Guide complet des déclarations et alertes ENISA

Réponse courte

CRA Manager prépare et trace les notifications de vulnérabilités activement exploitées. La décision humaine, la soumission au portail officiel et les preuves de dépôt restent distinctes.

Disponibilité produit : Disponible dans les deux éditions selon les droits. L’assistant de préparation couvre les vulnérabilités activement exploitées ; les incidents graves n’y sont pas pris en charge.

Objectif et périmètre

Un dossier ENISA relie une vulnérabilité CRA formelle, le produit concerné, une décision de notification, des informations de préparation, des dates et des preuves. Le dossier ne constitue pas une soumission : CRA Manager n’effectue pas le dépôt au portail ENISA.

Une CVE publique, une criticité élevée ou une vulnérabilité héritée par composition n’entraîne pas automatiquement un signalement. Vérifiez l’affectation au produit, l’exploitation active et les conditions juridiques avec les responsables habilités.

Distinguer vulnérabilité et incident grave

L’article 14 du CRA traite les vulnérabilités activement exploitées et les incidents graves affectant la sécurité du produit. Les délais finaux diffèrent entre ces deux régimes. Ce guide décrit le parcours de vulnérabilité activement exploitée, appelé AEV dans la préparation SRP de l’application.

Pour un incident grave, appliquez votre procédure officielle et sollicitez les responsables sécurité et conformité. Ne réutilisez pas sans examen le jalon final de 14 jours de l’AEV : le règlement prévoit un rapport final d’incident dans le mois suivant la notification à 72 heures visée à l’article 14, paragraphe 4, point b. Voir les jalons officiels de notification de la Commission.

Préparer la décision

Sur la vulnérabilité formelle, renseignez Activement exploitée, Prise de connaissance et Décision de notification CRA. Les choix distinguent À évaluer, Notification requise, Notification non requise et Notification volontaire.

Pour une nouvelle décision de notification non requise, une justification est nécessaire. L’option de différer la décision conserve le besoin d’analyse ; elle ne suspend pas une échéance légale éventuelle. Une donnée importée ne remplace pas la décision humaine.

Si la notification est requise, utilisez Créer la déclaration ENISA sur la vulnérabilité existante. Si un dossier existe, ouvrez-le plutôt que créer une deuxième vulnérabilité pour la même intention. La liste Déclarations ENISA permet de consulter les dossiers et leur prochaine échéance.

Dates et jalons AEV

La publication d’un avis et la date de première collecte Hoctave ne déterminent pas automatiquement la prise de connaissance. Documentez le fait déclencheur et sa source.

Les échéances du produit sont calculées sur des instants UTC et des durées exactes. Le fuseau sert à leur affichage. Vérifiez l’heure et le fuseau saisis, en particulier aux changements d’heure. Une échéance affichée ne dispense pas d’agir sans retard injustifié.

Préparer les données SRP

Ouvrez le dossier et relisez les informations fabricant, produit, version, États membres concernés, résumé, vulnérabilité et exploitation. L’assistant distingue les données persistées, préremplies, calculées et manquantes. Vérifiez les valeurs préremplies : la version ou le composant du dossier peut représenter le périmètre du dépôt, différent de l’inventaire courant.

Documentez les mesures correctives, les mesures à disposition des utilisateurs et leur disponibilité. Les Versions corrigées d’une source publique ne remplissent pas automatiquement l’ensemble de ce dossier. Les circonstances particulièrement exceptionnelles ne sont pas sélectionnées automatiquement ; leur utilisation exige une décision compétente.

Prêt à soumettre signifie que les champs attendus par le mapping courant sont présents. Ce statut ne signifie pas conformité du contenu, acceptation par l’ENISA ou dépôt accompli. Le mapping observé dans le code se réfère au glossaire SRP v1.3 vérifié le 26 septembre 2026 ; contrôlez le formulaire officiel au moment du dépôt.

Soumettre puis conserver la trace

1. Vérifiez la préparation avec la personne autorisée à déposer.
2. Ouvrez le portail officiel et effectuez la saisie, la validation et la soumission selon votre procédure.
3. Revenez au dossier CRA Manager et utilisez Marquer comme soumis sur le jalon réellement déposé.
4. Renseignez Soumis le, la Référence externe et une preuve autorisée du dépôt.
5. Lorsque la mesure est disponible, utilisez Indiquer qu’une mesure corrective est disponible et vérifiez le jalon de rapport final.
6. Utilisez Enregistrer l’information utilisateurs et rattachez les preuves de communication pertinentes.
7. Terminez le dossier seulement lorsque les étapes réellement requises sont réalisées.

Ne marquez pas une soumission future comme accomplie pour faire disparaître une alerte. Les preuves restent privées et doivent être accessibles au bon périmètre.

Dépannage

La date finale manque. Vérifiez la disponibilité de la mesure corrective ; le jalon final AEV dépend de cette date.

Le dossier reste en attente. Examinez les jalons, la décision et les champs manquants. Un résumé rempli ne remplace pas les preuves de dépôt.

Une alerte semble incorrecte. Comparez les dates persistées avec la réalité du dépôt et le fuseau ; ne changez pas arbitrairement la prise de connaissance.

Sources et relecture

Les obligations de l’article 14 incombant aux fabricants s’appliquent depuis le 11 septembre 2026 ; l’application générale du CRA est fixée au 11 décembre 2027, avec dispositions transitoires. Consultez les articles 14, 69 et 71 du règlement (UE) 2024/2847, le calendrier de la Commission et la plateforme unique de l’ENISA. Cette synthèse décrit les jalons généraux ; la qualification du cas, les informations à déposer et la décision de notification doivent être validées par les responsables compétents.

Articles liés

• Premier dépôt documenté
• Vérifier les dates
• Qualifier la vulnérabilité

Article issu de la base de connaissance CRA Manager.