La règle s’applique aux portefeuilles matériels et logiciels. Ils sont tenus de fournir, dans les 24 heures, un avertissement préliminaire en cas de vulnérabilités graves. Ensuite, dans un délai de 72 heures, ils doivent transmettre une notification complète. Un rapport final sera exigé 14 jours après l’élaboration de mesures visant à remédier aux risques ou à en atténuer les conséquences et, en cas d’incidents graves, dans un délai d’un mois.
Cette mesure est entrée en vigueur vendredi dans le cadre de règles plus larges de l’UE en matière de cybersécurité. Elle s’applique à tous les produits contenant des éléments numériques et disponibles dans l’UE. Les infractions sont passibles d’amendes pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. La fourniture d’informations inexactes, incomplètes ou trompeuses est punie d’une amende pouvant aller jusqu’à 5 millions d’euros.