Regulation (EU) 2024/2847
Liste de vérification : préparation au signalement CRA
Ce que les fabricants devraient avoir mis en place avant le 11 septembre 2026, date à laquelle les obligations de signalement de l’article 14 commencent. Vingt-quatre points auxquels vous devriez pouvoir répondre oui. Sans adresse e-mail, et utile que vous utilisiez Legalithm ou non.
Champ d’application
Les obligations de signalement se rattachent à un produit ; la première question est donc de savoir auxquels.
- Nous savons lesquels de nos produits sont des produits comportant des éléments numériques mis à disposition sur le marché de l’Union.
- Chacun de ces produits a un responsable nommément désigné.
- Nous savons si nous sommes le fabricant pour chacun, y compris lorsque nous mettons sur le marché sous notre propre nom un composant tiers.
Connaissance
Tous les délais de l’article 14 courent à partir de la connaissance, et la connaissance est une décision que quelqu’un doit pouvoir prendre.
- Nous avons défini qui détermine que l’organisation a eu connaissance.
- Cette personne est joignable en dehors des heures de travail et dispose d’un suppléant désigné.
- Nous comprenons que la connaissance n’est pas le même moment que la détection, la qualification juridique, ou l’exécution d’un outil d’analyse.
- Nous consignons le moment de la connaissance lorsqu’il survient, et non lorsque nous trouvons le temps de le noter.
Les 24 premières heures
L’alerte précoce est due dans les 24 heures suivant la connaissance, au CSIRT désigné comme coordinateur et à l’ENISA.
- Nous savons qui prépare l’alerte précoce.
- Nous savons ce que l’alerte précoce doit contenir, y compris les États membres où le produit a été mis à disposition.
- Nous savons où la notification est adressée et qui a accès pour la déposer.
- Nous pourrions le faire un vendredi soir, pas seulement un mardi matin.
Les 72 premières heures
La notification plus complète est due à 72 heures et requiert des informations que l’alerte précoce ne contenait pas.
- La responsabilité de l’investigation ultérieure est attribuée, et ce n’est pas nécessairement la même personne.
- Nous pouvons réunir la nature de l’exploitation, les mesures correctives ou d’atténuation prises, et ce que les utilisateurs peuvent faire.
- Nous savons qui décide du degré de sensibilité des informations notifiées.
Les rapports finaux
Les deux rapports finaux n’ont PAS le même déclencheur, et supposer le contraire est l’erreur la plus courante dans un plan.
- Vulnérabilité activement exploitée, article 14, paragraphe 2, point c) : au plus tard 14 jours après la MISE À DISPOSITION d’une mesure de correction ou d’atténuation.
- Incident grave, article 14, paragraphe 4, point c) : dans un délai d’un mois après la SOUMISSION de la notification de l’incident.
- Notre équipe sait qu’aucun des deux ne se calcule à partir du seul moment de la connaissance.
Preuves
Après coup, la question est de savoir ce que vous saviez et quand. Cela n’est démontrable que si c’était consigné à l’époque.
- Nous conservons le moment où nous avons eu connaissance, et qui l’a déterminé.
- Nous conservons ce qui était connu et ce qui manquait encore à chaque étape.
- Nous conservons les horodatages de soumission et toute référence qui nous est retournée.
- Ces enregistrements survivent au départ de la personne qui les a créés.
Exercice
Un plan que personne n’a exécuté est un document, pas une capacité.
- Nous avons déroulé un scénario de bout en bout avant le 11 septembre.
- Mardi, 10 h 15 : nous avons connaissance d’une vulnérabilité activement exploitée dans le produit X. Nous pouvons dire ce qui est dû, quand, et ce qui nous manque.
- Nous savons ce à quoi nous n’avons pas pu répondre, et nous l’avons corrigé.
Réaliser le dernier point
L’exercice « mardi 10 h 15 » peut être réalisé sur votre propre machine. Il calcule les délais à partir du moment où vous avez eu connaissance, n’écrit rien et ne nécessite aucun compte :
npx legalithm cra simulate \ --scenario exploited-vulnerability \ --became-aware-at 2026-09-15T10:15:00Z
Vérification de préparation dans le navigateurSession gratuite le 3 septembreTous les outils CRA