Ce qu'il faut préparer avant d'ouvrir la plateforme ENISA
Les éléments à réunir avant une première notification au titre de l'article 14, avec la référence derrière chacun.
Hier, l’ENISA a annoncé le lancement de la plateforme unique de notification (ENISA, 11 septembre 2026). Le même jour, The Register écrivait que le compte à rebours de 24 heures démarrait (11 septembre 2026). Ce matin, le cabinet Hogan Lovells Cadwalader publie une note sur les obligations de notification qui s’appliquent et sur la plateforme en ligne (12 septembre 2026).
La presse dit quand. Dans une équipe de deux personnes, la question suivante est plus terre à terre. Le jour où ça tombe, qu’est-ce que je tape ?
Ce que je ne sais pas
Je n’ai pas envoyé de notification réelle. Je ne connais pas les champs exacts du formulaire de la plateforme. Ce qui suit vient du texte de l’article 14, avec la référence à chaque fois. Regardez le formulaire le jour venu.
Le point de départ du délai
L’article 14 vise deux situations. Une vulnérabilité de votre produit activement exploitée (paragraphe 1). Un incident grave ayant un impact sur la sécurité du produit (paragraphe 3).
Dans les deux cas, alerte précoce sous 24 heures et notification sous 72 heures. Le compte à rebours démarre quand vous en avez connaissance, pas quand une autorité vous écrit.
Premier élément à préparer : un endroit où noter l’heure. Date, heure, qui a reçu l’information, par quel canal. Cette ligne commande tout le reste du calendrier.
Les destinataires
Deux destinataires. Le CSIRT désigné comme coordinateur dans votre État membre, et l’ENISA. La plateforme unique de l’ENISA sert à ça depuis hier (article 16).
À préparer : le nom de votre CSIRT coordinateur, écrit quelque part, avant d’en avoir besoin. Le chercher pendant les 24 heures coûte cher en temps.
Ce que vous devez pouvoir dire du produit
Il vous faut le nom du produit, les versions touchées, la première version concernée et le rôle du composant en cause.
Un inventaire de vos dépendances aide à répondre vite. La SBOM couvrant au moins les dépendances de premier niveau est exigée à partir du 11 décembre 2027 (annexe I, partie II, point 1). Vous pouvez vous en servir bien avant, pour savoir quelles versions embarquent la bibliothèque concernée.
La qualification
« Activement exploitée » a une définition : des éléments fiables indiquant qu’un acteur malveillant a exploité la vulnérabilité dans un système sans l’autorisation du propriétaire (article 3, point 42). Une CVE publiée dans une dépendance ne remplit pas cette condition à elle seule.
L’incident grave a sa propre définition (article 14, paragraphe 5). Il affecte ou peut affecter la capacité du produit à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou de fonctions sensibles. Il couvre aussi l’introduction ou l’exécution de code malveillant dans le produit ou chez un utilisateur.
Si vous hésitez sur la qualification, la notification volontaire existe (article 15).
Les utilisateurs
Le paragraphe 8 est souvent oublié. Après connaissance d’une vulnérabilité activement exploitée ou d’un incident grave, le fabricant informe sans retard injustifié les utilisateurs concernés, et si besoin tous les utilisateurs. Il indique si nécessaire les mesures d’atténuation et correctives applicables. Dans un format structuré, lisible par machine, si possible.
Le règlement ne fixe pas de modèle de message. À préparer : la liste de diffusion, et qui a le droit de l’utiliser un mercredi matin.
Un mardi à 9 h 12
Deux personnes vendent une application de bureau sous leur nom. Elles sont fabricant au sens de l’article 3, point 13.
Un client envoie un journal qui montre l’exploitation d’une faille de leur module d’import sur son poste. Le mail est ouvert à 9 h 12. La personne qui l’ouvre note l’heure dans un fichier partagé.
À 9 h 20, le second associé regarde les éléments. Exploitation constatée, sans autorisation du propriétaire du système. Article 3, point 42, rempli.
Le délai a démarré à 9 h 12, pas à 9 h 20. Alerte précoce avant mercredi 9 h 12. Notification avant vendredi 9 h 12. Rapport final dans les 14 jours suivant la mise à disposition du correctif.
Ce qui attend décembre 2027
Documentation technique (annexe VII), déclaration UE de conformité (annexe V), marquage CE, période d’assistance, exigences essentielles de l’annexe I. Tout ça arrive le 11 décembre 2027, avec l’article 64. Les amendes s’appliquent à partir de décembre 2027.
Deux précisions utiles. Pour les micro et petites entreprises, aucune amende n’est prévue pour le seul dépassement du délai de 24 heures de l’alerte précoce (article 64, paragraphe 10, point a). L’obligation reste due. Et pour un produit déjà sur le marché avant le 11 décembre 2027, l’article 14 s’applique quand même (article 69).
Avant de préparer le formulaire
Tout ce qui précède suppose que vous êtes fabricant. Cette question se règle d’abord, et elle se règle par écrit.
Le test de périmètre pose 8 questions et rend une évaluation écrite et indicative, avec les références d’articles : https://crakit.eu/fr/champ-d-application/
Ce n’est pas un conseil juridique.
Ce n’est pas un conseil juridique.