Le 11 septembre 2026, l’obligation de signalement du règlement (UE) 2024/2847 entre en application. Pour qui doit s’y préparer, une question précède toutes les autres : concrètement, on vous demandera quoi ?
La réponse tient dans un formulaire de 26 champs. Cinq portent des informations que vous détenez déjà aujourd’hui, sans qu’aucun incident ne soit survenu. Sept devront être écrits pendant l’incident, sous horloge. Six autres ne sont dus qu’au rapport final. Les huit derniers ne vous demandent rien, ou ne sont obligatoires à aucune étape.
Le formulaire existe, le règlement ne le décrit pas
Le passage par la plateforme n’est pas une facilité offerte au fabricant : c’est le canal que le règlement impose.
Un fabricant notifie toute vulnérabilité activement exploitée contenue dans le produit comportant des éléments numériques dont il prend connaissance simultanément au CSIRT désigné comme coordinateur conformément au paragraphe 7 du présent article, et à l’ENISA. Le fabricant notifie cette vulnérabilité activement exploitée par l’intermédiaire de la plateforme unique de signalement établie en vertu de l’article 16.
Deux sigles à poser une fois pour toutes. Un CSIRT est un centre de réponse aux incidents de sécurité informatique ; chaque État membre en désigne un comme coordinateur — pour la France, l’ANSSI indique que c’est le CERT-FR qui recevra les notifications. L’ENISA est l’Agence de l’Union européenne pour la cybersécurité. Vous ne leur écrivez pas séparément : vous déposez une notification sur une plateforme unique, qui la distribue.
Ce que ce dépôt doit contenir, en revanche, le règlement ne le dit presque pas. À vingt-quatre heures, il ne nomme qu’une seule information.
une alerte précoce de vulnérabilité activement exploitée, sans retard injustifié et, en tout état de cause, au plus tard 24 heures après en avoir eu connaissance, en indiquant, le cas échéant, les États membres sur le territoire desquels il a connaissance que son produit comportant des éléments numériques a été mis à disposition ;
Une seule information nommée, et encore, sous réserve : « le cas échéant ». Le formulaire d’ENISA, lui, code cinq champs obligatoires à cette même étape. L’écart n’est pas dissimulé — l’agence l’assume dans la phrase qui introduit sa grille.
The table below explains the fields that will be obligatory (stemming directly from CRA or identified by logical consequence) or optional at each stage of reporting.
Traduction : le tableau explique les champs qui seront obligatoires — découlant directement du règlement, ou identifiés par conséquence logique — ou facultatifs à chaque étape. Autrement dit, une partie des champs obligatoires ne vient pas du texte de loi mais d’une déduction opérée par l’agence pour rendre le formulaire utilisable.
Le règlement avait pourtant prévu que ce format puisse être arrêté en droit. Il en a fait une faculté, pas une obligation.
La Commission peut, par voie d’actes d’exécution, préciser plus en détail le format et les procédures des notifications visées au présent article ainsi qu’aux articles 15 et 16. […]
Un acte d’exécution est un texte que la Commission adopte seule, sans nouvelle procédure législative, pour préciser les modalités d’application d’un règlement. Ici, le mot qui compte est « peut » : aucune échéance ne lui est fixée, et aucun acte de cette nature n’avait été adopté à la mi-août 2026. Une confusion est à éviter, parce que les deux textes se citent souvent côte à côte : le règlement délégué (UE) 2026/881 du 11 décembre 2025 existe bien, mais il se fonde sur le paragraphe précédent et ne traite pas du contenu des notifications. Il fixe les cas dans lesquels le CSIRT qui reçoit une notification peut en retarder la diffusion.
Les 26 champs, selon le moment où l’information existe
La grille d’ENISA trie les champs par étape : ce qui est dû à 24 heures, à 72 heures, puis au rapport final. C’est le bon classement pour remplir le formulaire le jour venu. Ce n’en est pas un pour s’y préparer, parce qu’il ne dit pas lequel de ces champs vous pourriez renseigner dès maintenant. L’autre découpe est celle-ci.
Six champs sur vingt-six ne vous demandent rien du tout : deux se choisissent dans le formulaire, quatre sont renseignés par la plateforme sans même vous être montrés. Deux autres ne sont obligatoires à aucune étape. Cinq portent des informations que vous détenez déjà, mais qu’il faut avoir rassemblées une fois. Restent treize champs à produire : sept pendant l’incident, six au rapport final.
Les cinq champs que vous pouvez préparer aujourd’hui
Ces cinq-là ne dépendent d’aucun incident. Ils décrivent qui vous êtes et ce que vous mettez à disposition.
- Le nom du fabricant, ou celui de l’intendant de logiciels ouverts. Le formulaire prévoit les deux, parce que le règlement crée ce second statut pour les personnes morales qui soutiennent durablement un logiciel libre destiné à des activités commerciales.
- Le produit concerné : le nom sous lequel vous le mettez à disposition.
- Le type de produit — par défaut, important ou critique. Le règlement range les produits selon leur criticité, et de ce classement dépend une chose très concrète : devrez-vous faire valider votre conformité par un organisme extérieur, ou pourrez-vous l’évaluer vous-même ? La majorité des produits relèvent du régime par défaut. Cela se tranche à froid, jamais pendant un incident.
- La catégorie de produit, si vous n’êtes pas dans ce cas par défaut. Les listes sont aux annexes III et IV du règlement : l’annexe III énumère les produits dits importants — navigateurs, gestionnaires de mots de passe, systèmes d’exploitation, routeurs, pare-feu, entre autres — et l’annexe IV les produits dits critiques, comme les passerelles pour compteur intelligent et les cartes à puce.
- Les États membres où le produit est disponible. C’est le seul des cinq que le règlement nomme explicitement à l’étape des 24 heures, et la grille le marque « obligatoire si l’information est disponible ».
Deux autres champs sont de simples choix à faire dans le formulaire, sans rien à préparer : le type de notification — vulnérabilité ou incident — et le niveau, c’est-à-dire l’étape à laquelle vous vous trouvez. Quatre autres encore sont renseignés par la plateforme et ne vous sont même pas montrés : les dates et heures d’enregistrement des trois étapes, et l’identité de la personne qui dépose.
À 24 heures, un seul champ à rédiger
Sur les cinq champs obligatoires de l’alerte précoce, quatre sont ceux qu’on vient de voir, ou les deux choix à faire dans le formulaire. Le cinquième est un titre — et c’est le seul qui demande d’écrire une phrase.
Cette première étape n’est pas un rapport. Elle signale qu’un fait s’est produit ; elle ne demande pas de l’avoir analysé. La gravité de la vulnérabilité n’est attendue qu’au rapport final, et le formulaire n’impose aucune manière de la mesurer : nulle part il ne réclame de note calculée selon un barème, du type de celles que produit le standard CVSS.
Un détail de la grille mérite d’être relevé, parce qu’il surprend souvent. L’identifiant CVE — le numéro public attribué à une vulnérabilité dans le référentiel international — et son équivalent européen, l’identifiant EUVD, ne sont obligatoires à aucune des trois étapes, rapport final compris. Vous n’avez donc jamais à attendre l’attribution d’un numéro pour notifier.
À 72 heures, cinq champs qui demandent une décision
C’est ici que la charge bascule. Le règlement décrit cette deuxième étape ainsi.
à moins que les informations pertinentes n’aient déjà été communiquées, une notification de vulnérabilité, sans retard injustifié et, en tout état de cause, au plus tard 72 heures après avoir eu connaissance de la vulnérabilité activement exploitée, fournissant les informations générales disponibles sur le produit comportant des éléments numériques concerné, la nature générale de l’exploitation et de la vulnérabilité concernée, ainsi que toute mesure corrective ou d’atténuation prise et les mesures correctives ou d’atténuation que les utilisateurs peuvent prendre, et précisant, s’il y a lieu, le degré de sensibilité qu’il attribue aux informations notifiées ;
Le formulaire en tire cinq champs distincts, qui passent tous de facultatifs à obligatoires : les informations générales sur le produit concerné ; la nature générale de la vulnérabilité ; la nature générale de l’exploitation ; les mesures correctives ou d’atténuation que vous avez prises ; celles que vos utilisateurs peuvent prendre eux-mêmes. Le nombre de champs obligatoires passe ainsi de cinq à dix entre la première étape et la deuxième, les cinq de l’alerte précoce restant exigés, recopiés ou mis à jour.
Deux mots du règlement méritent d’être pesés, parce qu’ils disent le niveau de détail attendu : ces informations sont « générales », et elles sont demandées « disponibles ». Vous décrivez ce que vous savez à ce moment-là — de quel type de faiblesse il s’agit, comment elle est utilisée, ce que vous avez déjà fait. La description complète, elle, est attendue au rapport final, pas ici.
Un sixième champ apparaît à cette étape sans être tout à fait obligatoire : le degré de sensibilité que vous attribuez à l’information notifiée. La grille le marque « obligatoire si l’information est disponible » — une catégorie intermédiaire qui signifie ici que si vous avez formé un avis sur la sensibilité de ce que vous transmettez, vous devez le déclarer. Ce jugement n’est pas sans effet. Le règlement prévoit que, dans des circonstances exceptionnelles et « en particulier, à la demande du fabricant », compte tenu du degré de sensibilité qu’il a indiqué, la diffusion de la notification peut être retardée « pour des motifs justifiés ayant trait à la cybersécurité ». Le règlement délégué (UE) 2026/881 fixe les conditions de ce report, et elles vont au-delà de la seule sensibilité : le CSIRT doit établir que les risques de la diffusion l’emportent sur ses bénéfices.
Retenez la mécanique : le report ne se déclenche pas tout seul parce que vous avez coché « sensible ». Il se demande.
Aucun de ces champs ne s’extrait d’un outil. Tous demandent que quelqu’un décide, et assume. « La nature générale de l’exploitation » n’est pas une donnée qu’on interroge : c’est une phrase qu’on adresse à une autorité publique, soixante-douze heures après avoir découvert le problème, souvent avant de l’avoir corrigé.
Ce qui n’est dû qu’au rapport final
La dernière étape ne se déclenche pas au même moment que les deux premières, et son contenu est le seul que le règlement énumère précisément.
à moins que les informations pertinentes n’aient déjà été communiquées, un rapport final, au plus tard 14 jours après la mise à disposition d’une mesure de correction ou d’atténuation, comprenant au moins les éléments suivants : i) une description de la vulnérabilité, y compris de sa gravité et de ses répercussions ; ii) le cas échéant, des informations concernant tout acteur malveillant ayant exploité ou exploitant la vulnérabilité ; iii) des précisions concernant la mise à jour de sécurité ou les autres mesures correctives qui ont été mises en place pour remédier à la vulnérabilité.
Six champs deviennent obligatoires à cette étape, et à cette étape seulement : la description complète de la vulnérabilité, sa gravité, son impact, les détails de la mise à jour de sécurité, et — si l’information existe — l’identité de l’acteur malveillant qui l’a exploitée. Le formulaire les propose dès les deux premières étapes, à titre facultatif : rien ne vous empêche de les renseigner plus tôt, si vous les connaissez déjà.
Le sixième est le plus important à repérer, parce qu’il commande une horloge : la date à laquelle la mesure corrective a été mise à disposition. Les quatorze jours du rapport final ne courent pas depuis votre découverte de la vulnérabilité, mais depuis cette date-là. Ce champ ne consigne donc pas seulement un fait : il fixe le point de départ de votre dernier délai.
Ce qu’il faut avoir fait avant le 11 septembre 2026
Trois actions, dont aucune ne dépend d’un outil ni de la mise en ligne de la plateforme.
- Renseigner les cinq champs à froid, une fois, pour chaque produit que vous mettez à disposition — et prévoir de les tenir à jour. Le plus long des cinq est la liste des États membres où le produit est disponible : recensez-les pays par pays, en incluant ceux que vous atteignez par un distributeur ou une place de marché, qui sont les plus faciles à oublier. Cette liste se reconstitue mal dans l’urgence.
- Désigner nommément qui rédige les cinq champs de l’étape des 72 heures. Pas une équipe : une personne, et son suppléant. Ces champs engagent l’entreprise devant une autorité, et le moment de choisir leur auteur n’est pas celui où l’horloge tourne.
- Décider d’avance ce que vous traiterez comme une information sensible, qui pose ce jugement, et qui formulera la demande de report si vous estimez que la diffusion immédiate aggraverait le risque. C’est le champ le plus discret de la grille, et le premier levier qui reste entre vos mains une fois la notification déposée.
Ces trois actions portent sur ce que vous savez de vos produits et sur qui décide chez vous. Aucune des trois ne s’improvise en vingt-quatre heures, et aucune ne dépend d’un texte qui reste à paraître.