Signaler une vulnérabilité exploitée en 24 heures
Mis à jour le 27 octobre 2026
Depuis le 11 septembre 2026, un fabricant qui apprend qu’une faille de son produit est activement exploitée doit le signaler dans les 24 heures. Voici le circuit, ce que contient chaque envoi, et des modèles prêts à remplir.
Quand faut-il signaler ?
L’article 14 du CRA vise deux situations :
- Une vulnérabilité activement exploitée : il existe des preuves fiables qu’un attaquant a exploité la faille sur un système, sans l’accord de son propriétaire. Une faille simplement découverte, ou corrigée avant toute exploitation, ne se signale pas à ce titre.
- Un incident grave ayant un impact sur la sécurité du produit : il compromet ou peut compromettre la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données ou des fonctions du produit, ou permet d’y introduire du code malveillant.
Le délai court à partir du moment où le fabricant a connaissance de l’exploitation ou de l’incident. Une alerte reçue un vendredi soir doit donc pouvoir partir le samedi.
Les trois étapes
| Étape | Délai | Contenu attendu |
|---|---|---|
| Alerte précoce | 24 heures | La faille exploitée (ou l’incident, en précisant s’il semble causé par un acte malveillant) et, si vous le savez, les États membres où le produit est diffusé. |
| Notification | 72 heures | Informations générales sur le produit, nature de l’exploitation et de la faille, mesures correctives prises et mesures que les utilisateurs peuvent appliquer, degré de sensibilité des informations transmises. |
| Rapport final | 14 jours après la mise à disposition d’un correctif (vulnérabilité) · 1 mois après la notification (incident) | Description de la faille, gravité et impact, informations sur l’attaquant si elles sont connues, détail du correctif. Pour un incident : cause, type de menace, mesures appliquées et en cours. |
Le circuit, pas à pas
- 1. Qualifier. Confirmer l’exploitation (source KEV, CERT, client, journaux) et identifier les produits et versions touchés grâce au SBOM.
- 2. Envoyer l’alerte précoce sur la plateforme unique de signalement de l’ENISA. Un seul envoi suffit : il parvient en même temps au CSIRT coordinateur de votre pays (en France, le CERT-FR de l’ANSSI ; en Allemagne, le BSI) et à l’ENISA.
- 3. Compléter sous 72 heures avec la notification : produit, versions, nature de la faille, contournements.
- 4. Informer les utilisateurs concernés, sans retard, de la faille ou de l’incident et des mesures à prendre, si besoin dans un format structuré et lisible par machine.
- 5. Corriger, publier la mise à jour de sécurité, puis envoyer le rapport final dans les 14 jours.
Le CSIRT peut demander un rapport intermédiaire. Gardez une trace datée de chaque étape : c’est ce que l’autorité demandera en cas de contrôle.
Modèles à télécharger
Trois modèles en texte brut, à remplir puis à recopier dans le formulaire de la plateforme de signalement. Ils reprennent les champs demandés par l’article 14, pour une vulnérabilité exploitée et pour un incident grave.
- Alerte précoce (24 h) Télécharger · .txt
- Notification (72 h) Télécharger · .txt
- Rapport final Télécharger · .txt
Avec CheckOps
Quand une faille du catalogue KEV ou marquée exploitée dans l’EUVD touche une version de vos produits, CheckOps ouvre un signalement CRA avec ses trois échéances, préremplit les champs (produit, versions, composant, CVE, correctif disponible) et vous prévient avant chaque délai. Les textes s’exportent pour la plateforme de l’ENISA et l’historique reste dans le dossier technique.
Questions fréquentes
Une petite entreprise peut-elle être sanctionnée si elle dépasse les 24 heures ?
Non pour la seule alerte précoce : le CRA exclut les sanctions contre les microentreprises et petites entreprises pour ce délai. Les délais de 72 heures et du rapport final, et l’obligation de signaler, s’appliquent à elles.
Faut-il signaler une faille découverte en interne et jamais exploitée ?
Non au titre de l’article 14. Elle se corrige dans le cadre de la gestion des vulnérabilités ; vous pouvez aussi la déclarer volontairement au CSIRT.
Source : règlement (UE) 2024/2847, Journal officiel de l’Union européenne du 20 novembre 2024. Ce guide résume le texte et ne constitue pas un avis juridique. Lire le règlement sur EUR-Lex