Article 14 : à 24 heures, cinq champs obligatoires

Le 11 septembre 2026, l’obligation de signalement du règlement (UE) 2024/2847 entre en application. Ce qui suit décrit ce qu’elle demande à chaque étape, et où se trouve réellement l’effort.

Ce qui déclenche l’horloge

L’obligation naît de deux événements : une vulnérabilité activement exploitée affectant un produit comportant des éléments numériques, ou un incident grave ayant un impact sur sa sécurité. La FAQ de la Commission énumère les canaux par lesquels un fabricant peut en avoir connaissance — signalement d’un client, renseignement sur les menaces, surveillance interne, chercheur en sécurité — et précise que ces obligations de signalement n’imposent pas au fabricant de mener ces activités ni de surveiller ces canaux.

Ce qui suit décrit la piste de la vulnérabilité. Celle de l’incident grave suit le même rythme — 24 heures, 72 heures, rapport final — avec ses propres champs, et son rapport final est dû dans le mois qui suit la notification, non quatorze jours après le correctif.

Une vulnérabilité découverte sans preuve fiable d’exploitation malveillante n’entre pas dans le champ de l’Art. 14. Un rapport issu d’un programme de primes aux bogues, ou la découverte d’un laboratoire, relèvent de la notification volontaire prévue à l’Art. 15 tant qu’aucune exploitation n’est établie. La distinction porte sur la preuve d’exploitation, pas sur la gravité.

Trois étapes, et un point de départ qui change

Le signalement se fait en trois temps : alerte précoce à 24 heures, notification à 72 heures, rapport final. Les deux premières échéances courent depuis le moment où le fabricant a connaissance du fait signalable.

La troisième ne part pas du même endroit. Les quatorze jours du rapport final se comptent à partir de la date de mise à disposition de la mesure corrective, pas de la date de détection. Un fabricant qui compterait ces quatorze jours depuis sa découverte se tromperait de calendrier, dans un sens ou dans l’autre.

À 24 heures, cinq champs

L’ENISA, l’agence de cybersécurité de l’Union européenne, publie dans la question 16 de sa foire aux questions la grille des champs attendus par la plateforme, codés étape par étape. À l’alerte précoce, cinq champs seulement sont marqués obligatoires : le type de notification, son niveau, le fabricant ou l’intendant de logiciels ouverts, le produit et un titre. Les États membres concernés y figurent comme champ conditionnel.

Ni identifiant CVE — le numéro public attribué à une vulnérabilité dans le référentiel international — ni score de gravité normalisé, du type de ceux que produit le standard CVSS, n’y sont exigés. L’obligation de cette première étape est de notifier, pas d’avoir terminé l’analyse. Sur ces cinq champs, un seul demande une rédaction : le titre. Les quatre autres sont des données que l’on possède déjà, ou que la plateforme renseigne elle-même.

Le saut de charge est à 72 heures

Cinq champs facultatifs à la première étape deviennent obligatoires à la seconde : les informations générales sur le produit concerné, la nature générale de la vulnérabilité, celle de l’exploitation, les mesures correctives ou d’atténuation prises, et celles que les utilisateurs peuvent prendre. Un sixième, le degré de sensibilité attribué à l’information notifiée, est marqué obligatoire dès lors que le fabricant a formé un avis dessus. Aucun ne se remplit par extraction automatique. Tous demandent une décision humaine.

La conséquence est directe : ce sont exactement les éléments à cadrer avant que l’horloge démarre. Les découvrir pendant les 72 heures, avec un incident en cours, est le scénario coûteux — et c’est celui que produit une organisation qui a préparé sa capacité à détecter sans préparer sa capacité à décider.

Trois cas qui surprennent

• Les produits anciens sont concernés. L’obligation s’applique dès le 11 septembre 2026, y compris aux produits mis sur le marché avant l’entrée en application des autres obligations, fixée au 11 décembre 2027, par dérogation de l’Art. 69. La Commission ajoute qu’un fabricant peut se trouver dans l’impossibilité matérielle d’investiguer un produit ancien — outillage disparu, équipe dispersée — sans que cela l’exempte de notifier.
• Une vulnérabilité venue d’un composant tiers se signale deux fois. Le fabricant du produit final notifie, et le fabricant du composant notifie également, dès lors que ce composant est lui-même mis sur le marché séparément.
• Le destinataire peut différer la diffusion. Le règlement délégué (UE) 2026/881 du 11 décembre 2025 précise les motifs pour lesquels un CSIRT récepteur — un centre de réponse aux incidents de sécurité informatique — peut retarder ou retenir la diffusion d’une notification : sensibilité de l’information, compromission de la plateforme, capacités insuffisantes du CSIRT.

Ce qui n’est pas encore en place

Cette situation a une conséquence pratique : l’outil de signalement ouvre le jour même où l’obligation commence. Personne ne l’aura pratiqué en conditions réelles avant l’échéance.

Ce qu’il reste à préparer

Trois choses, dans cet ordre. Savoir quels composants entrent dans chaque produit livré, sans quoi la question « sommes-nous affectés par cette vulnérabilité » n’a pas de réponse rapide. Désigner nommément qui rédige les cinq champs de jugement de l’étape des 72 heures, et le décider maintenant plutôt que pendant l’incident. Et distinguer, dans les remontées reçues, celles qui portent une preuve d’exploitation de celles qui n’en portent pas : c’est ce partage qui sépare une obligation à 24 heures d’une notification volontaire.