compétence particulière.

  1. Changez le mot de passe d’administration de la box. Pas la clé Wi-Fi, l’autre, celle qui donne accès aux réglages. Beaucoup de gens n’ont jamais su qu’elle existait. Si elle est encore imprimée sur l’étiquette, elle est connue de tout internet.
  2. Vérifiez que le Wi-Fi est en WPA2 ou WPA3. Si vous voyez WEP ou WPA tout court dans les réglages, changez immédiatement : ces protections se cassent en quelques minutes.
  3. Désactivez ce qui ne sert pas. Le WPS (le bouton d’appairage rapide), l’administration à distance, et l’UPnP si vous ne savez pas à quoi il vous sert. Ce sont trois portes ouvertes par confort, rarement utilisées, souvent oubliées.
  4. Regardez la version du micrologiciel. Elle est dans l’interface de la box, en général sous « informations système ». Cherchez ensuite le nom exact du modèle suivi de « firmware » sur le site du fabricant.
  5. Pour un routeur acheté, cherchez sa date de fin de support. Le nom du modèle suivi de « end of life » ou « fin de support » donne la réponse en une recherche. Si la dernière mise à jour date de 2019, considérez que l’appareil n’est plus protégé, quelle que soit son apparence.
  6. Redémarrez la box de temps en temps. Ce n’est pas une solution miracle et ça ne remplace aucune mise à jour, mais certains programmes malveillants ne survivent pas à une coupure de courant. Une fois par mois suffit largement.

Si l’un de ces points vous bloque, c’est exactement le genre de chose qui se règle en quelques minutes, souvent à distance, sans frais de déplacement. Vous trouverez le détail sur la page réseau et Wi-Fi, et le déroulé d’une intervention est décrit sur cette page.

Faut-il changer de box demain matin ?

Non, et méfiez-vous de qui vous dira le contraire cette semaine. Une échéance réglementaire est toujours une bonne occasion commerciale pour vendre du matériel dont personne n’a besoin.

Il y a en revanche trois situations où le remplacement se justifie vraiment :

  • l’appareil n’a plus reçu de mise à jour depuis trois ans ou davantage, et le fabricant a officiellement arrêté son suivi ;
  • il ne sait plus faire de WPA2, ce qui arrive sur du matériel d’avant 2010 ;
  • il porte une activité professionnelle et n’a aucune solution de secours en cas de panne.

Dans les autres cas, les vingt minutes de réglages plus haut vous apporteront davantage que deux cents euros de matériel neuf.

Les sources, pour ceux qui veulent vérifier

Je préfère donner les textes plutôt que demander qu’on me croie sur parole. Tout ce qui est écrit ci-dessus vient de là :

Un règlement ne sécurise aucun appareil. Il oblige seulement quelqu’un à s’en occuper. C’est déjà beaucoup plus que ce qu’on avait hier.

Si vous avez un doute sur votre installation, sur l’âge de votre matériel réseau ou sur ce que votre opérateur fait ou ne fait pas, appelez-moi. C’est le genre de question à laquelle on répond en cinq minutes au téléphone, et ça ne coûte rien.