Une faille exploitée dans votre produit : 24 heures pour donner l'alerte

Après le rectificatif du 2 juillet 2025, l'article 69, paragraphe 3, vise les produits mis sur le marché avant le 11 décembre 2027. L'article 14 s'applique donc à ces produits depuis le 11 septembre 2026.

La Commission précise trois points dans ses lignes directrices du 27 juillet 2026. L'obligation naît de la prise de connaissance, à partir du 11 septembre 2026. Une nouvelle preuve d'exploitation apprise depuis cette date se signale, même pour une faille connue avant (point 217). Le signalement continue après la fin de la période d'assistance (point 210).

Pour un produit mis sur le marché avant le 11 décembre 2027, le fabricant signale. Il n'est pas tenu pour autant aux obligations de gestion des vulnérabilités de l'annexe I, partie II (point 210). La FAQ de la Commission dit la même chose à sa question 5.3.

Le règlement définit la vulnérabilité activement exploitée par des preuves fiables (article 3, point 42). Un acteur malveillant l'a exploitée dans un système, sans l'autorisation de son propriétaire.

Un incident ayant des répercussions sur la sécurité du produit est grave dans deux cas (article 14, paragraphe 5). Il entache, ou est susceptible d'entacher, la protection de données ou fonctions sensibles ou importantes. Ou il a conduit, ou est susceptible de conduire, à l'introduction ou à l'exécution d'un code malveillant.

Le considérant 68 écarte du signalement obligatoire les vulnérabilités découvertes sans intention malveillante, pour des essais, des enquêtes ou une divulgation de bonne foi. La FAQ de la Commission en donne deux exemples, à sa question 5.2 : le chercheur récompensé, et le laboratoire mandaté par le fabricant.

Pour une vulnérabilité d'un composant intégré, la FAQ de la Commission (question 5.4) et ses lignes directrices (point 218) retiennent la même règle. Exploitée dans le produit, elle est notifiée par son fabricant. Inexploitable ou non exploitée dans le produit, elle ne l'est pas à titre obligatoire.

Dans ce dernier cas, le fabricant devra, à partir du 11 décembre 2027, la signaler à celui qui maintient le composant (article 13, paragraphe 6). Le signalement volontaire de l'article 15 n'est pas encore ouvert sur la plateforme (FAQ de l'ENISA, question 27).

La notification et le rapport final sont dus « à moins que les informations pertinentes n'aient déjà été communiquées ». La notification précise, s'il y a lieu, la sensibilité que le fabricant attribue aux informations (article 14, paragraphes 2 et 4, points b)).

Le rapport final d'une vulnérabilité comprend au moins sa description, avec sa gravité et ses répercussions, et les informations disponibles sur l'acteur malveillant. Il précise aussi la mise à jour de sécurité ou les autres mesures correctives (article 14, paragraphe 2, point c)).

Le rapport final d'un incident grave comprend au moins une description détaillée, avec sa gravité et ses répercussions. Il indique aussi le type de menace ou la cause profonde probable. Il décrit enfin les mesures d'atténuation appliquées et en cours (article 14, paragraphe 4, point c)).

Le CSIRT qui reçoit la notification peut demander un rapport intermédiaire de situation (article 14, paragraphe 6). La Commission peut préciser le format des notifications par acte d'exécution (article 14, paragraphe 10) : aucun n'est adopté au 17 octobre 2026.

Le fabricant notifie simultanément au CSIRT désigné comme coordinateur et à l'ENISA, par la plateforme unique de signalement (article 14, paragraphes 1 et 3). La plateforme est établie et gérée par l'ENISA (article 16, paragraphe 1).

Le CSIRT destinataire diffuse sans retard la notification aux CSIRT des pays de mise à disposition indiqués par le fabricant (article 16, paragraphe 2). Il fournit aux autorités de surveillance du marché les informations dont elles ont besoin (article 16, paragraphe 3).

L'article 71, paragraphe 2 n'avance que l'article 14 : les articles 15 à 17 relèvent du 11 décembre 2027. La FAQ de l'ENISA décrit pourtant cette diffusion comme en place sur la plateforme depuis le 11 septembre 2026.

Dans des circonstances exceptionnelles, cette diffusion peut être retardée pour des motifs de cybersécurité. Le règlement délégué (UE) 2026/881, publié au Journal officiel le 20 avril 2026 et en vigueur, en fixe les conditions.

L'ENISA ajoute une vulnérabilité corrigée et connue du public à la base européenne en accord avec le fabricant (article 17, paragraphe 5). Sa FAQ indique qu'elle contacte le fabricant à cette fin (question 35).

L'article 17, paragraphe 4 prévoit que la seule notification n'expose pas son auteur à une responsabilité accrue. Il ne s'applique qu'à partir du 11 décembre 2027.

La liste des CSIRT coordinateurs publiée par l'ENISA, mise à jour le 10 septembre 2026, renvoie au CERT-FR pour la France.

Un fabricant sans établissement dans l'Union suit un ordre fixé par l'article 14, paragraphe 7. C'est d'abord l'État de son mandataire, puis celui de son importateur, puis celui de son distributeur, enfin celui où ses utilisateurs sont les plus nombreux.

Le fabricant informe les utilisateurs du produit touché et, s'il y a lieu, tous les utilisateurs (article 14, paragraphe 8). Il les informe aussi, si nécessaire, des mesures correctives ou d'atténuation qu'ils peuvent mettre en place.

Le texte ajoute une exigence de forme, « s'il y a lieu » : « un format structuré, lisible par machine pouvant être facilement traité automatiquement ».

Si le fabricant n'informe pas les utilisateurs en temps utile, les CSIRT coordinateurs peuvent le faire, s'ils le jugent proportionné et nécessaire.

Dès le 11 décembre 2027, pour un incident grave, le CSIRT coordinateur pourra aussi informer le public, ou l'exiger du fabricant (article 17, paragraphe 2).

Selon les lignes directrices de la Commission du 27 juillet 2026, l'information des utilisateurs s'applique de façon proportionnée. Elle n'impose pas une publication indiscriminée (points 220 et 221).

Le règlement est applicable à partir du 11 décembre 2027. Seuls l'article 14 et le chapitre IV, articles 35 à 51, s'appliquent plus tôt (article 71, paragraphe 2). L'article 64, qui fixe les amendes, relève donc du 11 décembre 2027.

Le règlement ne dit pas comment serait sanctionné un manquement à l'article 14 commis avant le 11 décembre 2027. Aucune source primaire ne le tranche au 17 octobre 2026.

Dès le 11 décembre 2027, les manquements aux articles 13 et 14 sont passibles de 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial. Le montant le plus élevé est retenu (article 64, paragraphe 2).

Une micro ou petite entreprise ne pourra pas recevoir d'amende administrative pour une alerte précoce tardive (article 64, paragraphe 10, point a)). Le rectificatif du 2 juillet 2025 fait porter cette dérogation sur les paragraphes 2 à 9, au lieu de 3 à 9. Sans lui, elle n'aurait pas couvert le paragraphe 2, qui porte les amendes de l'article 14.

Les catégories d'entreprises sont celles de la recommandation 2003/361/CE (article 3, point 19). Les effectifs et les montants d'une entreprise partenaire ou liée s'y ajoutent, en tout ou en partie. Une filiale de groupe peut donc ne pas être une petite entreprise.

L'ENISA indique tenir un service d'assistance, surtout pour les petites et moyennes entreprises, avec l'appui des CSIRT coordinateurs (FAQ de l'ENISA, question 19). L'article 17, paragraphe 6 en fera une obligation des CSIRT à partir du 11 décembre 2027.

L'adresse de contact pour le signalement des vulnérabilités est une exigence de l'annexe I, partie II, point 6. La politique de divulgation coordonnée des vulnérabilités figure à l'annexe I, partie II, point 5. Ces exigences s'appliquent le 11 décembre 2027.

L'ENISA conseille de créer à l'avance le compte EU Login, et de ne s'inscrire sur la plateforme qu'au moment d'un signalement. Elle le justifie par la charge de validation des CSIRT (FAQ de l'ENISA, question 9).

Chaque fabricant a un représentant principal et jusqu'à vingt suppléants. Le principal ne peut inviter un suppléant qu'une fois son rattachement validé. Les brouillons restent visibles de leur seul auteur.