# Que demande le CRA lorsqu'une vulnérabilité est exploitée ?

L'article 14 du règlement sur la cyberrésilience oblige les fabricants de produits comportant des éléments numériques à notifier, en plusieurs étapes, les vulnérabilités activement exploitées de leurs produits et les incidents graves qui affectent la sécurité de ces produits. Pour les étapes, leurs délais et les destinataires des notifications, voir le règlement (UE) 2024/2847, article 14. Ces obligations de déclaration s'appliquent à partir du 11 septembre 2026. Elles concernent les fabricants, pas les entreprises qui se contentent d'utiliser les produits, même si l'incident propre d'un utilisateur peut devoir être notifié au titre de NIS2 ou du RGPD.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

FAQ: [Délais de notification](https://netsenx.com/fr/faq/reporting) · https://netsenx.com/fr/faq/what-does-the-cra-require-when-a-vulnerability-is-exploited

## À lire ensuite

- https://netsenx.com/fr/nis2-incident-reporting-deadlines
- https://netsenx.com/fr/nis2-network-monitoring

## Questions liées

- [DORA s'applique-t-il à nous ?](https://netsenx.com/fr/faq/does-dora-apply-to-us)
- [Qu'est-ce qu'un incident important au sens de NIS2 ?](https://netsenx.com/fr/faq/what-counts-as-a-significant-incident-under-nis2)
- [Une attaque ratée ou bloquée doit-elle être notifiée au titre de NIS2 ?](https://netsenx.com/fr/faq/is-a-blocked-attack-reportable-under-nis2)
- [Comment une petite équipe peut-elle tenir le délai de 24 heures de l'alerte précoce NIS2 ?](https://netsenx.com/fr/faq/how-can-a-small-team-meet-the-nis2-24-hour-deadline)
- [Que faut-il avoir prêt avant l'échéance des 24 heures de NIS2 ?](https://netsenx.com/fr/faq/what-should-we-have-ready-before-the-nis2-24-hour-deadline)