Notifier les vulnérabilités activement exploitées et les incidents graves
- S'applique à
- Open-source steward
- Citations sources
- Art. 24(2)
- Classes de produits
- DefaultImportant — Class IImportant — Class IICritical
Langage clair
Si une vulnérabilité dans le logiciel libre administré est activement exploitée, ou qu'un incident de sécurité grave a affecté le logiciel, le CSIRT coordinateur compétent doit être notifié sans délai injustifié. Il s'agit d'une obligation plus légère que le délai de signalement de 24 heures applicable aux fabricants en vertu de l'art. 14, mais « sans délai injustifié » signifie rapidement — en jours, non en semaines. Le CSIRT coordonnera la réponse et aidera à la divulgation de la vulnérabilité.
Texte juridique
L'article 24(2) du règlement (UE) 2024/2847 dispose que les gestionnaires de logiciels libres notifient, sans délai injustifié et en tout état de cause dans le délai établi par les actes d'exécution, le CSIRT désigné comme coordinateur en vertu de l'article 12(1) de la directive (UE) 2022/2555 :
- de toute vulnérabilité activement exploitée contenue dans les composants de logiciels libres qu'ils administrent ; et
- de tout incident grave ayant un impact sur la sécurité de ces composants de logiciels libres.
À la suite de la notification, le CSIRT traite les informations signalées de manière confidentielle et aide le gestionnaire de logiciels libres à divulguer la vulnérabilité conformément aux pratiques de divulgation coordonnée.
Exigences clés
- Déclencheur : exploitation active — l'obligation naît lorsque le gestionnaire prend connaissance d'une exploitation active d'une vulnérabilité dans son logiciel
- Déclencheur : incident grave — l'obligation vaut également pour les incidents de sécurité graves affectant les propriétés de sécurité du logiciel
- Destinataire : CSIRT coordinateur — notifier le CSIRT national désigné comme coordinateur en vertu de l'art. 12 de la directive NIS 2, et non directement l'ENISA
- Sans délai injustifié — notification rapide ; le délai précis sera fixé par acte d'exécution
- Confidentialité — le CSIRT traite les informations signalées de manière confidentielle et appuie la divulgation coordonnée
Preuves éventuellement requises
- Notification adressée au CSIRT coordinateur (date, contenu, méthode)
- Processus interne de surveillance et de détection de l'exploitation active
- Journal des incidents documentant la date de prise de connaissance et les actions entreprises
- Calendrier de divulgation coordonnée