Qnap annonce avoir achevé la première phase de son initiative de conformité à la loi européenne sur la cyber-résilience (CRA) et adapte la sécurité de ses produits ainsi que son reporting d’incidents. L’entreprise lance également une Security Reporting Platform, destinée à servir de canal central pour signaler les incidents graves et les vulnérabilités exploitées. Qnap entend ainsi lancer les procédures légales sous 24 heures.
Qnap réaffirme avoir franchi ce premier jalon du CRA alors que le reporting obligatoire des incidents au titre du CRA entrera en vigueur le 11 septembre 2026. L’entreprise lie cette étape à une approche plus large des mesures de cybersécurité et des processus de signalement pour l’ensemble de son portefeuille.
Cette annonce s’inscrit dans une pression croissante sur les fournisseurs pour standardiser les processus de gestion des vulnérabilités et de reporting. Pour les organisations déployant des infrastructures de stockage et de réseau, cela peut peser directement sur l’analyse des risques, la gestion des correctifs et la conformité.
Ce que Qnap annonce précisément
Qnap indique avoir achevé avec succès la première phase de son initiative de conformité au CRA de l’UE. Concrètement, il s’agit de mesures de cybersécurité renforcées et de processus de signalement améliorés pour l’ensemble du portefeuille de produits, afin de soutenir une gestion des incidents conforme au CRA.
Selon Qnap, ces modifications répondent à l’obligation du CRA en matière de reporting d’incidents. L’entreprise place explicitement la sécurité dans le contexte des données d’entreprise et des charges de travail IA émergentes, où l’infrastructure de stockage et de réseau constitue une ligne de défense.
Plateforme de signalement, calendrier et portée des mesures
Dans le cadre de cette approche, Qnap lance une Security Reporting Platform. Via ce portail, les clients, les utilisateurs finaux et les chercheurs en sécurité peuvent signaler directement les vulnérabilités activement exploitées ou les incidents graves à la Product Security Incident Response Team (PSIRT) de Qnap.
Qnap précise que la plateforme sert de canal de signalement centralisé et conforme au CRA, et que l’entreprise souhaite lancer des procédures de réponse légales dans les 24 heures suivant un signalement. L’objectif est une analyse rapide des risques et la publication de conseils de sécurité et de correctifs pour limiter les risques pour les utilisateurs.
Selon Qnap, l’approche de sécurité et de reporting conforme au CRA s’applique à l’ensemble de la gamme. L’entreprise cite les systèmes de stockage ZFS d’entreprise, les NAS multimédias commerciaux, les appareils NAS Edge AI et les produits réseau tels que les routeurs et les commutateurs.
Conclusion et perspectives
Qnap lie également sa préparation au CRA à d’autres réglementations internationales, notamment la directive NIS2, et mentionne sa certification IEC 62443-4-1 pour le développement de produits sécurisés. Cette certification doit démontrer que l’entreprise applique un cadre de sécurité englobant l’ingénierie logicielle sécurisée et la conformité.
La prochaine étape consistera à affiner davantage l’architecture de cybersécurité et la gestion des vulnérabilités, tandis que les directives du CRA et les normes harmonisées continuent d’évoluer. Pour les équipes IT, cela signifie surtout que le signalement d’incidents et les cycles de correctifs font plus que jamais partie d’une conformité démontrable.