Le Bundestag a adopté la loi de mise en œuvre du Cyber Resilience Act, qui désigne le BSI comme autorité de surveillance du marché, autorité de notification et CSIRT coordinateur de l'Allemagne en vertu du CRA. À titre d'autorité de surveillance du marché, le BSI pourra ordonner le retrait du marché des produits comportant des éléments numériques non conformes. Il agira aussi comme bureau des plaintes pour les signalements des consommateurs. La loi doit encore être approuvée par le Bundesrat. Une fois en vigueur, les dispositions correspondant aux obligations du CRA déjà applicables prendront effet le lendemain de la promulgation, et les autres obligations suivront la date d'application générale du CRA, le 11 décembre 2027.
Le BSI devient l'autorité de surveillance du marché, l'autorité de notification et le CSIRT coordinateur de l'Allemagne en vertu du CRA.
Le retrait du marché allemand pourra être ordonné pour les produits comportant des éléments numériques non conformes.
La loi doit encore être approuvée par le Bundesrat, et la plupart des obligations suivent la date du CRA, le 11 décembre 2027.
Notre commentaire
La loi dote l'Allemagne d'une autorité d'application qui peut retirer du marché les produits non conformes. Pour les fabricants et les importateurs de produits comportant des éléments numériques vendus en Allemagne, la question est de savoir comment leurs processus de gestion des vulnérabilités et de conformité résisteraient à l'examen d'un organisme de réglementation désigné.
Des questions sur cette alerte?
Sara Derbel
Parajuriste
Notre équipe peut vous expliquer ce que ce développement signifie pour votre organisation.
Veille réglementaire et législative en IA, vie privée et cybersécurité au Canada, aux États-Unis, dans l’UE, au Royaume-Uni et en Australie, filtrée et priorisée par des juristes.
Services de responsable de la sécurité des systèmes d’information virtuel (vCISO) : leadership fractionné, gouvernance des risques et accompagnement stratégique et juridique de Ceiba Law.
Gestion d’appels d’offres technologiques : structuration d’AOI, AO et DP, vérification diligente des fournisseurs, risques liés aux tiers et négociation de contrats SaaS, infonuagiques et d’IA.
Reliez la gouvernance de la cybersécurité, les engagements contractuels et les obligations juridiques à la gestion des risques de sécurité de votre organisation.
Services GRC, dont la gestion des risques liés aux tiers, les analyses d’écarts législatifs, les programmes de conformité et les politiques alignées sur la réglementation canadienne.
Le 1er octobre 2026, la CISA a transmis à l'Office of Management and Budget de la Maison-Blanche, pour examen, la règle finale prise en vertu du Cyber Incident Reporting for Critical Infrastructure Act, dernière étape procédurale avant sa publication. La règle obligerait les entités visées de seize secteurs d'infrastructures essentielles, soit environ 300 000 entités ou plus, à déclarer les cyberincidents importants dans un délai de 72 heures et les paiements de rançon dans un délai de 24 heures. Sa portée pourrait s'étendre aux fournisseurs de services technologiques, infonuagiques, logistiques, d'ingénierie et de communications qui servent des clients d'infrastructures essentielles. Sa publication est attendue d'ici la fin de l'année.
