Délai de 24 heures pour les portefeuilles cryptographiques en UE : Sécurité des produits, pas de surveillance.

Le 11 septembre 2026, une règle européenne est entrée en vigueur, qui semble devoir alarmer tous ceux qui possèdent des cryptos :Les portefeuilles de cryptomonnaies commerciales vendus dans l’UE doivent désormais alerter les autorités informatiques dans les 24 heures suivant une attaque informatique.Si vous conservez des devises dans un portefeuille matériel ou logiciel, l’idée que l’État commence à surveiller vos économies peut sembler logique. En réalité, ce qui change, c’est la manière dont vous possédez les cryptomonnaies, mais pas qui peut vous vendre le dispositif nécessaire pour les gérer. C’est cette distinction qui mérite l’attention d’un investisseur.

Ce que le horloge à 24 heures couvre vraiment

Cette règle provient de la loi sur la résilience cyber de l’UE.une loi horizontale (Règlement UE 2024/2847)Cela signifie que tout « produit contenant des éléments numériques » – smartphones, appareils industriels, routeurs, équipements pour portefeuilles, etc. – doit être protégé contre les menaces cybernétiques avant de pouvoir être vendu sur le marché européen. La obligation de rapport des incidents est stricte : dès qu’un fabricant prend connaissance d’une vulnérabilité exploitée ou d’un incident de sécurité grave, il doit soumettre un signal d’alerte dans les 24 heures, une notification complète dans les 72 heures, et un rapport final dans deux semaines (pour une faille) ou un mois (pour un incident).via la plateforme de rapportage unique d’ENISA.

Le point crucial est ce qui est rapporté. Le fabricant dévoile des failles de sécurité dans son propre produit : un module d’authentification compromise, un canal d’mise à jour vulnérable. Il ne rapporte pas vos transactions, vos soldes ou vos adresses bancaires. Ce n’est pas une loi contre le blanchiment d’argent ou une réglementation fiscale ; c’est plutôt une loi européenne visant les aspects financiers liés aux cryptomonnaies. La loi sur la résilience cybernétique est une loi concernant la sécurité des produits. Elle ressemble plus aux règles de marquage CE qui déterminent si un produit est sûr, qu’à une surveillance des actions que vous entreprenez avec ces produits. L’État fait en sorte que le vendeur soit responsable de la sécurité du produit qu’il vous vend, et non de surveiller ce que vous faites avec celui-ci.

Crypto était le cas exceptionnel pour lequel la loi a été créée.

Il faut donc prendre en compte les risques liés à ce produit en particulier. Un routeur piraté peut permettre la fuite des données de trafic ; un portefeuille hardware piraté peut permettre à l’attaquant d’obtenir vos clés privées, et par conséquent vos fonds, de manière instantanée et irréversible. Les portefeuilles crypto sont dans une situation proche du cas extrême où existe une loi sur la sécurité des produits : une vulnérabilité exploitée entraîne une perte directe et totale des fonds.

C’est aussi pour cette raison que le seuil de déclenchement fixé par la loi fonctionne réellement. Le calendrier de 24 heures ne commence pas au moment où un vendeur soupçonne quelque chose d’anormal, ou entend une rumeur provenant d’une tierce partie. Il commence uniquement lorsque le fabricant…Un degré de certitude raisonnableLa vulnérabilité est réelle et est exploitée. Construire ce jugement en continu, auprès de fournisseurs qui ne vous le disent pas d’abord, constitue en soi un nouveau coût fixe.

Il y a quelque chose de structurelment familier ici, si l’on suit les “voies financières”. Le concept original de la garde d’argent en soi était que cette méthode s’effectue sans intermédiaires réglementés – pas de banque, pas d’exchange, juste vous et vos clés. La loi sur la résilience numérique ne touche pas vos clés, ni le réseau, ni votre droit à la garde d’argent. Ce que cette loi fait, c’est entraîner discrètement l’entreprise qui fabrique et vend ce portefeuille dans la même catégorie de produits réglementés que tous les fournisseurs de routeurs en Europe. L’État ne confisque pas les voies financières ; il décide simplement qui peut vendre les équipements nécessaires pour utiliser ces voies financières. C’est ainsi qu’une niche marginale pour les puristes devient un produit réglementé ordinaire : non par confiscation, mais par des procédures administratives et des obligations légales.

La conformité en tant que barrière défensive

En termes de revenus, il s’agit plus d’une question de coûts et de consolidation que d’une question de prix des actions. Les obligations de reporting sont très difficiles pour une petite entreprise, mais pas pour une entreprise bien financée. Il faut avoir du personnel disponible 24/7 pour gérer les incidents, déterminer quelles versions du produit utilisent les clients européens, et mettre en place un processus de déclaration conforme aux réglementations ENISA. Ce sont des coûts fixes que les grandes entreprises peuvent supporter, tandis qu’une start-up de trois personnes a du mal à les assumer. Les réglementations de ce type servent généralement de barrière : elles concentrent le marché entre ceux qui peuvent se permettre les coûts liés à la conformité et les risques juridiques.

L’avertissement important est que la plupart des fabricants de portefeuilles dédiés à l’épargne – comme Ledger et Trezor – sont privés. Par conséquent, il y a peu d’information publique concernant les entreprises qui réussissent ou échouent dans ce domaine. La principale entreprise publique spécialisée dans les portefeuilles autonomes est Coinbase. Mais la loi sur la résilience cybernétique représente plutôt une exigence de conformité dans le cadre d’une entreprise plus grande, et non une véritable transformation du modèle économique de ces entreprises. Ce n’est pas un appel à acheter des portefeuilles ; c’est plutôt une situation où les marges et les accès au marché sont réallocés. La manière de suivre cette situation est de observer les entreprises capitalistes qui traitent la conformité comme une question de distribution, plutôt que comme une obligation fiscale.

Et la date limite de septembre n’est qu’une échéance à faible taux d’intérêt. Le régime complet entrera en vigueur le 11 décembre 2027 :Des exigences de sécurité conçues dès la conception et de sécurité par défaut, ainsi qu’une engagement à maintenir les mises à jour de sécurité pour le transport pendant au moins cinq ans.Un marqueur de sécurité CE, ainsi que des évaluations de risques, sont nécessaires avant qu’un portefeuille ne puisse être vendu légalement dans l’UE. C’est là que la courbe coût s’incline réellement vers le haut. Derrière cela se trouve un système de sanctions en cas de non-report des informations requises, qui peut aller jusqu’à…15 millions d’euros, soit 2,5 % du chiffre d’affaires mondial annuel.— C’est un type de numéro qui influence la gravité avec laquelle une entreprise spécialisée dans les équipements matériels traite un programme de correction des vulnérabilités.

Lisez-le clairement : cette loi ne concerne pas la surveillance des pièces de monnaie, et elle ne signifie pas la fin de l’autoconservation des fonds. C’est l’UE qui décide que vendre quelqu’un une boîte permettant de stocker ses économies constitue une activité pour laquelle l’État sera responsable. De plus, la compétence en matière de sécurité d’une entreprise fait désormais partie de ses coûts. Que cela soit perçu comme un moyen de renforcer la confiance (des violations étant dénoncées et réparées), ou comme une pression sur les petites entreprises, le changement durable se trouve sous les titres des médias : le secteur des cryptomonnaies est traité comme une catégorie de produits à réguler, et non comme une zone sans lois. Les investisseurs qui avaient autrefois évalué l’autoconservation des fonds comme une situation chaotique doivent commencer à la considérer comme un marché complexe et régulé – où les gagnants sont ceux qui sont suffisamment solides pour respecter les règles.