Obligations de signalement : la décision juridique
Le déroulé opérationnel est décrit dans Procédure 24 h / 72 h / 14 j et le cadre légal dans Le signalement à l’ENISA. Cette page traite des trois questions juridiques : quand, qui, et comment le prouver.
Quand le délai commence-t-il à courir ?
Le délai de 24 heures court à compter du moment où le fabricant a connaissance de la vulnérabilité activement exploitée ou de l’incident grave.
« Avoir connaissance » n’est ni la première alerte d’un outil, ni la conclusion d’une analyse forensique complète. C’est le moment où l’organisation dispose d’éléments suffisamment sérieux pour caractériser les faits. En pratique, il faut fixer une règle interne :
Votre règle. Le compteur démarre à l’instant où un élément crédible d’exploitation active parvient à une personne exerçant une fonction de sécurité — PSIRT, astreinte, support de niveau 2 — que cet élément soit interne ou externe. L’horodatage de cette réception est enregistré et fait foi.
Fixer une règle plus restrictive que nécessaire est risqué : une autorité appréciera la connaissance au regard de ce que l’organisation aurait dû savoir compte tenu des informations en sa possession.
Comment qualifier l’exploitation active
Le critère est l’existence d’une preuve fiable qu’un acteur malveillant a exploité la vulnérabilité dans un système sans l’autorisation de son propriétaire.
| Élément | Suffit-il seul ? |
|---|---|
| Publication d’un exploit de démonstration | Non |
| Score de gravité élevé | Non |
| Inscription à un catalogue public de vulnérabilités exploitées | Fort indice, à confronter à la présence du composant chez vous |
| Indicateurs de compromission concordants dans les journaux d’un client | Oui |
| Analyse forensique établissant l’exploitation | Oui |
| Signalement crédible et circonstancié d’un CERT ou d’un client | Oui, sous réserve de vérification rapide |
La qualification technique relève du PSIRT ; la décision de signaler relève du juridique. Le PSIRT doit transmettre sa qualification dans un délai court — vous retenez deux heures — pour laisser au juridique le temps de décider.
Qui décide
Trois rôles, à nommer et à doubler :
| Rôle | Fonction | Suppléant |
|---|---|---|
| Qualificateur | Établit les faits techniques | Responsable PSIRT |
| Décideur | Décide de signaler ou non | Directeur juridique, ou personne titulaire d’une délégation écrite |
| Émetteur | Rédige et transmet via la plateforme | PSIRT, avec validation du décideur |
La délégation écrite est indispensable : un délai de 24 heures ne s’accommode pas d’une chaîne de validation remontant jusqu’à la direction générale un week-end.
La règle de décision par défaut
En cas de doute sérieux et persistant après qualification : signaler.
Le raisonnement est asymétrique. Le règlement prévoit expressément le signalement volontaire, qui n’entraîne aucune obligation supplémentaire. Le coût d’un signalement non strictement obligatoire est donc nul en droit. Le coût d’un signalement manqué relève, lui, du plafond de sanction le plus élevé.
Cette règle doit être écrite et connue de l’astreinte, faute de quoi la décision par défaut sera, en pratique, l’inaction.
Documenter la décision
C’est la pièce défensive centrale. Chaque événement qualifié donne lieu à une entrée au registre, que l’on ait signalé ou non :
| Champ | Contenu |
|---|---|
| Horodatage de la connaissance | Date, heure, canal, personne réceptrice |
| Faits | Description de l’élément déclencheur |
| Produits et versions concernés | Liste, avec la base installée estimée |
| Qualification | Exploitation active : oui / non / indéterminé, avec les éléments retenus |
| Décision | Signaler / ne pas signaler / signaler volontairement |
| Motivation | Le raisonnement, pas seulement la conclusion |
| Décideur | Nom et fonction |
| Horodatage de la décision | Délai écoulé depuis la connaissance |
| Envois | Alerte précoce, notification, rapport final : dates et accusés |
| Information des utilisateurs | Date, canal, contenu |
Un registre où ne figurent que les événements signalés est suspect : il laisse penser qu’aucune décision négative n’a jamais été prise, ce qui est invraisemblable.
L’astreinte juridique
Un délai de 24 heures couvre les nuits, les week-ends et les jours fériés. Cela suppose :
- un tour d’astreinte juridique, ou à défaut une délégation permanente à une fonction disponible ;
- des gabarits pré-remplis avec vos identifiants d’entreprise, pour que la rédaction ne soit pas le facteur limitant ;
- un accès nominatif actif à la plateforme de signalement pour les personnes d’astreinte, testé et non expiré ;
- une procédure d’escalade si le décideur est injoignable, avec un délai maximal avant bascule sur le suppléant.
Les trois régimes en parallèle
Un même événement peut relever du CRA, de NIS 2 et du RGPD. Le tableau comparatif figure dans Articulation avec les autres réglementations. La cellule de crise doit statuer sur les trois simultanément, avec trois gabarits distincts — les traiter en série fait mécaniquement dépasser le délai le plus court.