Signalement des vulnérabilités au titre du règlement de l’UE sur la cyberrésilience

Quand un signalement est requis

Le déclencheur n’est ni la catégorie du produit, ni le score CVSS, ni la simple existence d’une vulnérabilité. L’article 14 demande si le fabricant a eu connaissance d’un événement à signaler concernant un produit comportant des éléments numériques.

D’autres vulnérabilités, cybermenaces, quasi-accidents et incidents de moindre impact peuvent rester pertinents pour le traitement des vulnérabilités ou le signalement volontaire. Ils ne déclenchent pas automatiquement l’obligation de signalement prévue à l’article 14.

Vulnérabilité activement exploitée

« vulnérabilité activement exploitée », une vulnérabilité pour laquelle il existe des preuves fiables qu’un acteur malveillant l’a exploitée dans un système sans l’autorisation du propriétaire du système ;

Règlement (UE) 2024/2847, article 3, point 42

La définition comporte trois éléments. Il faut une vulnérabilité, des preuves fiables de son exploitation, et une exploitation malveillante non autorisée. Une voie d’exploitation théorique ou le résultat d’un outil d’analyse ne suffit pas à lui seul.

Une vulnérabilité de type zero-day peut être à signaler, mais uniquement si le fabricant dispose de preuves fiables de son exploitation par un acteur malveillant. Un signalement de bug bounty de bonne foi ou une découverte en laboratoire sans preuve d’exploitation malveillante antérieure ne relève pas du déclencheur obligatoire de l’article 14, même si un signalement volontaire reste possible.

La prise de connaissance fiable peut résulter de plusieurs voies :

• un client ou un partenaire signale une compromission et fournit des preuves de l’exploitation de la vulnérabilité du produit ;
• une autorité publique, un chercheur en sécurité ou un rapport de renseignement sur les menaces identifie une exploitation du produit ;
• la télémétrie, la surveillance ou l’enquête du fabricant lui-même fournit des preuves d’exploitation.

La vulnérabilité doit également être présente dans le produit comportant des éléments numériques. Si un composant intégré présente une vulnérabilité qui ne peut pas être exploitée dans le produit du fabricant, elle ne devient pas une vulnérabilité activement exploitée de ce produit au seul motif que le composant est concerné ailleurs.

Incident grave affectant la sécurité du produit

Un incident grave doit également concerner le produit. Un incident informatique général dans l’entreprise ne suffit pas à lui seul. L’incident doit affecter la sécurité du produit comportant des éléments numériques.

Selon l’article 14, un incident est grave dans l’un ou l’autre des cas suivants :

• il affecte négativement, ou peut affecter négativement, la capacité du produit à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou fonctions sensibles ou importantes ;
• il a entraîné ou peut entraîner l’introduction ou l’exécution d’un code malveillant dans le produit ou dans les systèmes d’information et de réseau d’un utilisateur.

24 heures, 72 heures et rapport final

L’article 14 prévoit des signalements par étapes. Le premier signalement constitue une alerte précoce et ne doit pas nécessairement être un dossier technique complet. Les étapes suivantes ajoutent les informations disponibles au fur et à mesure que le fabricant enquête sur l’événement et en atténue les effets.

1. Alerte précoce : sans retard injustifié et dans les 24 heures suivant la prise de connaissance par le fabricant.
2. Notification principale : sans retard injustifié et dans les 72 heures suivant la prise de connaissance, sauf si les informations pertinentes ont déjà été fournies.
3. Rapport final concernant une vulnérabilité activement exploitée : au plus tard 14 jours après la mise à disposition d’une mesure corrective ou d’atténuation.
4. Rapport final concernant un incident grave : dans le mois suivant la notification de l’incident sous 72 heures.

Les délais de 24 et 72 heures courent à partir de la prise de connaissance de l’événement à signaler. Il ne s’agit pas de délais d’attente : les notifications doivent être transmises sans retard injustifié. Les délais des rapports finaux ont des points de départ différents : la disponibilité d’une mesure corrective ou d’atténuation pour une vulnérabilité, et la transmission de la notification d’incident pour un incident grave.

Plateforme unique de signalement

Afin de simplifier les obligations de signalement des fabricants, l’ENISA met en place une plateforme unique de signalement pour les notifications visées à l’article 14, paragraphes 1 et 3, et à l’article 15, paragraphes 1 et 2. L’ENISA gère et maintient au quotidien cette plateforme unique de signalement. Son architecture permet aux États membres et à l’ENISA de mettre en place leurs propres points de réception électroniques des notifications.

Règlement (UE) 2024/2847, article 16, paragraphe 1

Les notifications prévues à l’article 14 sont transmises par la plateforme unique de signalement. L’ENISA a lancé sa capacité opérationnelle initiale le 11 septembre 2026 ; la plateforme est désormais disponible pour les signalements obligatoires.

Préparation au signalement

Pour transmettre leurs signalements à temps, les fabricants ont besoin d’une voie de signalement via la SRP, d’un CSIRT coordinateur, d’informations sur les États membres où le produit est fourni et de données produit internes accessibles. La page consacrée à la préparation au signalement explique ces préparatifs.

Consultez Préparation au signalement au titre de l’article 14 une fois les règles de déclenchement clarifiées.

Cas limites