Le signalement à l'ENISA et aux CSIRT
C’est l’obligation qui est arrivée en premier, le 11 septembre 2026, et celle dont le non-respect est le plus visible : les délais sont courts, publics et vérifiables.
Les deux déclencheurs
| Déclencheur | Définition |
|---|---|
| Vulnérabilité activement exploitée contenue dans le produit | Vulnérabilité pour laquelle il existe une preuve fiable qu’un acteur malveillant l’a exploitée dans un système, sans l’autorisation du propriétaire de ce système |
| Incident grave ayant une incidence sur la sécurité du produit | Incident affectant négativement, ou susceptible d’affecter, la capacité du produit à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données ou fonctions |
Ce que « activement exploitée » veut dire
- L’existence d’un exploit de démonstration public ne suffit pas, à elle seule, à caractériser une exploitation active.
- À l’inverse, une exploitation constatée chez un seul client suffit.
- Un score de gravité élevé n’est pas un critère : une vulnérabilité critique jamais exploitée ne déclenche pas l’obligation, une vulnérabilité de gravité moyenne exploitée la déclenche.
Le point délicat est la preuve fiable : indicateurs de compromission concordants, journaux, analyse forensique, signalement crédible d’un client ou d’un CERT. La décision doit être documentée, y compris lorsqu’elle conclut à l’absence d’exploitation active.
Le canal
Les signalements sont adressés via la plateforme de signalement unique (single reporting platform, SRP) mise en place et opérée par l’ENISA. Ils sont routés vers le CSIRT désigné comme coordinateur de l’État membre concerné et vers l’ENISA.
Le fabricant doit donc, en amont : s’enregistrer sur la plateforme, disposer de comptes nominatifs actifs pour les personnes d’astreinte, et avoir testé l’envoi.
Les trois temps — vulnérabilité activement exploitée
| Délai | Livrable | Contenu |
|---|---|---|
| ≤ 24 heures après avoir eu connaissance | Alerte précoce | Indication des États membres où le produit a été mis à disposition ; le cas échéant, caractère malveillant présumé |
| ≤ 72 heures | Notification de vulnérabilité | Informations générales sur le produit, nature de la vulnérabilité, mesures correctives ou d’atténuation prises et celles que les utilisateurs peuvent appliquer |
| ≤ 14 jours après la mise à disposition d’une mesure corrective | Rapport final | Description de la vulnérabilité, gravité et impact, informations sur l’acteur malveillant si disponibles, détails du correctif |
Les trois temps — incident grave
| Délai | Livrable | Contenu |
|---|---|---|
| ≤ 24 heures | Alerte précoce | Indication du caractère malveillant présumé de l’incident |
| ≤ 72 heures | Notification d’incident | Évaluation de l’incident, gravité, impact, indicateurs de compromission lorsqu’ils sont disponibles |
| ≤ 1 mois | Rapport final | Description détaillée, gravité et impact, type de menace ou cause profonde probable, mesures d’atténuation appliquées et en cours |
L’information des utilisateurs
Indépendamment du signalement aux autorités, le fabricant informe sans délai injustifié les utilisateurs impactés — et, le cas échéant, l’ensemble des utilisateurs — de la vulnérabilité ou de l’incident, ainsi que des mesures correctives ou d’atténuation qu’ils peuvent appliquer.
Cette information n’attend pas le rapport final. Elle est distincte de la publication de l’avis de sécurité au titre de l’annexe I, partie II, point 4, qui intervient une fois le correctif disponible.
Le signalement volontaire
Le règlement prévoit la possibilité de signaler volontairement des vulnérabilités, des incidents, des quasi-incidents ou des cybermenaces, même en dehors de toute obligation. Un signalement volontaire n’entraîne aucune obligation supplémentaire pour son auteur.
Conséquence pratique sur votre règle de décision. En cas de doute sérieux sur la qualification, signaler est la position par défaut : le coût d’un signalement volontaire est nul en droit, celui d’un signalement manqué ne l’est pas.
Confidentialité et diffusion différée
Les informations signalées sont protégées : les autorités et l’ENISA les traitent en préservant les secrets d’affaires et les droits de propriété intellectuelle, et ne les utilisent qu’aux fins prévues.
Un CSIRT coordinateur peut par ailleurs différer la diffusion d’une notification à d’autres autorités, pour une durée limitée et sur la base de motifs de risque cyber justifiés — typiquement lorsque la diffusion élargirait le risque avant qu’un correctif ne soit disponible.
Le champ temporel élargi
C’est le point le plus souvent manqué :
Les obligations de signalement de l’article 14 s’appliquent également aux produits mis sur le marché avant le 11 décembre 2027, par dérogation au régime transitoire général.
Votre parc historique est donc concerné depuis le 11 septembre 2026, alors même qu’il n’a ni marquage CE au titre du CRA, ni dossier technique. Cela suppose de savoir, pour chaque produit encore déployé chez des clients : quelles versions circulent, quels composants elles contiennent, et comment joindre les utilisateurs.
Ne pas confondre
Le tableau comparatif CRA / NIS 2 / RGPD figure dans Articulation avec les autres réglementations. Un même événement peut déclencher les trois notifications, vers trois destinataires distincts.
Le déroulé opérationnel — cellule, rôles, gabarits, astreinte, exercices — est décrit dans Procédure 24 h / 72 h / 14 j ; la décision juridique de signaler est traitée dans Obligations de signalement.