Comment signaler à CIRCL au titre du CRA

1. Qui reçoit votre notification : CIRCL et GOVCERT.LU

Le Luxembourg sépare les destinataires par type d’entité : CIRCL pour le secteur privé et les communes, GOVCERT.LU pour l’État. CIRCL opère depuis Luxembourg-Ville, et sa réputation technique dépasse largement la taille du pays qu’il sert.

La chaîne est exactement celle-ci : l'autorité comme institution, CIRCL comme équipe opérationnelle qui lit votre notification et qui, avec l'ENISA, forme le destinataire prévu par l'art. 14.

CIRCL est le centre de réponse aux incidents du Luxembourg pour le secteur privé, les communes et les entités non gouvernementales ; il est géré par SECURITYMADEIN.LU. Pour l’État, c’est GOVCERT.LU qui opère. La division se fait par type d’entité, non par type d’événement.

2. Le canal national, en pratique

La langue de la notification peut être le français, l’anglais ou l’allemand : le Luxembourg travaille ordinairement en trois langues et CIRCL publie en anglais l’essentiel de son matériel technique.

CIRCL est aussi l’auteur d’outils ouverts utilisés dans toute l’Europe pour le partage d’indicateurs — MISP au premier chef. Pour un fabricant, c’est un interlocuteur techniquement outillé, qui attend des signalements structurés et sait s’en servir.

CIRCL · site officiel

3. Le paysage dans lequel il s’inscrit

Le Luxembourg a un écosystème petit et dense, bâti autour de quelques organisations qui se connaissent. C’est un avantage opérationnel : temps de réponse courts et parcours administratif bref.

Pour le CRA, la désignation du CSIRT destinataire des notifications des fabricants suit la mise en œuvre nationale du règlement. Vérifiez laquelle des deux équipes est désignée pour votre cas avant de déposer, et ne le déduisez pas de la taille de votre entreprise.

Un dernier point pratique : le Luxembourg concentre de façon inhabituelle des acteurs financiers et des fournisseurs de services numériques, et la pratique de CIRCL s’en ressent. Si votre produit sert ce secteur, attendez-vous à des exigences élevées sur la qualité du signalement technique et sur les formats structurés.

4. Comment se fait le dépôt, en bref

Le dépôt n’est pas un courriel à l’autorité : il passe par la plateforme de signalement unique instituée par l’art. 16, et l’accès exige des identifiants EU Login validés au préalable.

La chaîne des délais — 24 heures, 72 heures, rapport final — est la même dans toute l’Union et figure en entier sur la page consacrée à l’art. 14. Pour l’autre déclencheur de l’article, le délai final change : il est sur la page incident grave.

5. Ce qu'il faut préparer avant un incident

Cinq choses, mises en place calmement, font la différence entre un signalement déposé à temps et un signalement déposé trop tard. La première est le point de contact vers CIRCL, désigné et validé, avec un suppléant nommé : le jour du cas, on ne cherche pas qui détient les identifiants.

Au Luxembourg, il est utile d’exploiter la brièveté de la chaîne : un contact établi en amont, avec un nom et une adresse vérifiés, ramène à quelques heures ce qui exige ailleurs une procédure.

Et une note sur le temps : le Luxembourg est en CET/CEST et compte une forte proportion de travailleurs frontaliers dont les calendriers de jours fériés diffèrent. Les vingt-quatre heures de l’art. 14 ne s’ajustent à aucun des trois calendriers : organisez l’astreinte en conséquence.

Ce guide expose notre lecture du texte réglementaire et des procédures publiques ; il ne constitue pas un conseil juridique, et les détails opérationnels de la plateforme peuvent évoluer.