Préparer une notification CRA au titre de l’article 14 avant d’ouvrir la plateforme de l’ENISA

Deux des trois délais commencent au même moment : lorsque vous prenez connaissance de l’événement. Le troisième commence plus tard, selon un déclencheur différent pour chaque type de dossier. Gardez à portée de main le texte du règlement et les orientations actuelles de l’ENISA : ce sont ces sources, et non une liste de contrôle, qui définissent l’obligation.

Le calcul des délais dépend d’un horodatage. Consignez-le dès qu’une personne chargée d’agir reçoit les informations : qui a appris quoi, de quelle source et ce qui était précisément connu à ce moment-là. Faites-le même si le dossier s’avère ensuite non soumis à notification ; l’enregistrement en conserve la justification.

Dans Attesly, un dossier article 14 commence par ce moment de prise de connaissance. Les échéances de l’alerte précoce et de la notification en découlent. Le délai du rapport final apparaît lorsqu’une mesure corrective devient disponible pour une vulnérabilité exploitée, ou lorsque la notification a été soumise pour un incident grave.

• Responsable du dossier — tient la chronologie, rassemble les informations et veille à l’envoi de chaque étape dans les délais.
• Responsable technique — décrit l’exploitation ou l’incident, les produits et versions concernés, les mesures d’atténuation disponibles et le correctif.
• Conformité produit — détermine les produits et États membres concernés, ainsi que le CSIRT coordinateur.
• Direction — valide les informations soumises, y compris une éventuelle demande de report de diffusion.
• Communication — définit les informations à transmettre aux utilisateurs et le moment de leur transmission.

Prévoyez un suppléant pour chaque rôle. Un délai de 24 heures n’attend pas un retour de congé.

• Le produit concerné et les États membres dans lesquels il est mis à disposition.
• Le CSIRT coordinateur du dossier.
• Pour un incident grave : l’existence d’un soupçon d’actes illicites ou malveillants à l’origine de l’incident.
• Pour la notification : la nature générale de l’exploitation et de la vulnérabilité, ou la nature de l’incident avec une première évaluation ; les mesures correctives ou d’atténuation prises ; les mesures que peuvent prendre les utilisateurs ; votre appréciation de la sensibilité des informations.
• Si nécessaire : une demande au CSIRT de report de diffusion au titre de l’article 16, paragraphe 2, avec les motifs liés à la cybersécurité.
• Après chaque envoi : l’heure de soumission et la référence de la plateforme.

L’article 14, paragraphes 2 et 4, définit le contenu de chaque étape. Comparez cette liste au texte en vigueur avant de vous y fier.

Exemple fictif. Northwind Robotics et son NW-200 Edge Controller sont le fabricant et le produit de démonstration inventés pour Attesly.

1. Lundi, 9 h 40 : un chercheur signale, via la page publique de Northwind, l’exploitation d’une vulnérabilité dans un composant du micrologiciel NW-200. Le responsable de la sécurité produit confirme le signalement et ouvre un dossier article 14 avec une prise de connaissance à 9 h 40.
2. Le dossier indique une alerte précoce à remettre mardi à 9 h 40 et une notification à remettre jeudi à 9 h 40. Le délai du rapport final n’a pas encore commencé.
3. L’équipe renseigne les États membres où le NW-200 est vendu et le CSIRT coordinateur, puis copie la fiche préparée dans la plateforme de l’ENISA. L’alerte précoce est envoyée lundi après-midi ; l’heure et la référence de la plateforme sont consignées.
4. Mercredi, le contenu de la notification est complet : nature de l’exploitation, mesures prises, actions conseillées aux utilisateurs et sensibilité des informations. La notification est soumise et enregistrée de la même manière.
5. La semaine suivante, une mise à jour du micrologiciel est disponible. La saisie de cette date déclenche le délai du rapport final : 14 jours.

À chaque étape, le dossier indique ce qui était connu, à quel moment, qui a fait quoi et quelle est la prochaine échéance.

• Attesly permet de : conserver le dossier avec la prise de connaissance et les échéances calculées, renseigner les champs de chaque étape, préparer une fiche ENISA prête à copier, consigner les activités et, si les membres les activent, envoyer des rappels pour les étapes à échéance.
• Attesly ne permet pas de : soumettre automatiquement des informations à l’ENISA ou à un CSIRT, décider si un événement doit être notifié, certifier des produits ou fournir un conseil juridique.

Consultez les offres et tarifs, prenez rendez-vous ou découvrez comment tenir à jour les preuves produit et SBOM entre deux incidents.