Quels cas sont concernés
L'obligation concerne les fabricants de produits comportant des éléments numériques qui relèvent du Cyber Resilience Act. Elle vise les vulnérabilités activement exploitées et les incidents graves affectant la sécurité des produits. Le seul fait d'exploiter un site d'entreprise ne fait pas automatiquement de son exploitant un fabricant soumis à cette obligation.
Commencez par identifier le produit, votre rôle et l'événement réel. Un résultat de scanner ne prouve pas une exploitation active. Pour décider, distinguez observations, faits établis et questions ouvertes. [1] [2]
Le délai commence à la prise de connaissance
Les périodes de 24 et 72 heures ont le même point de départ. Consignez-le avec le fuseau horaire et les éléments motivant l'évaluation. Ajoutez les nouvelles informations au même dossier avec leur propre horodatage. [1] [5]
- 00
Prise de connaissance du cas à signaler
- 24 h
Alerte précoce · sous 24 heures
À compter de la prise de connaissance.
- 72 h
Notification · sous 72 heures
Également dès la prise de connaissance, pas après l'alerte précoce.
Rapport final : vulnérabilité activement exploitée
Sous 14 jours après la disponibilité d'une mesure corrective ou d'atténuation.
Rapport final : incident de sécurité grave
Dans le mois suivant la notification à 72 heures.
Chronologie simplifiée. Signaler sans retard injustifié ; les délais indiqués sont des limites maximales. Le rapport final a un point de départ distinct selon le type de cas.
Attribuer les responsabilités de signalement
Les notifications passent par la Single Reporting Platform (SRP) d'ENISA vers le CSIRT coordinateur et, en principe, ENISA. Les représentants désignés doivent disposer d'un compte EU Login personnel avec authentification multifacteur.
Prévoyez un responsable et un remplaçant. Préparez EU Login et les modalités d'accès. ENISA recommande actuellement de lancer l'inscription et la validation du fabricant sur la SRP seulement lorsqu'un signalement est nécessaire. Consultez les instructions officielles à jour avant utilisation. [3] [4]
Conserver un dossier unique
Notre recommandation pratique : réunissez produit et versions concernées, heure de prise de connaissance, preuves techniques, conséquences, mesures déjà prises et questions ouvertes. Attribuez à chaque prochaine action un responsable et une échéance.
Le remplaçant pourra ainsi distinguer les faits établis des points encore examinés. Conservez également les notifications telles qu'elles ont été envoyées et leurs horaires. Les compléments restent traçables sans transformer rétrospectivement une première hypothèse en certitude.
Point actuel : vérifier le compteur de la plateforme
La FAQ ENISA du 3 octobre 2026 décrit une particularité de la SRP : le compteur de 72 heures affiche actuellement une échéance 48 heures après l'envoi de l'alerte précoce. Il peut donc indiquer un retard avant que 72 heures se soient écoulées depuis la prise de connaissance.
Suivez aussi l'échéance applicable en interne. L'affichage ne remplace pas l'analyse des délais légaux. ENISA prévoit de modifier le calcul ; pour un cas réel, vérifiez la documentation alors en vigueur. [4]
Repérer les lacunes par une courte simulation
Parcourez un cas fictif en interne, sans envoyer de notification à une autorité. Qui reçoit le signalement initial, évalue les produits concernés, décide et assure la relève hors des horaires habituels ? Vérifiez que le remplaçant retrouve le dossier.
Terminez par une courte liste d'améliorations concrètes : accès manquant, remplacement incertain, liste de produits ancienne ou décision non documentée. Traitez ces points avant le prochain cas réel.
Une checklist pour préparer le signalement CRA
Utilisez ce tableau pour la préparation interne : attribuez chaque point ouvert, consignez la preuve et fixez une date de revue. Il décrit le niveau de préparation ; ce n’est ni une notification à l’ENISA ni une liste exhaustive des obligations légales.
Simulez une passation avec une référence de dossier fictive. Indiquez où le suppléant retrouve le dernier état du dossier interne. Conservez les pièces dans un espace à accès restreint et mentionnez leur référence dans le tableau. N’y saisissez ni identifiants secrets ni données personnelles brutes.
Faites défiler le tableau horizontalement.
| Domaine | Décision à préparer | Preuve de passation |
|---|---|---|
| Périmètre | Quels produits et quel rôle de fabricant sont concernés ? | Liste des produits examinée et décision |
| Prise de connaissance | Qui consigne la date, le fuseau et le fondement de l’évaluation ? | Chronologie traçable |
| Responsabilité | Qui décide, qui notifie et qui remplace ? | Rôles confirmés et suppléant disponible |
| Suivi | Qui actualise les constats et les prochaines échéances ? | État du dossier et passation acceptée |