Le chiffre clé sur 24 heures est la partie simple. La loi sur la résilience numérique a modifié ce que peut être un portefeuille légalement.

L’article de titre indique correctement la date et l’heure, mais l’heure est fausse.11 septembre 2026, Les obligations de rapporting prévues par la loi sur la résilience cyber de l’UE sont devenues obligatoires.La version compressée – « Les portefeuilles cryptographiques ont maintenant 24 heures pour signaler un piratage » – cache deux points qui doivent être vérifiés avant de prendre une décision. Vingt-quatre heures ne représente que le premier étape d’une procédure en trois étapes ; ce n’est pas la date limite totale. De plus, cette responsabilité ne revient pas à la personne qui possède le portefeuille. Elle incombe à celui qui l’a créé.

Lisez le texte complet de l’article. Le chiffre que vous avez vu en titre représente en réalité la moindre partie d’une obligation bien plus importante.

L’échelle a été affinée par le titre.

La loi sur la résilience numérique – officiellementRéglementation (UE) 2024/2847– Exige que tout fabricant d’un produit couvert soumet des informations en vertu de cette réglementation.Une plateforme unique à l’échelle de l’UE qui alimente les équipes nationales de réponse aux incidents de sécurité informatique et ENISA.L’agence de cybersécurité de l’UE. Le déclencheur est la connaissance, et non la confirmation : un fabricant devient « conscient » lorsqu’il atteint un certain niveau de connaissances.Un degré raisonnable de certitude après une évaluation initialeSans attendre tous les détails techniques.

À partir de ce moment-là, l’horloge fonctionne en trois étapes :

• 24 heures — Un avertissement précoce avec des informations préliminaires et le fait de savoir si une activité malveillante est soupçonnée.;
• 72 heures– Une notification plus complète, accompagnée d’une évaluation initiale et de mesures de réduction des risques.
• Rapport final– Pour une vulnérabilité exploitée activement, dans un délai de 14 jours à compter de la mise en place d’une mesure corrective ; pour un incident grave, dans un mois.

Donc, l’idée que « 24 heures pour signaler un piratage » est vraie, mais elle est incomplète. Vingt-quatre heures suffisent pour que le créateur reçoive moins qu’un rapport complet sur l’incident ; il s’agit simplement d’ouvrir un fichier. Le rapport complet arrive quelques jours plus tard, et les informations utiles – c’est-à-dire les corrections nécessaires – peuvent prendre jusqu’à un mois pour être fournies.

Assurez-vous également que l’échelle soit correcte, car elle s’étend bien au-delà de ce que la headline indique. La réglementation s’applique à tous les fabricants qui mettent sur le marché de l’UE des produits contenant des éléments numériques.Peu importe l’endroit où se trouve ce fabricant.Un fabricant de portefeuilles en Californie, qui vend en Europe, est ici considéré comme un « fabricant ».Il faut désigner un point de contact de l’UE.L’application de la loi est clairement transfrontalière. Une catégorie particulière renforce les conséquences des infractions : les violations des dispositions relatives au traitement et à la signalisation des vulnérabilités peuvent entraîner des amendes allant jusqu’à…15 millions d’euros, soit 2,5 % du chiffre d’affaires annuel mondial total.Le plus élevé des deux.

Si l’on compare ces deux faits, la lecture superficielle s’effondre : ce n’est pas « votre portefeuille doit maintenant remplir des documents administratifs ». C’est plutôt que « le fabricant de votre portefeuille a désormais une obligation de rapportage contraignante et extraterritoriale, envers un régulateur avec lequel il pourrait ne jamais avoir eu affaire ».

L’interrupteur d’identité

C’est le changement qui est important pour toute personne qui gère ou évalue une entreprise de portefeuille. Il s’agit d’un changement dans l’identité juridique, et non dans les aspects de marketing. Écrivez le avant et l’après dans deux colonnes.

Avant la date d’effet.Un portefeuille est un logiciel que l’on exécute. « Pas tes clés, pas tes pièces d’argent » n’était pas seulement un slogan ; c’était la réalité légale : la sécurité est ton problème, et les obligations du fabricant envers toi relèvent de la garantie du produit, et non des exigences des régulateurs. Un portefeuille non-custodial qui est mal conçu peut toucher tes clés ; le fabricant est tenu par la loi civile, si tant est qu’il existe une telle obligation, et sans être soumis aux exigences des agences européennes dans un délai prédéfini.

Après la date d’entrée en vigueur.Dans la mesure où le produit est concerné par cette réglementation, le fabricant est un fabricant de produits réglementés qui doit fournir une alerte immédiate pendant 24 heures au CSIRT national et à ENISA dès que une vulnérabilité couverte est exploitée activement. Le détenteur du produit bénéficie d’un mécanisme de rapport des incidents ; le fabricant, quant à lui, dispose d’une obligation de conformité avec un plafond de sanctions financières.

Toute la question – celle qui détermine ce que cela coûte vraiment – est…Qui se trouve dans la case « fabricant ».

Les portefeuilles hardware sont le cas classique. C’est un appareil physique doté d’éléments numériques, vendu en Europe.C’est clairement un produit qui comporte des éléments numériques.L’entité qui le met sur le marché est un fabricant. Ce n’est pas ambigu, et ce n’est pas une nouveauté : ces entreprises effectuent déjà les certifications de sécurité.

Les portefeuilles de logiciels monétisés font également partie de cette catégorie. Un portefeuille distribué via une boutique d’applications, qui génère des commissions ou propose un niveau premium, fait partie d’une activité commerciale. Le logiciel est donc un produit comprenant des éléments numériques.

La partie open source constitue la frontière honnête. Les logiciels libres et open source, fournis pour être distribués ou utilisés…Non monétisé, non destiné à générer des profits— Cela se situe en dehors du champ d’application principal. Mais le critère de détermination est « l’activité commerciale ». Or, cette activité est fragile : dès que un portefeuille fixe un prix, ou indique son intention de générer des revenus, ou reçoit des dons qui dépassent ses coûts, il peut entrer dans le champ d’application. Une « attribution communautaire » n’est pas équivalente à une exclusion totale de toute activité commerciale. L’exemption protège donc le modèle décentralisé pur, sans aucun autre avantage.

Et puis, il y a cette catégorie de produits qui ne correspond pas aux hypothèses propres à la loi. Le CRA a été conçu pour des produits qui sont expédiés, modifiés par des mises à jour, et bénéficient d’un période de support définie. Les smart-contracts et les codes de gestion complètement intégrés à la chaîne blockchain n’ont pas de bouton de mise à jour par définition. C’est là le véritable problème du système : un produit immuable, sous une loi qui repose sur la possibilité des mises à jour. Comment les directives d’application de la Commission…Publié en juillet de cette année.Et il s’agit clairement d’une loi non contraignante. Elle stipule que le conflit est la variable sur laquelle tout le sens juridique de cette loi repose.

Ce qu’il fait aux pièces d’argent

En supprimant le aspect dramatique, les aspects économiques se résument à une question de coûts de conformité. Les coûts de conformité, dans le contexte d’un portefeuille de produits, sont des coûts fixes qui sont répartis entre les unités produites.

La responsabilité de rapportage 24 heures par jour, le devoir de gestion des vulnérabilités, l’obligation de soutien pendant la période appropriée, et les travaux de conformité qui arrivent…Application complète en décembre 2027Tout cela entraîne une augmentation des coûts de service pour les commerçants en Europe. Pour un grand établissement disposant de ressources suffisantes – comme un fournisseur de matériel informatique doté d’un budget pour obtenir des certifications, ou une unité de paiement intégrée dans un système déjà réglementé – ces coûts sont difficiles à supporter. Pour un petit projet de gestion autonome des actifs, cela signifie que le prix devient trop élevé pour être accepté sur le marché européen ou pour être vendu au détail. Cette asymétrie représente donc un avantage pour les fournisseurs bien réglementés : les réglementations rendent les fournisseurs relativement moins chers par utilisateur, tandis que les projets plus petits deviennent plus coûteux.

Deux précautions éclairées permettent de comprendre correctement la situation. Premièrement, l’exposition directe sur le marché américain est faible : les grandes entreprises spécialisées dans les technologies de paiement sont privées, et les entreprises qui sont listées sur les marchés étrangers ne représentent qu’une autre couche de coûts liée à l’UE, en plus de ceux liés au MiCA. Il s’agit donc d’un problème structurel, avec des coûts et des barrières à long terme, et non d’une simple augmentation des prix des actions. Deuxièmement, les deux questions restent sans réponse : qu’est-ce qui constitue une activité commerciale pour les portefeuilles open-source ? Et si les portefeuilles smart-contracts sur la blockchain peuvent-ils vraiment remplir les conditions nécessaires pour être considérés comme fiables ? Les directives non contraignantes ne constituent pas des lois officielles, et elles ne sont pas définitives.

La condition de pause

Gardez un fait à l’esprit. Si les directives finales de la Commission confirment officiellement que les portefeuilles en ligne, sans valeur monétisée et ne comportant aucun logiciel, relèvent de la catégorie des “produits avec des éléments numériques” – une exemption suffisante pour atténuer les coûts et les barrières à l’entrée pour le secteur décentralisé – alors l’hypothèse concernant la concentration du marché est prématurée, mais pas fausse : les composants matériels et le logiciel monétisé font partie du marché, quelle que soit la manière dont on considère les choses.

Jusqu’à présent, la chaîne est vérifiable et stable. La date est le 11 septembre 2026 ; l’obligation de rapport est en vigueur. Le délai de traitement varie entre 24 heures et un mois. Les amendes peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial. Cet accord s’applique à tous les fabricants qui vendent des produits concernés dans l’UE, depuis n’importe où sur Terre. L’information principale indique le montant exact. La loi indique également qui doit payer les amendes. Lisez la deuxième colonne avant de décider ce que la première colonne signifie pour votre portefeuille personnel – ou pour l’entreprise qui gère votre portefeuille.