À partir du 11 septembre 2026, tous les fabricants concernés doivent signaler à l'ENISA les vulnérabilités activement exploitées et les incidents graves — avant l'application du reste de la CRA en décembre 2027.
L'Article 14 du Règlement (UE) 2024/2847 crée une chaîne de signalement obligatoire en trois étapes à l'ENISA chaque fois qu'un fabricant découvre qu'une vulnérabilité de son produit est activement exploitée par des attaquants, ou qu'un incident grave s'est produit.
Ceci est distinct de — et en plus de — la notification des utilisateurs affectés (Art. 14(4)), qui doit avoir lieu simultanément. Le signalement à l'ENISA ne remplace pas la notification aux utilisateurs.
Les rapports sont soumis via la plateforme de signalement unique ENISA, qui achemine les informations vers les CSIRT nationaux concernés. La plateforme doit être opérationnelle avant le 11 septembre 2026.
Le compteur commence lorsque le fabricant prend connaissance de l'exploitation active — et non lorsque la vulnérabilité est confirmée ou entièrement analysée.
24 heures
Avertissement précoce
Signal à l'ENISA qu'un événement grave est en cours. Détails minimaux requis — la rapidité est la priorité.
72 heures
Notification complète
Notification détaillée à l'ENISA : identification du produit, description de la vulnérabilité, gravité, impact et mesures correctives ou d'atténuation prises ou prévues.
14 jours
Rapport final
Analyse complète : identifiant CVE, score CVSS, cause profonde, remédiation déployée et confirmation que les utilisateurs ont été notifiés.
En parallèle avec la chaîne de signalement ENISA, les fabricants doivent notifier les utilisateurs affectés sans délai indu. N'attendez pas la correction complète — les utilisateurs doivent savoir :
Tous les fabricants de produits concernés avec éléments numériques — quelle que soit la classe de produit. L'Art. 14 s'applique à chaque fabricant à partir du 11 septembre 2026.
Non directement requis de signaler à l'ENISA au titre de l'Art. 14. Cependant, ils doivent transmettre les informations sur les vulnérabilités aux fabricants sans délai indu (Art. 20 / Art. 24).
Quatre obligations atomiques — chacune traçable jusqu'à l'article du règlement, avec des conseils sur les preuves et des explications en langage clair.
Les fabricants doivent signaler à l'ENISA, via la plateforme unique de signalement, toute vulnérabilité activement exploitée dans leur produit dans un délai de 24 heures (avertissement précoce) et de 72 heures (notification). Un rapport final est dû dans un délai de 14 jours. Cette obligation s'applique à compter du 11 septembre 2026.
Dans les 72 heures suivant la prise de connaissance d'une vulnérabilité activement exploitée dans un produit, les fabricants doivent soumettre à l'ENISA une notification détaillée via la plateforme unique de signalement. Cette notification fait suite à l'avertissement précoce de 24 heures (OBL-ART14-01) et doit inclure les détails techniques sur la vulnérabilité et le produit concerné.
Dans les 14 jours suivant la prise de connaissance d'une vulnérabilité activement exploitée, les fabricants doivent soumettre à l'ENISA un rapport final contenant une description complète de la vulnérabilité, les mesures correctives prises et l'indication de la divulgation publique éventuelle ou de l'attribution d'un CVE.
Lorsqu'une vulnérabilité est activement exploitée, les fabricants doivent notifier les utilisateurs affectés sans délai injustifié. La notification doit contenir des informations suffisantes pour permettre aux utilisateurs de prendre des mesures de protection, y compris les mesures d'atténuation disponibles avant la publication d'un correctif.
Voir tous les niveaux de sanctions sur la page de présentation du CRA →
Meet the three-step ENISA reporting chain for actively exploited vulnerabilities in your products.
Saisissez le moment de prise de connaissance d'une vulnérabilité activement exploitée pour calculer vos trois délais de signalement ENISA.
Open toolListes de contrôle interactives pour chaque étape de la chaîne de signalement en trois étapes de l'Art. 14.
Open toolGénérez une politique de divulgation coordonnée des vulnérabilités, un fichier security.txt et un modèle de workflow de signalement ENISA.
Open toolExaminez toutes les obligations des fabricants, comprenez votre classification de produit et consultez le calendrier réglementaire complet.
