Que demande le CRA lorsqu'une vulnérabilité est exploitée ?

L'article 14 du règlement sur la cyberrésilience oblige les fabricants de produits comportant des éléments numériques à notifier, en plusieurs étapes, les vulnérabilités activement exploitées de leurs produits et les incidents graves qui affectent la sécurité de ces produits. Pour les étapes, leurs délais et les destinataires des notifications, voir le règlement (UE) 2024/2847, article 14. Ces obligations de déclaration s'appliquent à partir du 11 septembre 2026. Elles concernent les fabricants, pas les entreprises qui se contentent d'utiliser les produits, même si l'incident propre d'un utilisateur peut devoir être notifié au titre de NIS2NIS2: deuxième directive européenne sur la sécurité des réseaux et de l'information. La loi européenne sur la cybersécurité (directive (UE) 2022/2555), qui fixe des obligations de sécurité et de notification d'incidents à de nombreuses entreprises. ou du RGPDRGPD: règlement général sur la protection des données. La loi européenne sur la protection des données (règlement (UE) 2016/679)..

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 35 questions sur Délais de notificationTous les thèmes