OBL-ART13-07Binding
Établir et publier une politique de divulgation coordonnée des vulnérabilités (DCV)
- S'applique à
- Manufacturer
- Citations sources
- Art. 13(7)Annex I Part II §1
- Classes de produits
- DefaultImportant — Class IImportant — Class IICritical
Last reviewed
Langage clair
Un processus clair de signalement des failles de sécurité doit être publié. Un courriel ou un formulaire en ligne doit être mis à disposition pour les signalements. Il convient d'indiquer les délais de réponse et d'expliquer la manière dont le coordinateur travaillera avec l'auteur du signalement avant toute publication publique d'un correctif. Un fichier security.txt à la racine du site web est le moyen habituel de procéder.
Texte juridique
L'article 13(7) du règlement (UE) 2024/2847 et l'Annexe I Partie II §1 exigent que les fabricants :
- Identifient et documentent les vulnérabilités et les composants contenus dans le produit
- Disposent d'une politique de divulgation coordonnée des vulnérabilités
- Prennent des mesures pour faciliter le partage d'informations sur les vulnérabilités potentielles
La politique de DCV doit être publiquement accessible afin que les auteurs de signalements externes puissent la trouver.
Exigences clés
- Politique de DCV publique — publiée sur le site web et facilement accessible
- Contact de sécurité — adresse de courriel ou formulaire en ligne dédié
aux signalements de vulnérabilités (ex.
security@example.com) - Fichier
security.txt— publier à l'adresse/.well-known/security.txtconformément à la RFC 9116 pour permettre la découverte automatique du contact - Engagement d'accusé de réception — indiquer un délai d'accusé de réception (l'ENISA recommande ≤ 5 jours ouvrés)
- Calendrier de divulgation — décrire le processus de divulgation coordonnée, y compris la gestion des périodes d'embargo avec les chercheurs
- Déclaration de périmètre — préciser les produits et versions couverts par la politique
Éléments recommandés de la politique de DCV
Sur la base des orientations de l'ENISA en matière de DCV et de l'Annexe I Partie II du CRA :
- Adresse de contact et moyen de contact privilégié
- Clé PGP / S/MIME pour les soumissions chiffrées (recommandé)
- Langues acceptées pour les signalements
- Délai d'accusé de réception
- Calendrier prévu pour les mises à jour correctives
- Processus de coordination de la divulgation (embargo, crédit au chercheur, attribution du CVE)
- Déclaration de protection pour les chercheurs de bonne foi
Preuves éventuellement requises
- Politique de DCV publiée (URL)
- Fichier
/.well-known/security.txt - Journal de réception des vulnérabilités (confidentiel — non requis publiquement)
- Enregistrements des signalements reçus et de leur traitement