Quand commencent les 24 heures ? L'ancre de la prise de connaissance

Le moment de la prise de connaissance, et pourquoi une autorité le regarde en premier

L'art. 14(1) ancre chaque échéance à un seul instant : le moment où le fabricant prend connaissance d'une vulnérabilité activement exploitée ou d'un incident grave touchant la sécurité du produit. Dès cet instant courent les 24 heures de l'alerte précoce, et toute la chaîne suivante y est suspendue. C'est ce que nous appelons le moment de la prise de connaissance.

C'est la première chose qu'une autorité vérifie, précisément parce que c'est une seule date et heure, pas une interprétation. Pour décider si une échéance a été tenue, l'inspecteur n'a pas besoin d'entrer dans le fond de la vulnérabilité : il suffit de comparer deux horodatages — l'instant de la prise de connaissance et celui du dépôt. Tout le reste découle de cette soustraction.

Une horloge technique qui se gagne ou se perd sur l'organisation

Une fois l'ancre comprise, le problème se déplace : du terrain technique à l'organisationnel. Les 24 heures ne se passent pas à comprendre le bug — elles se passent à s'apercevoir, à temps, que quelqu'un vous a écrit. Pour que cette fenêtre ne se referme pas toute seule, il faut trois choses : un canal de réception unique et tenu ; une règle écrite disant qui évalue le signalement et selon quels critères ; et une chaîne d'astreinte avec des seuils horaires et des remplaçants nommés.

Les entreprises que nous avons vues en difficulté ne manquaient pas de compétence : leurs ingénieurs auraient analysé la vulnérabilité en une heure. Elles manquaient de disponibilité. Le signalement est arrivé sur un canal que personne ne surveillait, ou a atteint une personne en week-end sans remplaçant derrière elle. L'échéance a été manquée non sur le fond, mais sur le planning.

Fixer et documenter l'instant, pour qu'il tienne des mois plus tard

Savoir que l'échéance court depuis la prise de connaissance vaut peu si vous ne pouvez pas prouver quand elle a eu lieu. L'instant doit être fixé au moment où il se produit, pas reconstitué plus tard de mémoire. En pratique : une réception qui horodate automatiquement chaque signalement entrant, et une entrée de journal inviolable — qui consigne l'arrivée, l'heure, la source et qui l'a prise en main, et que personne ne peut modifier ensuite en silence.

Le sens de l'inviolabilité, c'est la défendabilité. Des mois après les faits, devant un inspecteur, vous ne voulez pas débattre de quand vous saviez : vous voulez un enregistrement produit sur le moment, dont la date n'a pas pu être déplacée pour arranger le récit. Une réception horodatée et un journal en écriture seule transforment un souvenir contestable en fait.

23 h 40 un samedi : dérouler l'horloge

Un signalement atteint l'adresse publique à 23 h 40 un samedi : un chercheur écrit qu'une vulnérabilité de votre produit est exploitée dans la nature. Cet horodatage — samedi 23 h 40 — est l'instant que vous devrez défendre. Les 24 heures n'attendent pas la réouverture du bureau : l'alerte précoce est due dimanche à 23 h 40.

Déroulez l'horloge. Si la chaîne d'astreinte fonctionne, à 23 h 45 le signalement est horodaté et consigné ; à 00 h 30 la personne de garde a confirmé qu'il existe des preuves fiables d'exploitation ; en milieu de matinée dimanche l'alerte précoce est déposée, avec quatorze heures de marge. Si au contraire le message reste non lu jusqu'à lundi 09 h 00, la prise de connaissance reste fixée au samedi 23 h 40 — la loi ne déplace pas l'ancre — et trente-trois heures se sont écoulées, dont neuf au-delà de l'échéance, avant que quiconque ait lu une ligne.

L'ancre et le registre sont la même discipline

L'instant de la prise de connaissance est la première entrée d'une chaîne de preuves qui traverse toute la vie d'un signalement : prise de connaissance, qualification, alerte précoce, mise à jour à 72 heures, rapport final. Chacune a son échéance, comptée depuis l'ancre ou depuis l'étape précédente, et chacune ne se défend que si elle a été consignée quand elle s'est produite. Le journal horodaté n'est pas de la bureaucratie — c'est ce qui rend chaque échéance ultérieure prouvable.

Les chaînes d'échéances exactes — laquelle s'applique à une vulnérabilité exploitée et laquelle à un incident grave, et en quoi les rapports finaux diffèrent — sont exposées dans notre pilier sur l'art. 14. Lisez l'ancre et les chaînes ensemble : la première dit quand le compte commence, les secondes vers quoi il décompte.