Préparation au signalement au titre de l’article 14 du CRA

Se préparer avant un signalement

Avant qu’un incident ne survienne, le fabricant doit savoir quels produits relèvent du champ d’application, qui peut transmettre les signalements, quel CSIRT coordinateur les reçoit et dans quels États membres les produits ont été mis à disposition.

CSIRT coordinateur

La notification est transmise au point de notification électronique du CSIRT désigné comme coordinateur de l’État membre où le fabricant a son établissement principal dans l’Union et doit être accessible simultanément à l’ENISA.

Règlement (UE) 2024/2847, article 14, paragraphe 7

Pour un fabricant établi dans l’UE, l’établissement principal se situe dans l’État membre où sont principalement prises les décisions de cybersécurité concernant le produit. Si cela ne peut être déterminé, il s’agit de l’État membre où se trouve l’établissement du fabricant dans l’Union qui compte le plus grand nombre d’employés.

Pour un fabricant qui n’a pas d’établissement principal dans l’Union, l’article 14, paragraphe 7, impose de déterminer l’État membre du CSIRT coordinateur selon l’ordre ci-dessous, à partir des informations dont dispose le fabricant :

1. L’État membre où est établi le mandataire agissant pour le plus grand nombre de produits de ce fabricant.
2. L’État membre où est établi l’importateur qui met sur le marché le plus grand nombre de produits de ce fabricant.
3. L’État membre où est établi le distributeur qui met à disposition le plus grand nombre de produits de ce fabricant.
4. L’État membre où se trouve le plus grand nombre d’utilisateurs des produits de ce fabricant.

Produits fournis par État membre

L’alerte précoce dans les 24 heures demande d’indiquer les États membres où, à la connaissance du fabricant, le produit concerné a été mis à disposition. La SRP transmet également les informations aux autres CSIRT des États membres où le produit est disponible.

• ventes directes et canaux de distribution dans l’UE ;
• places de marché, boutiques d’applications et canaux de téléchargement utilisés par les utilisateurs de l’UE ;
• importateurs et distributeurs qui mettent le produit sur le marché ou le mettent à disposition dans certains États membres ;
• versions du produit, versions de micrologiciel, fonctions dépendant du cloud ou variantes de modèle ayant une incidence sur le signalement.

Préparer les données du signalement

L’ENISA décrit la SRP comme un point d’entrée unique. Le fabricant transmet une seule fois le signalement, puis la plateforme l’achemine vers le CSIRT coordinateur et l’ENISA. Le signalement dépend néanmoins de la disponibilité des données internes sur le produit et la sécurité.

• qui est autorisé à transmettre la notification ;
• quel produit, quelle version, quel composant ou quelle fonction de service est concerné ;
• si l’événement est considéré comme une vulnérabilité activement exploitée ou un incident grave ;
• ce qui est connu, ce qui fait encore l’objet d’une enquête et quelles mesures d’atténuation sont disponibles ;
• quels utilisateurs ou États membres pourraient être concernés ;
• comment le fabricant informera les utilisateurs concernés lorsque l’article 14 l’exige.

Reconnaître les événements à signaler

Les conditions qui rendent un signalement obligatoire sont expliquées dans Signalement des vulnérabilités. Le fabricant doit reconnaître ces événements suffisamment tôt pour respecter les délais de 24 et 72 heures.