Article 14 du CRA : une procédure concrète pour les délais de 24 h et 72 h
Désignez un responsable et un suppléant avant l’incident. Consignez le moment de prise de connaissance, préparez les informations d’alerte et de notification, puis testez l’accès à la plateforme officielle.
Identifier le bon délai
Pour les fabricants, l’article 14 concerne les vulnérabilités activement exploitées et les incidents graves affectant la sécurité du produit. L’article 14 n’impose pas de notifier chaque vulnérabilité détectée par un scanner. Ces obligations s’appliquent depuis le 11 septembre 2026.
| Étape | Échéance |
|---|---|
| Alerte précoce | Sans retard injustifié, et sous 24 heures après prise de connaissance. |
| Notification | Sans retard injustifié, et sous 72 heures après prise de connaissance. |
| Rapport final de vulnérabilité | Au plus tard 14 jours après disponibilité d’une mesure corrective. |
| Rapport final d’incident grave | Dans le mois suivant la notification de 72 heures. |
Préparer le canal de notification
La plateforme unique de notification du CRA, opérée par ENISA, est le canal officiel. Consultez ses instructions d’inscription et de notification pour confirmer le CSIRT compétent et les rôles de votre organisation.
Précisez qui maintient les accès, qui soumet et qui remplace le déclarant. Conservez les instructions d’accès dans un système interne approuvé, jamais dans une politique publique.
Le dossier opérationnel minimal
- Produit, versions affectées et responsable produit.
- Horodatage de prise de connaissance, fuseau et éléments justificatifs.
- Évaluation de l’exploitation ou de la gravité, avec les incertitudes.
- Responsable de décision, relecteur et suppléant.
- Informations nécessaires au premier envoi et faits encore manquants.
- Accusé de réception et calendrier des mises à jour et du rapport final.
Répéter les passages de relais
Simulez un signalement client plausible reçu hors horaires habituels. Demandez à l’équipe d’identifier le produit, de joindre le décideur et de retrouver le compte de notification.
Mesurez les délais. Relevez les blocages : boîte inaccessible, suppléant absent, versions incertaines ou informations fournisseur manquantes. Affectez les corrections. Ne soumettez pas un incident fictif sur la plateforme officielle.
Relier notification et correction
La procédure doit pointer vers le ticket de remédiation et le plan d’information des utilisateurs. Mettez le dossier à jour et conservez l’historique des décisions.
Dotgrey Continent prépare le processus et les preuves avec votre équipe. Le fabricant reste responsable de ses obligations de notification et de conformité. Faites confirmer les questions juridiques complexes par un conseil qualifié.
Sources officielles et références
- European Commission — reporting obligations
- ENISA — Single Reporting Platform
- Regulation (EU) 2024/2847
Les workflows proposés sont des recommandations d’ingénierie de Dotgrey. Les textes officiels déterminent les obligations ; l’applicabilité se vérifie pour chaque produit.