Notifier les vulnérabilités activement exploitées et les incidents graves

Si une vulnérabilité dans le logiciel libre administré est activement exploitée, ou qu'un incident de sécurité grave a affecté le logiciel, le CSIRT coordinateur compétent doit être notifié sans délai injustifié. Il s'agit d'une obligation plus légère que le délai de signalement de 24 heures applicable aux fabricants en vertu de l'art. 14, mais « sans délai injustifié » signifie rapidement — en jours, non en semaines. Le CSIRT coordonnera la réponse et aidera à la divulgation de la vulnérabilité.

Texte juridique

L'article 24(2) du règlement (UE) 2024/2847 dispose que les gestionnaires de logiciels libres notifient, sans délai injustifié et en tout état de cause dans le délai établi par les actes d'exécution, le CSIRT désigné comme coordinateur en vertu de l'article 12(1) de la directive (UE) 2022/2555 :

de toute vulnérabilité activement exploitée contenue dans les composants de logiciels libres qu'ils administrent ; et
de tout incident grave ayant un impact sur la sécurité de ces composants de logiciels libres.

À la suite de la notification, le CSIRT traite les informations signalées de manière confidentielle et aide le gestionnaire de logiciels libres à divulguer la vulnérabilité conformément aux pratiques de divulgation coordonnée.

Exigences clés

Déclencheur : exploitation active — l'obligation naît lorsque le gestionnaire prend connaissance d'une exploitation active d'une vulnérabilité dans son logiciel
Déclencheur : incident grave — l'obligation vaut également pour les incidents de sécurité graves affectant les propriétés de sécurité du logiciel
Destinataire : CSIRT coordinateur — notifier le CSIRT national désigné comme coordinateur en vertu de l'art. 12 de la directive NIS 2, et non directement l'ENISA
Sans délai injustifié — notification rapide ; le délai précis sera fixé par acte d'exécution
Confidentialité — le CSIRT traite les informations signalées de manière confidentielle et appuie la divulgation coordonnée

Preuves éventuellement requises

Notification adressée au CSIRT coordinateur (date, contenu, méthode)
Processus interne de surveillance et de détection de l'exploitation active
Journal des incidents documentant la date de prise de connaissance et les actions entreprises
Calendrier de divulgation coordonnée