Comment signaler à CERT-FR au titre du CRA

1. Qui reçoit votre notification : ANSSI et CERT-FR

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) est l’autorité nationale, et le CERT-FR son centre opérationnel. L’ANSSI a son siège à Paris et est connue pour un corpus réglementaire détaillé et un usage rigoureux du français.

La chaîne est exactement celle-ci : l'autorité comme institution, CERT-FR comme équipe opérationnelle qui lit votre notification et qui, avec l'ENISA, forme le destinataire prévu par l'art. 14.

L’ANSSI est l’autorité nationale française de sécurité des systèmes d’information, rattachée au Secrétariat général de la défense et de la sécurité nationale. Le CERT-FR en est le centre opérationnel : il reçoit, qualifie et diffuse. La chaîne de commandement est courte et assumée comme étatique.

2. Le canal national, en pratique

La langue de la notification est le français. L’ANSSI publie avis et bulletins en français et tient une position connue sur l’usage de la langue dans les rapports avec l’administration : une documentation technique uniquement en anglais peut exiger une synthèse en français.

Le CERT-FR distingue les signalements des opérateurs régulés de ceux, spontanés, émanant de tiers. Un fabricant qui n’est pas opérateur d’importance vitale passe par le canal général, et il est utile de vérifier en amont quel formulaire s’applique.

CERT-FR · site officiel

3. Le paysage dans lequel il s’inscrit

La France a transposé la NIS2 en confirmant l’ANSSI comme autorité compétente et en élargissant le périmètre des entités régulées. Le modèle reste centralisé : une autorité, un CERT national, des compétences larges.

Pour le CRA, la désignation du CSIRT destinataire des notifications des fabricants suit néanmoins la mise en œuvre nationale du règlement, distincte du périmètre NIS2. Vérifiez celle en vigueur avant de déposer.

Un dernier point pratique : l’ANSSI gère aussi les schémas français de qualification et de certification et participe au cadre européen. Si votre produit figure parmi les critiques, l’organisme qui reçoit vos notifications est aussi celui qui connaît le parcours de certification.

4. Comment se fait le dépôt, en bref

Le dépôt n’est pas un courriel à l’autorité : il passe par la plateforme de signalement unique instituée par l’art. 16, et l’accès exige des identifiants EU Login validés au préalable.

La chaîne des délais — 24 heures, 72 heures, rapport final — est la même dans toute l’Union et figure en entier sur la page consacrée à l’art. 14. Pour l’autre déclencheur de l’article, le délai final change : il est sur la page incident grave.

5. Ce qu'il faut préparer avant un incident

Cinq choses, mises en place calmement, font la différence entre un signalement déposé à temps et un signalement déposé trop tard. La première est le point de contact vers CERT-FR, désigné et validé, avec un suppléant nommé : le jour du cas, on ne cherche pas qui détient les identifiants.

En France, il est utile de préparer à l’avance une synthèse en français des contenus techniques à transmettre : traduire sous pression, en vingt-quatre heures, est le moyen le plus simple d’introduire une erreur dans un document qui reste au dossier.

Et une note sur le temps : la France est en CET/CEST et présente un calendrier de jours fériés dense au printemps. Les vingt-quatre heures de l’art. 14 ne s’arrêtent pas. Un suppléant nommé, et pas seulement supposé, distingue une astreinte qui tient d’une astreinte qui n’existe que sur l’organigramme.

Ce guide expose notre lecture du texte réglementaire et des procédures publiques ; il ne constitue pas un conseil juridique, et les détails opérationnels de la plateforme peuvent évoluer.