CRA : signaler une vulnérabilité exploitée en 24 heures, et préparer le SBOM de 2027

Les délais de l'article 14

Le délai court à partir du moment où le fabricant a connaissance de l'exploitation ou de l'incident. Le règlement distingue deux types d'événements.

La notification à 72 heures décrit la nature générale de la vulnérabilité ou de l'incident, l'évaluation initiale, et les mesures correctives prises ou que les utilisateurs peuvent prendre. Le rapport final précise la gravité, l'impact, et la mesure corrective ou la mise à jour de sécurité. Le fabricant doit aussi informer les utilisateurs concernés et, si nécessaire, leur indiquer les mesures à prendre (article 14, paragraphe 8).

Qu'est-ce qu'une vulnérabilité « activement exploitée » ?

L'article 3 la définit comme une vulnérabilité pour laquelle il existe des éléments fiables montrant qu'un acteur malveillant l'a exploitée dans un système sans l'autorisation de son propriétaire. Une faille découverte en interne, ou signalée par un chercheur sans trace d'exploitation, relève de votre gestion des vulnérabilités, pas de l'article 14. C'est la décision la plus délicate : désignez à l'avance qui la prend.

À qui signaler : plateforme ENISA et CERT-FR

Le signalement se fait une seule fois, sur la plateforme unique de signalement opérée par l'ENISA et ouverte le 11 septembre 2026. Il est adressé au CSIRT désigné comme coordinateur, celui de l'État membre de votre établissement principal dans l'Union, et transmis en même temps à l'ENISA. Le CSIRT coordinateur le partage ensuite avec les CSIRT des autres États membres où le produit est disponible.

En France, l'ANSSI est le CSIRT national au titre du CRA et assure la réception et la coordination via le CERT-FR. Si vous n'êtes pas établi dans l'Union, l'article 14, paragraphe 7, fixe un ordre de rattachement, en commençant par l'État membre de votre mandataire.

Créez votre compte sur la plateforme avant d'en avoir besoin.

Qui est concerné

Le fabricant

Est fabricant celui qui conçoit ou fabrique un produit comportant des éléments numériques, ou le fait concevoir ou fabriquer, et le commercialise sous son nom ou sa marque, à titre onéreux ou gratuit. Un importateur ou un distributeur qui met un produit sur le marché sous sa propre marque, ou qui le modifie substantiellement, devient fabricant.

Le règlement couvre les logiciels installés, les applications mobiles et de bureau, les firmwares et les objets connectés. Le SaaS pur n'est pas en tant que tel un produit au sens du CRA ; en revanche, une solution de traitement de données à distance nécessaire au fonctionnement d'un produit, comme le back-end cloud d'un objet connecté, en fait partie.

Les produits déjà sur le marché

Pour les produits mis sur le marché avant le 11 décembre 2027, les exigences du règlement ne s'appliquent qu'en cas de modification substantielle (article 69, paragraphe 2). Mais le paragraphe 3 fait exception pour l'article 14 : l'obligation de signalement vaut pour tous les produits, y compris ceux vendus avant cette date. Une ancienne version d'un firmware encore en service est donc concernée dès aujourd'hui.

Ce qui s'applique le 11 décembre 2027

L'article 71 fixe l'application générale du règlement au 11 décembre 2027. À cette date, tout produit mis sur le marché devra satisfaire aux exigences essentielles de l'annexe I et porter le marquage CE.

• Sécurité dès la conception (annexe I, partie I) : absence de vulnérabilité exploitable connue à la mise sur le marché, configuration sécurisée par défaut, mises à jour de sécurité, automatiques par défaut quand c'est pertinent, avec possibilité de les refuser.
• SBOM (annexe I, partie II, point 1) : identifier et documenter les composants du produit, notamment par une nomenclature logicielle dans un format couramment utilisé et lisible par machine, couvrant au moins les dépendances de premier niveau.
• Correction sans délai (point 2), avec des mises à jour de sécurité livrées séparément des mises à jour fonctionnelles quand c'est techniquement possible.
• Tests réguliers (point 3), divulgation des vulnérabilités corrigées une fois la mise à jour disponible (point 4), et politique de divulgation coordonnée (point 5).
• Adresse de contact publique pour le signalement des vulnérabilités (point 6).
• Diffusion sécurisée et gratuite des mises à jour, avec un avis expliquant les actions à mener (points 7 et 8).
• Période de support d'au moins cinq ans, sauf si la durée d'utilisation attendue du produit est plus courte (article 13, paragraphe 8).
• Documentation technique, évaluation de la conformité et marquage CE. Pour les produits importants ou critiques des annexes III et IV, l'évaluation peut exiger un organisme notifié.

Le règlement n'impose pas de publier le SBOM. Il fait partie de la documentation technique, à fournir à l'autorité de surveillance du marché sur demande motivée.

Les sanctions prévues

L'article 64 fixe des plafonds, que chaque État membre met en œuvre dans son régime de sanctions :

• jusqu'à 15 000 000 € ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, pour le non-respect des exigences essentielles de l'annexe I et des obligations des articles 13 et 14, donc du signalement ;
• jusqu'à 10 000 000 € ou 2 % pour d'autres obligations des opérateurs économiques ;
• jusqu'à 5 000 000 € ou 1 % pour des informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités.

Les micro et petites entreprises ne peuvent pas recevoir d'amende pour le seul dépassement du délai de 24 heures de l'alerte précoce (article 64, paragraphe 10). Elles restent tenues de signaler. En France, l'ANFR est l'autorité de surveillance du marché pour les produits numériques ; le détail du régime national de sanctions est à vérifier au moment où vous lisez ces lignes.

Une procédure de signalement en 24 heures

Le délai inclut la qualification : la procédure doit être écrite et répétée avant le premier vrai cas.

1. H+0 : réception et horodatage. Toute information sur une exploitation possible, qu'elle vienne d'un client, d'un chercheur, d'un avis de sécurité ou de votre veille, ouvre un ticket horodaté. C'est le point de départ défendable du délai.
2. H+2 : identification des versions touchées. Le SBOM archivé de chaque version livrée permet de savoir en quelques minutes quels produits et quelles versions embarquent le composant en cause.
3. H+6 : qualification. La personne désignée décide si les éléments montrent une exploitation active. La décision et ses motifs sont consignés, y compris quand elle est négative.
4. H+12 : rédaction de l'alerte précoce. Un modèle prérempli : produit, versions, nature de la faille, États membres où le produit est disponible.
5. Avant H+24 : envoi sur la plateforme de l'ENISA. Puis préparation de la notification à 72 heures et de l'information des utilisateurs.

Deux conditions font la différence : une astreinte capable de décider le week-end, et un exercice à blanc chronométré au moins une fois par an.

Le pipeline SBOM, concrètement

Les deux formats les plus utilisés sont CycloneDX, normalisé par l'Ecma sous la référence ECMA-424, et SPDX, normalisé sous la référence ISO/IEC 5962. L'un comme l'autre répond à l'exigence d'un format couramment utilisé et lisible par machine. Le principe : un SBOM généré et archivé à chaque version livrée, puis surveillé en continu.

# Génération du SBOM d'une image ou d'un répertoire (Syft)
syft ghcr.io/acme/produit:2.4.1 -o cyclonedx-json=sbom-2.4.1.cdx.json

# Analyse des vulnérabilités connues à partir du SBOM (Grype ou Trivy)
grype sbom:./sbom-2.4.1.cdx.json --fail-on high
trivy sbom ./sbom-2.4.1.cdx.json

• Archivage par version. Le SBOM est publié comme artefact de la release et conservé aussi longtemps que la version est en circulation, pas seulement pendant la période de support.
• Surveillance continue. Un outil comme OWASP Dependency-Track réanalyse les SBOM archivés à chaque nouvelle vulnérabilité publiée, y compris pour les versions anciennes.
• Signal d'exploitation. Le catalogue KEV de la CISA et la base européenne des vulnérabilités de l'ENISA (EUVD) aident à repérer les failles signalées comme exploitées. Ce sont des indices, pas la qualification juridique, qui reste la vôtre.

Si vous vendez aussi un service à des banques ou à des assureurs, les mêmes exigences de preuve existent côté DORA : voir notre guide sur le questionnaire DORA fournisseur et celui sur le plan de sortie et la réversibilité.

Reprisa met en place la chaîne technique et les procédures. Ce n'est ni un organisme notifié ni un cabinet d'avocats.

Questions fréquentes

Sources

À lire aussi