24 heures pour notifier : qui doit participer à la décision interne

À compter du 11 septembre 2026, les fabricants devront signaler les vulnérabilités activement exploitées à un CSIRT compétent et, simultanément, à l’ENISA dans les 24 heures suivant leur prise de connaissance. Ce délai court à partir de la prise de connaissance, et non du moment où une décision interne est prise quant à l’opportunité de signaler. Les organisations qui ne clarifient les responsabilités, les interlocuteurs et les critères de tri qu’une fois l’incident survenu perdent des heures précieuses. L’obligation de signalement prévue à l’article 14 du règlement sur la cyber-résilience ne fonctionne que si la chaîne de décision est déjà en place en amont.

Que faut-il exactement signaler dans les 24 heures ?

Le fabricant transmet une alerte précoce concernant la vulnérabilité activement exploitée, en indiquant au minimum les États membres concernés, simultanément au CSIRT compétent et à l’ENISA.

Le délai court à compter de la prise de connaissance et exige d’agir sans retard injustifié, et en tout état de cause dans un maximum de 24 heures. La disposition applicable est l’article 14 du règlement sur la cyber-résilience, qui prévoit un signalement via la plateforme de signalement unique, de sorte que le CSIRT et l’ENISA y accèdent en même temps.

Ce premier signalement reste délibérément bref : il identifie la vulnérabilité et les États concernés, rien de plus. Les organisations qui ne clarifient qu’à ce stade qui est habilité à signaler et quelles informations sont admissibles ont déjà manqué le délai.

Quel CSIRT est compétent et quel est le rôle de l’ENISA ?

Le CSIRT compétent est celui de l’État membre dans lequel se trouve l’établissement principal du fabricant, en Allemagne par exemple le BSI ; l’ENISA reçoit le même signalement en parallèle via la plateforme commune.

Lorsqu’un fabricant n’a pas d’établissement principal dans l’Union européenne, un ordre de priorité légal s’applique : d’abord l’État membre du mandataire, puis celui de l’importateur, puis celui du distributeur, et enfin l’État comptant le plus grand nombre d’utilisateurs. Cette cascade, issue de l’article 14, paragraphe 7, ne peut pas être improvisée une fois l’incident survenu ; elle doit être examinée et documentée en amont.

Une incertitude comparable sur son propre classement est déjà visible dans le retard d’enregistrement au titre de NIS2, où les entreprises ne clarifient que tardivement leur propre champ d’application. Sous le régime du règlement sur la cyber-résilience, la brièveté du délai rend ce problème encore plus pressant.

Pourquoi la chaîne de décision doit-elle être établie avant la survenance d’un incident ?

Parce que le délai de 24 heures court à compter de la prise de connaissance et ne laisse aucun temps pour des clarifications organisationnelles ultérieures, la désignation du CSIRT, les interlocuteurs et le processus de validation doivent être établis à l’avance.

Avant le 11 septembre 2026, un CSIRT compétent doit être déterminé en fonction du lieu de l’établissement principal, et un interlocuteur principal et un interlocuteur suppléant doivent être désignés nominativement, avec une règle de remplacement pour les congés et les week-ends. Ce travail préparatoire ne concerne pas seulement la direction juridique, mais aussi l’unité qui détecte la première une vulnérabilité activement exploitée, par exemple un centre opérationnel de sécurité.

Le retard observé sur d’autres obligations du CRA, par exemple autour de la nomenclature logicielle, montre que ce type de travail préparatoire ne commence souvent que tardivement dans l’ensemble du secteur. Les organisations qui ne clarifient la validation d’un signalement qu’une fois l’incident survenu perdent un temps que le délai ne permet pas.

Que se passe-t-il après l’alerte précoce ?

Dans un délai de 72 heures, le fabricant transmet un rapport de suivi précisant les versions de produits concernées, le type de vulnérabilité et les mesures disponibles ; un rapport final suit ultérieurement.

Le rapport final est dû dans les 14 jours suivant la mise à disposition d’une mesure corrective pour une vulnérabilité activement exploitée, ou dans un délai d’un mois en cas d’incident de sécurité grave. Le CSIRT coordinateur ne demande un rapport intermédiaire que sur requête ; il ne s’agit pas d’une obligation standard.

L’article 14, paragraphe 8, oblige en outre le fabricant à informer les utilisateurs concernés de la vulnérabilité ; s’il ne le fait pas, les CSIRT peuvent procéder eux-mêmes à cette information. Cette notification aux utilisateurs requiert elle aussi une validation propre, qui doit être prévue dans la chaîne de décision.

Qui est exempté de l’obligation de signalement ?

Les micro et petites entreprises restent soumises à l’obligation de signalement, mais n’encourent aucune amende si elles manquent le délai de 24 heures ; la recherche en sécurité menée de bonne foi, sans intention malveillante, ne relève pas du tout de l’obligation de signalement.

Ces exemptions ne changent rien à la tâche organisationnelle : même une petite entreprise doit savoir quel CSIRT contacter et qui valide le signalement en interne. L’amende est écartée, le délai ne l’est pas.

Un article académique décrit la gouvernance des vulnérabilités comme le levier central de cette réglementation hybride, dans laquelle des exigences juridiquement contraignantes sont mises en œuvre par la corégulation et l’autorégulation interne des entreprises, coordonnées au niveau de l’Union européenne par l’ENISA et les CSIRT.

Que faut-il concrètement avoir clarifié au 11 septembre 2026 ?

Les entreprises relevant du règlement sur la cyber-résilience devraient établir par écrit, avant cette date, la désignation du CSIRT, les interlocuteurs et la validation interne du signalement dans les 24 heures.

Une première étape vérifiable : l’unité responsable de la sécurité des produits détermine le CSIRT compétent d’ici au 11 septembre 2026, sur la base de l’établissement principal ou, à défaut d’établissement dans l’Union européenne, de la cascade mandataire, importateur, distributeur et nombre d’utilisateurs, et le consigne par écrit. Parallèlement, un interlocuteur principal et un interlocuteur suppléant sont désignés nominativement, avec une règle de remplacement, et intégrés à l’organisation de signalement existante pour les incidents de sécurité.

Les délais de signalement de l’OFCS en Suisse montrent également que les délais de signalement courts ne constituent pas un cas isolé. Les organisations qui documentent proprement, une fois pour toutes, leur propre chaîne de décision sont préparées aux deux régimes.