Rapport de vulnérabilité dans les 24 heures (Article 14 de la CRA)

• Regulation (EU) 2024/2847 — Cyber Resilience Act, Article 14
• Directive (EU) 2022/2555 — NIS2, for entities also in its scope
• Regulation (EU) 2016/679 — GDPR Article 33, where personal data is affected

Qui doit le désigner

Chaque fabricant d'un produit avec des éléments numériques mis sur le marché de l'UE, à partir du 11 septembre 2026, quelle que soit sa taille ou son secteur. Le devoir incombe au fabricant, et non à l'importateur ou au distributeur, mais un fabricant en dehors de l'Union s'acquittera normalement de cette obligation par l'intermédiaire de son représentant autorisé ou d'un bureau agissant selon ses instructions. Les gestionnaires de logiciels open-source ont un devoir de signalement plus léger et distinct.

Seuils et exemptions

Pas de seuil de taille. Ce qui déclenche l'obligation est factuel : une vulnérabilité dans votre produit qui est activement exploitée, ou un incident grave ayant un impact sur la sécurité du produit. 'Activement exploitée' signifie qu'il existe des preuves fiables que quelqu'un a exécuté du code ou affecté le produit sans autorisation. La suspicion n'est pas le déclencheur, mais la norme est la prise de conscience des preuves, et non la confirmation de l'ensemble du tableau.

Ce qui doit figurer sur l’étiquette

Pas d'obligation d'étiquetage. Ce qui doit être publié est un point de contact unique pour signaler les vulnérabilités, facile à trouver sur votre site web, ainsi qu'une politique de divulgation coordonnée des vulnérabilités décrivant comment les rapports sont reçus, triés et répondus.

Champs des marketplaces

Non applicable en tant que champ de marché. Cela apparaît plutôt dans les appels d'offres d'entreprise et les questionnaires de sécurité, où les acheteurs demandent désormais le point de contact pour les vulnérabilités, la politique de divulgation et des preuves d'un processus de signalement avant de signer.

Documents à conserver

Une procédure interne de gestion définissant qui déclare la prise de conscience, qui rédige, qui approuve et qui archive, avec un adjoint nommé pour les heures hors bureau. Un registre des vulnérabilités avec des horodatages pour chaque étape. La politique de divulgation coordonnée des vulnérabilités. Preuves de la mesure corrective et de la date à laquelle elle est devenue disponible. Enregistrements des notifications aux utilisateurs, puisque l'Article 14 exige également d'informer les utilisateurs concernés sur l'incident et, si nécessaire, sur les mesures correctives qu'ils doivent appliquer.

Normes et essais

Non applicable. Ce qui est examiné après coup est la chronologie : quand le fabricant a pris connaissance, quand l'alerte précoce a été déposée, et si les délais ont été respectés.

Exigences linguistiques

Les rapports sont soumis par le biais de la plateforme de signalement unique, qui accepte l'anglais. Les communications avec un CSIRT national peuvent être effectuées dans la langue de cet État membre, et les notifications aux utilisateurs doivent être dans la langue des utilisateurs concernés.

À partir de quand

Trois délais, tous courant à partir de la prise de conscience plutôt qu'à partir de la confirmation. Une alerte précoce dans les 24 heures, indiquant qu'une vulnérabilité activement exploitée ou un incident grave existe, si d'autres États membres sont affectés, et — même sans détail complet — suffisamment pour que le CSIRT puisse agir. Une notification de vulnérabilité ou d'incident dans les 72 heures, avec des informations générales sur le produit, la nature de l'exploitation et toutes les mesures correctives prises ou conseillées. Un rapport final dans les 14 jours suivant la disponibilité d'une mesure corrective, ou dans un mois suivant la notification de 72 heures pour un incident grave, décrivant la vulnérabilité, sa gravité, l'exploitation et la correction.

Durée de conservation

Le registre des vulnérabilités, les notifications déposées et leurs horodatages, pour la durée de la période de support au minimum. C'est la preuve qui décide d'une affaire d'application, car la question sera de savoir quand vous avez su.

En cas de manquement

Jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial total pour violation des obligations du fabricant, qui incluent l'Article 14. L'exposition est inhabituelle en ce sens qu'elle ne dépend pas du fait que la vulnérabilité elle-même soit de votre faute : une dépendance que vous n'avez pas écrite, exploitée dans la nature, déclenche tout de même le compte à rebours de 24 heures. Les autorités peuvent également ordonner le retrait du produit tant que le problème n'est pas résolu.

Qui contrôle

Le CSIRT désigné comme coordinateur dans l'État membre de votre établissement principal, ou, si vous n'en avez pas dans l'Union, celui désigné pour votre représentant autorisé. L'ENISA reçoit les notifications en parallèle par le biais de la plateforme de signalement unique. Les autorités de surveillance du marché appliquent.

Où se situe la limite

Cette obligation s'applique plus d'un an avant le reste de la CRA, et cet écart est ce que la plupart des fabricants manquent. Elle coexiste avec le reporting NIS2, qui a des délais similaires mais un déclencheur différent — un incident affectant votre service en tant qu'entité, plutôt qu'une vulnérabilité dans un produit que vous vendez — et avec la notification de violation de l'Article 33 du RGPD lorsque des données personnelles sont impliquées. Un événement peut nécessiter les trois, à trois autorités différentes, sur trois bases juridiques différentes.

Les questions qu’on nous pose

Qui décide si une vulnérabilité est activement exploitée ?

Vous le faites, sur la base des preuves dont vous disposez. La voie sûre est de déposer l'alerte précoce et de l'affiner dans la notification de 72 heures. Déposer en retard parce que vous étiez encore en train de confirmer est le mode d'échec que les autorités ont signalé qu'elles n'accepteraient pas.

Que se passe-t-il si nous en prenons connaissance par un chercheur un samedi ?

Le compte à rebours commence à partir de la prise de conscience, et non à partir du prochain jour ouvrable. C'est pourquoi la procédure nécessite un adjoint nommé et un chemin hors des heures de bureau : les 24 heures sont des heures calendaires.

Le signalement nous expose-t-il à des responsabilités ?

Les rapports vont aux CSIRT et à l'ENISA, pas au public, et le Règlement limite leur utilisation. Ce qui crée une exposition n'est pas le signalement : une vulnérabilité exploitée non signalée qui devient ensuite publique est à la fois une infraction et une preuve de celle-ci.

Nous utilisons un composant tiers avec la faille — est-ce toujours notre rapport ?

Oui, si le produit que vous avez mis sur le marché est affecté. Vous devrez peut-être également notifier le mainteneur du composant, mais cela ne vous décharge pas de votre propre devoir.