Le 27 juillet 2026, la Commission européenne a publié de nouvelles lignes directrices destinées aux fabricants, éditeurs et entreprises qui mettent sur le marché des produits numériques. Cette actualité intervient à quelques semaines d’une première échéance contraignante du Cyber Resilience Act : à partir du 11 septembre 2026, le fabricant qui apprend qu’une vulnérabilité de son produit est activement exploitée, ou qu’un incident grave affecte sa sécurité, devra déclencher une procédure de signalement européenne. L’alerte initiale doit partir sous 24 heures. Une notification plus complète suit sous 72 heures, puis un rapport final doit être transmis selon un calendrier qui dépend de la nature de l’événement.

Cette obligation ne vise pas seulement les grands constructeurs d’objets connectés. Un éditeur de logiciel, une société qui commercialise une application installée localement, un fabricant industriel intégrant un composant numérique, un importateur ou un distributeur vendant sous sa propre marque peut entrer dans le dispositif. L’urgence est donc double : déterminer qui porte juridiquement la qualité de fabricant, puis organiser une chaîne de preuve capable de fonctionner un soir, un week-end ou pendant les congés. Une entreprise qui découvre une faille sans savoir qui décide, qui qualifie et qui notifie risque de perdre l’essentiel du délai avant même d’avoir commencé l’analyse technique.

I. Cyber Resilience Act 2026 : quelles entreprises doivent signaler une faille exploitée ?

A. Votre logiciel ou objet connecté est-il un produit à éléments numériques ?

Le Cyber Resilience Act est le nom usuel du règlement (UE) 2024/2847 du 23 octobre 2024. Son approche part du produit, et non de la taille de l’entreprise ou de son secteur. Il couvre, sous réserve d’exclusions précises, les logiciels et matériels dont l’utilisation prévue ou raisonnablement prévisible comporte une connexion logique ou physique, directe ou indirecte, à un appareil ou à un réseau. Un logiciel vendu séparément peut donc être concerné au même titre qu’une caméra connectée, un routeur, un jouet intelligent, une montre, un équipement industriel ou un dispositif domotique.

La première question pratique consiste à identifier ce que l’entreprise « met sur le marché ». Une application purement développée pour les besoins internes d’une société n’est pas analysée comme un produit commercialisé auprès de tiers. À l’inverse, une licence payante, un abonnement donnant accès à un logiciel qui dépend d’un traitement de données à distance, un boîtier livré avec un micrologiciel, ou une solution vendue avec une fonction distante essentielle peut entrer dans le champ. Le seul fait de qualifier commercialement l’offre de « service » ou de « SaaS » ne suffit pas à écarter le règlement : il faut examiner l’architecture et le rôle du traitement distant dans le fonctionnement du produit.

Le 27 juillet 2026, la Commission européenne a présenté ses nouvelles lignes directrices comme une aide à la qualification du périmètre, des modifications substantielles, des périodes d’assistance, du signalement et de l’évaluation des risques. Elles sont non contraignantes, mais elles donnent une lecture opérationnelle précieuse à quelques semaines de l’échéance. L’ANSSI confirme le calendrier français : les notifications de vulnérabilités activement exploitées et d’incidents graves passent, dès le 11 septembre 2026, par la plateforme unique de signalement administrée par l’ENISA.

Une cartographie utile ne doit pas se limiter au catalogue commercial. Elle doit relier, pour chaque produit :

• sa dénomination exacte, sa version et ses composants ;
• son mode de distribution et les États dans lesquels il est disponible ;
• la société qui appose son nom ou sa marque ;
• les composants libres ou fournis par des tiers ;
• les services distants nécessaires à son fonctionnement ;
• la personne qui décide des mises à jour de sécurité ;
• la durée d’assistance promise aux clients ;
• les importateurs, distributeurs et revendeurs concernés ;
• le canal par lequel les chercheurs, clients ou partenaires peuvent signaler une faille.

Cette carte devient la première pièce du dossier de conformité. Elle évite qu’une alerte reçue sur un composant soit laissée sans propriétaire parce que les équipes produit, achats et sécurité pensent chacune que le fournisseur amont doit agir. Le fabricant juridique doit disposer d’un mécanisme lui permettant de comprendre si la vulnérabilité atteint son propre produit, si elle est activement exploitée et si elle déclenche l’article 14.

L’information fournie avant la vente doit également rester cohérente avec la réalité technique. L’article L. 111-1 du code de la consommation, vérifié dans sa version en vigueur, exige notamment l’information sur « les fonctionnalités, la compatibilité et l’interopérabilité du bien comportant des éléments numériques ». Une documentation qui promet des mises à jour, une compatibilité ou une sécurité déterminée peut ainsi devenir une référence dans le litige avec l’utilisateur. Elle doit être relue en même temps que la documentation CRA, les conditions générales et les engagements de support.

Pour les ventes aux consommateurs, l’article L. 217-3 du code de la consommation énonce que « Le vendeur délivre un bien conforme au contrat ». Le texte vise expressément les biens comportant des éléments numériques et organise la responsabilité du vendeur pour les défauts du contenu ou du service numérique fourni avec le bien. Une faille ne conduit pas automatiquement à une indemnisation : il faudra toujours caractériser le défaut, le dommage et le lien causal. Elle peut cependant ouvrir plusieurs fronts à la fois : contrôle du CRA, demande de correction, garantie de conformité, responsabilité contractuelle entre professionnels et, selon les faits, responsabilité extracontractuelle.

Certaines catégories sont exclues ou soumises à des règles sectorielles spécifiques, notamment plusieurs dispositifs médicaux, produits automobiles, équipements marins, produits aéronautiques et produits conçus exclusivement pour la sécurité nationale ou la défense. L’exclusion doit être documentée. Une simple mention « hors champ » dans un tableau ne suffit pas : il faut identifier le texte sectoriel applicable, la fonction couverte et la version du produit. Une entreprise qui fabrique plusieurs gammes peut avoir des produits exclus et d’autres pleinement soumis au CRA.

La qualification doit enfin intégrer les modifications. Une société qui reprend un produit existant, le commercialise sous sa marque ou lui apporte une modification substantielle peut supporter les obligations du fabricant. Le dossier doit donc conserver la version initiale, la description des changements, les décisions d’architecture, les tests et la date de mise sur le marché. Sans cette chronologie, l’entreprise aura du mal à expliquer pourquoi elle s’est considérée comme distributeur, importateur ou fabricant.

B. Qui doit notifier : fabricant, éditeur, importateur ou distributeur ?

L’article 14 du règlement place l’obligation de notification sur le fabricant. Ce mot ne désigne pas nécessairement l’usine ou le développeur qui a écrit chaque ligne de code. Il vise l’opérateur qui développe ou fait développer le produit et le commercialise sous son nom ou sa marque. Dans une chaîne complexe, l’éditeur, l’intégrateur, le fabricant matériel, l’importateur et le distributeur doivent donc répartir les tâches sans prétendre modifier par contrat la qualification imposée par le règlement.

Trois situations appellent une vigilance particulière.

La première est la marque blanche. Un distributeur achète une solution et la revend sous son propre nom. Il peut alors être traité comme fabricant et ne doit pas attendre que son fournisseur décide seul de la notification. Le contrat d’approvisionnement doit lui garantir l’accès immédiat aux données techniques : versions affectées, indicateurs de compromission, analyse de la vulnérabilité, correctifs, mesures d’atténuation et pays de distribution.

La deuxième est le composant tiers. Le produit final contient une bibliothèque libre, un micrologiciel ou un module fourni par une autre entreprise. Le fournisseur amont peut découvrir la faille en premier, mais le fabricant du produit final doit analyser son exposition et assumer ses propres obligations. Les clauses contractuelles doivent imposer une alerte rapide, sans attendre la publication d’un bulletin public, et prévoir un contact disponible en dehors des heures ouvrées.

La troisième est la modification substantielle. Un importateur ou un distributeur modifie un produit déjà commercialisé, notamment sa fonction, son architecture de sécurité ou son logiciel. Il doit vérifier si ce changement le fait basculer vers le régime du fabricant. Le procès-verbal de décision, la fiche de version et l’analyse de risque doivent être conservés. Une qualification improvisée après l’incident sera beaucoup moins crédible qu’un raisonnement daté, signé et associé au cycle de développement.

Les contrats restent essentiels entre professionnels. L’article 1103 du code civil rappelle, dans une formule courte, que « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » Le contrat peut organiser l’accès à l’information, l’assistance, les délais internes, les audits, les garanties et la répartition financière. Il ne peut pas neutraliser une obligation réglementaire ni empêcher une autorité d’agir. Une clause disant que « le fournisseur gère toutes les notifications » ne protège pas le fabricant si aucun mécanisme ne lui permet de contrôler que le signalement est exact et transmis dans le délai.

La responsabilité du prestataire informatique offre un repère utile. Dans un arrêt du 28 avril 2026, RG n° 24/01502, la cour d’appel de Reims a jugé, à propos d’une cyberattaque : « L’obligation de conseil de la société informatique (analyse des besoins, orientation vers la solution adaptée, alerte sur les risques) est une obligation de moyens renforcée. » La décision retient aussi l’importance de l’analyse des besoins et des mises en garde. Le CRA ne se confond pas avec cette responsabilité contractuelle, mais les deux régimes se rencontrent : le contrat doit préciser les besoins de sécurité, les rôles, les alertes attendues et les preuves de leur exécution.

Chaque entreprise concernée devrait désigner au minimum :

• un responsable de qualification juridique du produit ;
• un responsable de qualification technique de la faille ou de l’incident ;
• un décideur habilité à lancer la notification ;
• un suppléant disponible en cas d’absence ;
• un contact pour le CSIRT coordinateur et l’ENISA ;
• un responsable de la communication aux utilisateurs ;
• un gardien du dossier de preuve.

La matrice doit fixer des délais internes plus courts que les délais légaux. Une alerte reçue à 18 heures un vendredi ne peut pas attendre la réunion du lundi. Une cible réaliste consiste à faire remonter l’information au responsable sécurité dans l’heure, à réunir une cellule de qualification sous quatre heures et à prendre la décision de notifier suffisamment tôt pour vérifier le contenu avant l’échéance de 24 heures.

Pour une entreprise établie en France, le signalement transmis sur la plateforme européenne est dirigé vers le CSIRT coordinateur compétent, le CERT-FR de l’ANSSI, et vers l’ENISA selon les règles du règlement. L’Agence nationale des fréquences assure la surveillance du marché française, avec l’appui technique de l’ANSSI. Une entreprise située à Paris ou en Île-de-France n’a donc pas un guichet local différent, mais elle doit anticiper le contentieux commercial et la conservation de la preuve. En cas de conflit entre sociétés, le tribunal compétent dépendra des parties, du contrat et de la clause attributive de juridiction ; à Paris, le Tribunal des activités économiques peut notamment être saisi dans les conditions prévues par les règles de compétence.

II. Faille exploitée : que déclarer sous 24 heures et comment préparer la preuve ?

A. Quels délais respecter : 24 heures, 72 heures, 14 jours ou un mois ?

Le calendrier doit être lu à partir du moment où le fabricant a connaissance de l’événement, et non à partir du moment où l’analyse technique est terminée. Attendre une certitude absolue peut donc faire perdre le délai. L’entreprise doit distinguer deux catégories : la vulnérabilité activement exploitée contenue dans le produit et l’incident grave ayant des répercussions sur la sécurité du produit.

Pour une vulnérabilité activement exploitée, l’article 14 impose une première alerte sans retard injustifié et « au plus tard 24 heures après en avoir eu connaissance ». Cette alerte sert à prévenir rapidement. Elle n’exige pas que l’enquête soit achevée. Elle doit notamment permettre d’identifier l’événement et, lorsque l’information est disponible, les États membres où le produit a été mis à disposition.

Une notification de vulnérabilité plus complète doit suivre au plus tard sous 72 heures. Elle présente les informations générales disponibles sur le produit, la nature de l’exploitation et de la vulnérabilité, les mesures correctives ou d’atténuation déjà prises, celles que les utilisateurs peuvent appliquer et, si nécessaire, le degré de sensibilité des informations transmises. Après la mise à disposition d’une correction ou d’une mesure d’atténuation, un rapport final est attendu au plus tard dans les quatorze jours. Ce rapport décrit la vulnérabilité, sa gravité, ses conséquences, les informations disponibles sur l’acteur malveillant et la correction apportée.

Pour un incident grave ayant des répercussions sur la sécurité du produit, l’alerte initiale doit également partir sous 24 heures. La notification détaillée suit sous 72 heures. Le rapport final est alors transmis dans le mois suivant la notification détaillée. Il doit présenter l’incident, sa gravité, ses effets, la menace ou la cause profonde probable et les mesures d’atténuation appliquées ou en cours.

L’article 71 du règlement (UE) 2024/2847 fixe sans ambiguïté la date : « l’article 14 est applicable à partir du 11 septembre 2026 ». Les obligations générales de conformité du produit s’appliqueront pour l’essentiel plus tard, le 11 décembre 2027, mais cette différence ne doit pas conduire à différer la procédure de signalement. Dès septembre 2026, un produit déjà commercialisé peut déclencher une notification si les conditions de l’article 14 sont réunies.

Le premier travail consiste à définir ce qui déclenche le compteur. Les sources d’information peuvent être nombreuses :

• un chercheur en sécurité écrit à l’adresse de divulgation ;
• un client signale une exploitation constatée ;
• un fournisseur de composant publie un avis ;
• un centre de réponse aux incidents alerte l’entreprise ;
• les journaux techniques révèlent une attaque ;
• une plateforme de veille identifie un code d’exploitation actif ;
• une autorité ou un partenaire commercial contacte le fabricant.

Le registre d’incident doit dater la réception initiale, identifier l’auteur, conserver le message original et indiquer l’heure à laquelle l’information a atteint les personnes compétentes. Il faut éviter toute reconstruction manuelle a posteriori. Les tickets, courriels, journaux, captures, métadonnées et comptes rendus doivent être exportés dans un espace protégé contre les modifications non tracées.

L’entreprise doit ensuite distinguer une vulnérabilité simplement théorique d’une vulnérabilité activement exploitée. La qualification dépend des faits disponibles : preuve d’exécution de code, exploitation observée, indicateurs techniques, campagne connue, compromission d’un client, publication d’un code utilisé dans des attaques ou informations fiables reçues d’une autorité. Le rapport de qualification doit expliquer les éléments retenus et les incertitudes. Si l’analyse évolue après l’alerte initiale, la notification détaillée sert précisément à compléter ou corriger les premières informations.

L’incident grave répond à des critères propres. Le règlement vise notamment l’atteinte, ou le risque d’atteinte, à la capacité du produit de protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou fonctions sensibles ou importantes, ainsi que l’introduction ou l’exécution possible d’un code malveillant. L’analyse ne doit donc pas se réduire au nombre de clients affectés. Une atteinte ciblée à une fonction essentielle peut être grave même si elle n’a touché qu’un nombre limité d’utilisateurs au moment de la découverte.

La procédure interne peut être structurée en cinq temps.

Premier temps : préserver. L’équipe gèle les journaux utiles, crée une copie, documente l’horodatage et limite les accès. Elle évite de modifier le système avant d’avoir conservé ce qui permettra de comprendre l’exploitation.

Deuxième temps : qualifier. Le produit, la version, le composant, le vecteur d’attaque, l’exploitation active et les effets possibles sont analysés. Le juriste vérifie le rôle de la société et le champ du règlement.

Troisième temps : notifier. L’alerte de 24 heures est préparée avec les informations disponibles. Les inconnues sont identifiées comme telles. Une notification prudente et exacte vaut mieux qu’un document tardif prétendant avoir tout résolu.

Quatrième temps : corriger et informer. Les équipes décident d’une mesure d’atténuation, d’un correctif et du message destiné aux utilisateurs. Les instructions doivent être compréhensibles et adaptées à la gravité.

Cinquième temps : clôturer et apprendre. Le rapport final retrace la cause, la correction, les versions, les utilisateurs informés et les mesures prises pour éviter la répétition.

L’article L. 217-4 du code de la consommation offre un point de contrôle complémentaire lorsque le produit est vendu à un consommateur : le bien doit notamment correspondre aux fonctionnalités prévues et « Il est mis à jour conformément au contrat. » Le plan de correction CRA doit donc être confronté aux promesses contractuelles de mise à jour, de compatibilité et d’assistance.

Le coût du retard peut être considérable. L’article 64 du Cyber Resilience Act prévoit, pour certains manquements dont ceux à l’article 14, une amende pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. La mesure effectivement prononcée dépendra des faits et des règles applicables, mais le plafond justifie une procédure testée avant septembre.

B. Quelles pièces conserver et quels recours en cas de défaut de sécurité ?

La conformité ne se prouve pas par une politique générale de cybersécurité non reliée au produit. Le dossier doit montrer ce qui s’est passé, qui a décidé, sur quelles informations et dans quel délai. Il doit aussi permettre de répondre aux clients, partenaires, assureurs, autorités et juges sans produire des versions contradictoires.

Pour chaque vulnérabilité ou incident, il faut conserver :

• le signalement initial dans son format d’origine ;
• l’horodatage et la chaîne de transmission interne ;
• l’identification exacte du produit, de la version et du composant ;
• les journaux techniques, indicateurs de compromission et résultats d’analyse ;
• la preuve de l’exploitation active ou les raisons pour lesquelles elle a été écartée ;
• les comptes rendus de la cellule de crise ;
• la qualification juridique du rôle de l’entreprise ;
• la copie des alertes et notifications envoyées ;
• les accusés de réception de la plateforme ;
• les versions successives du correctif ;
• les tests avant diffusion ;
• la liste des utilisateurs ou partenaires informés ;
• les messages d’assistance et les mesures d’atténuation proposées ;
• la décision de clôture et le rapport final ;
• les échanges avec les fournisseurs de composants ;
• la déclaration à l’assureur et les réserves contractuelles.

Une preuve utile est datée, attribuée et conservée de manière intègre. Les décisions prises oralement pendant une crise doivent être confirmées dans un compte rendu. Les exports doivent garder leur métadonnée d’origine. Les documents sensibles doivent être accessibles aux seules personnes autorisées, sans empêcher leur production ultérieure. La politique de conservation doit articuler le CRA, les obligations contractuelles, les règles de protection des données et la nécessité de préserver les droits de la défense.

La relation avec le client exige une stratégie distincte du signalement aux autorités. Pour un consommateur, la garantie légale de conformité peut conduire à une réparation, un remplacement, une réduction du prix ou une résolution. L’article L. 217-8 du code de la consommation prévoit exactement que « le consommateur a droit à la mise en conformité du bien par réparation ou remplacement ». Il autorise aussi, sous conditions, la suspension du paiement et n’exclut pas les dommages et intérêts.

La correction ne peut pas être indéfiniment repoussée. Selon l’article L. 217-10 du code de la consommation, « La mise en conformité du bien a lieu dans un délai raisonnable qui ne peut être supérieur à trente jours ». Ce délai de droit de la consommation ne remplace pas les 24 et 72 heures du CRA. Les deux calendriers répondent à des objets différents : l’un organise le signalement réglementaire, l’autre la mise en conformité du bien à l’égard du consommateur.

Le vendeur qui refuse la solution demandée doit pouvoir le justifier. L’article L. 217-12 du code de la consommation précise que « Tout refus par le vendeur […] est motivé par écrit ou sur support durable. » La réponse au client doit donc expliquer la solution retenue, les délais, les mesures temporaires et les raisons techniques ou économiques d’un éventuel refus, sans divulguer des informations qui faciliteraient l’exploitation de la faille.

Dans une relation entre entreprises, le contrat et le droit commun structurent les recours. L’article 1217 du code civil permet notamment de suspendre sa propre obligation, poursuivre l’exécution forcée, obtenir une réduction du prix, provoquer la résolution et « demander réparation des conséquences de l’inexécution ». Le client doit toutefois démontrer le manquement, le préjudice réparable et le lien causal. Le fabricant ou prestataire doit, de son côté, conserver les preuves de ses avertissements, de la collaboration demandée, des correctifs proposés et des limites acceptées.

L’indemnisation contractuelle repose notamment sur l’article 1231-1 du code civil, selon lequel le débiteur peut être condamné à des dommages et intérêts « à raison de l’inexécution de l’obligation » ou du retard, sauf force majeure établie. Une cyberattaque extérieure n’efface donc pas automatiquement la responsabilité. Le juge examinera les obligations souscrites, les mesures attendues, les alertes, la prévisibilité, les fautes respectives et le lien entre la faille et les pertes.

Lorsqu’un tiers qui n’est pas partie au contrat subit un dommage, l’article 1240 du code civil rappelle que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » L’application au cas concret dépend de la faute, du dommage et de la causalité. Le dossier technique CRA peut alors devenir une source majeure de preuve, aussi bien pour la victime que pour l’entreprise mise en cause.

Le fabricant doit également revoir ses contrats avec les fournisseurs et distributeurs. Les clauses utiles portent sur :

• l’alerte immédiate en cas de vulnérabilité ou d’exploitation ;
• l’accès aux informations techniques nécessaires à la notification ;
• la coopération sous 24 heures, y compris hors horaires ouvrés ;
• la fourniture et le test des correctifs ;
• l’identification des composants et versions affectés ;
• la prise en charge des coûts de rappel, d’assistance et d’investigation ;
• l’assurance cyber et responsabilité produits ;
• les audits et exercices de crise ;
• la conservation des journaux et des preuves ;
• les limites de responsabilité compatibles avec le droit applicable ;
• la coordination de la communication publique.

Une clause ne suffit pas si elle n’est jamais testée. Avant le 11 septembre, l’entreprise devrait organiser un exercice simulant une faille découverte un vendredi soir. Le scénario doit obliger les équipes à identifier le produit, joindre le fournisseur, qualifier l’exploitation, préserver les preuves, préparer l’alerte et obtenir la validation. Le test révèle rapidement les lacunes : contact absent, pouvoir de signature flou, journaux non accessibles, inventaire incomplet, dépendance à une personne en congé ou contrat ne prévoyant aucun délai de coopération.

L’entreprise doit aussi préparer le litige éventuel. Une expertise judiciaire peut être demandée avant tout procès lorsque la conservation ou l’établissement de la preuve le justifie. Une ordonnance du Tribunal des activités économiques de Paris du 3 juillet 2026, RG n° 2026013898, rendue après une cyberattaque, illustre l’intérêt d’une expertise portant sur les causes techniques, les mesures de sécurité, les mises à jour, les sauvegardes et le rôle des manquements allégués. Ce type de mesure ne préjuge pas la responsabilité au fond, mais il peut préserver les éléments qui disparaîtraient avec les corrections et remises en service.

Une checklist de dernière minute peut enfin être utilisée par la direction :

1. Tous les produits et versions commercialisés sont-ils cartographiés ?
2. La société sait-elle pour lesquels elle est fabricant juridique ?
3. L’adresse de signalement des vulnérabilités est-elle surveillée en continu ?
4. Le responsable et son suppléant peuvent-ils décider sous 24 heures ?
5. Les fournisseurs doivent-ils transmettre les informations sans délai ?
6. Les journaux nécessaires sont-ils conservés et exportables ?
7. Le modèle d’alerte de 24 heures est-il déjà préparé ?
8. Les équipes connaissent-elles la plateforme unique de signalement ?
9. Les messages aux clients sont-ils coordonnés avec le correctif ?
10. Les conditions générales et promesses de mise à jour sont-elles cohérentes ?
11. L’assureur doit-il être averti dans un délai contractuel plus court ?
12. Un exercice réel a-t-il été mené avec les équipes produit, sécurité, juridique et direction ?

Conclusion

Le 11 septembre 2026 ne marque pas l’application complète de toutes les exigences du Cyber Resilience Act. Il marque cependant le début d’une obligation immédiatement opérationnelle : signaler rapidement une vulnérabilité activement exploitée ou un incident grave affectant la sécurité d’un produit à éléments numériques. Le fabricant doit pouvoir déclencher une alerte sous 24 heures, compléter son analyse sous 72 heures, corriger, informer et remettre un rapport final dans le délai approprié.

La meilleure protection repose sur trois documents reliés entre eux : une cartographie des produits et des rôles, une procédure de crise chronométrée, et un dossier de preuve intègre. Les contrats avec les éditeurs, fabricants, importateurs et distributeurs doivent soutenir cette organisation. Ils ne peuvent pas remplacer la décision juridique ni le signalement réglementaire. Un test avant septembre permet de vérifier que la procédure fonctionne réellement quand l’information est incomplète et que le temps manque.

Besoin d’un avis rapide sur votre dossier.

Consultation téléphonique en 48 heures avec un avocat du cabinet.
Analyse du champ du Cyber Resilience Act, des contrats, du signalement et des recours après une faille ou une cyberattaque.

Téléphone : 06 46 60 58 22
Écrire au cabinet : formulaire de contact
Découvrir notre accompagnement en droit des affaires.

Envoyez vos pièces. Recevez une stratégie.

Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.

Appeler maintenant →Écrire au cabinet

Première analyse offerte

Réponse personnelle sous 24 h

100 % confidentiel

Jusqu’à 1 Go de pièces