Les questions qu'on nous pose avant de signer

Les obligations de signalement de l'art. 14 s'appliquent à partir du 11 septembre 2026. Les autres obligations du fabricant et les exigences essentielles de l'annexe I s'appliquent à partir du 11 décembre 2027. Si vous avez déjà des produits sur le marché, le devoir de signaler les vulnérabilités exploitées s'applique dès la première date, quelle que soit la date de mise sur le marché du produit.

Deux catégories : les vulnérabilités activement exploitées contenues dans le produit et les incidents graves touchant la sécurité du produit. Les vulnérabilités seulement découvertes ou divulguées sans preuve d'exploitation n'ont pas à être signalées, ni les dysfonctionnements sans portée de sécurité. La différence doit être documentée : un « non » motivé vaut diligence, un « non » silencieux non.

Des éléments fiables indiquant que quelqu'un a exploité la vulnérabilité dans un système sans autorisation : journaux d'exécution non autorisée, exploit fonctionnel en circulation, confirmation d'un CSIRT ou d'un client avec preuves. Le soupçon théorique ne suffit pas ; la confirmation d'un seul cas réel, si.

Oui. Après avoir notifié les autorités, le fabricant informe les utilisateurs du produit concerné sans retard injustifié et, le cas échéant, indique les mesures correctives ou d'atténuation qu'ils peuvent adopter. L'avis doit être conservé : c'est la preuve que le marché a été informé.

Elle doit être signalée au mainteneur du composant, en plus des obligations envers les autorités si la condition d'exploitation est remplie. Dans l'application, la tâche apparaît automatiquement lorsque la SBOM du produit contient des composants tiers, avec le contact du mainteneur déjà disponible.

Non, et c'est voulu. Le dépôt sur la Single Reporting Platform de l'ENISA est un acte du fabricant, avec ses propres identifiants EU Login et sa propre signature. L'application prépare le texte final, le verrouille avec un horodatage, vous guide champ par champ dans le formulaire et conserve l'accusé que vous téléversez. Aucun intermédiaire ne s'interpose entre vous et l'autorité.

Une demi-journée. Vous enregistrez les produits, y compris par import CSV ; vous désignez les contacts avec niveaux d'escalade et seuils d'alerte ; vous publiez le formulaire public de signalement ; vous créez les identifiants EU Login. Le mode exercice permet d'essayer tout le flux sans produire d'actes à valeur juridique.

Le délai court à partir de la prise de connaissance, enregistrée dans le triage avec la date et l'heure exactes. Dès lors, le dossier affiche le temps restant, la barre du temps écoulé et les rappels à −12, −8, −4 et −1 heure, envoyés au contact du niveau correspondant sur Slack, Teams ou par e-mail.

Un seul PDF ordonné : fiche du dossier et du produit, le signalement tel que reçu avec ses pièces jointes, le parcours de triage avec la base réglementaire appliquée, la communication rédigée et déposée, accusés et confirmations, obligations connexes (art. 14(8) et 13(6)) et la chronologie complète avec les identifiants de contrôle d'intégrité de chaque entrée.

Oui. Chaque société a un registre, des produits et des utilisateurs séparés ; le même utilisateur passe de l'une à l'autre depuis le sélecteur et chaque bascule est enregistrée. Chaque société compte ses propres Produits gérés, et la séparation peut être rendue contractuelle en plus de technique dans un accord enterprise.

La qualification reste la vôtre, mais elle ne reste pas implicite. Chaque étape enregistre la réponse, l'article appliqué, l'auteur et l'heure : si vous décidez que l'obligation ne naît pas, le raisonnement est écrit et défendable. C'est le contraire du silence, qui ne s'explique pas sous inspection.

Non. Les intégrations SBOM et les API sont facultatives. Qui utilise déjà Dependency-Track, Syft, Snyk, Black Duck, FOSSA, JFrog Xray, Mend ou le graphe de dépendances de GitHub les connecte et voit les composants tiers apparaître dans les dossiers ; qui ne les utilise pas travaille avec le registre des produits rempli à la main ou par CSV.

Oui, avec un iframe à coller : champs configurables (produit et version, pièces jointes, clé PGP, signalement anonyme), texte d'introduction modifiable, un alias e-mail dédié et une apparence white-label. Chaque envoi ouvre un dossier horodaté et renvoie un numéro de suivi au signaleur.

Oui : des points de terminaison pour les dossiers, le triage, les notifications et le registre, plus des webhooks signés HMAC-SHA256 pour les événements (dossier créé, triage terminé, échéance proche, notification déposée). Chaque clé a des permissions sélectionnables et peut être tournée avec 24 heures de chevauchement.

Rôles (administrateur, évaluateur, facturation seule, lecture seule), demandes d'accès avec approbation de l'administrateur, vérification en deux étapes avec codes de récupération, gestion des sessions actives et journal de chaque modification des permissions.

Dans l'Union européenne. Le registre d'activité est conservé cinq ans, en cohérence avec le besoin de démontrer la diligence. Le traitement est régi par un accord au titre de l'art. 28 du RGPD, avec une liste publique des sous-traitants ultérieurs.

Oui. Chaque entrée porte un identifiant calculé à partir de son horodatage, de son contenu et de ses références : changer un seul caractère produit un identifiant différent, si bien que toute altération est évidente à la comparaison. Le registre s'exporte en CSV et est reproduit intégralement dans le dossier de preuves.

Seulement pour proposer le brouillon descriptif de l'événement à partir du signalement reçu, et le texte doit toujours être validé par une personne. La qualification, le calcul des échéances et le dépôt ne sont pas confiés à des modèles génératifs. Les détails sont sur la page consacrée à l'usage de l'IA.

Les manquements aux obligations des articles 13 et 14 du Cyber Resilience Act peuvent entraîner des amendes jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial total, selon le manquement, l'acteur et les circonstances prévues par le règlement. S'y ajoutent les mesures de retrait du marché et le dommage commercial envers les clients qui exigent la conformité dans les appels d'offres.

Abonnement mensuel ou annuel avec deux mois inclus, paiement par carte via Stripe ; sur demande, virement, facture à 30 jours, prélèvement SEPA ou commandes par arrêté administratif. Aucun engagement pluriannuel : la résiliation prend effet à la fin de la période payée et vous exportez le registre et les dossiers.

Oui, avec un usage différent : ils suivent les signalements reçus, les transmettent au fabricant et documentent l'avoir fait. Le prix suit les Produits gérés que vous déclarez, donc un petit catalogue coûte peu ; si vous vendez des produits tiers sous votre propre marque, les obligations du fabricant s'appliquent.

Nous menons des exercices guidés sur votre processus et accompagnons l'équipe lors des premiers signalements réels. Nous ne sommes pas un cabinet d'avocats et ne donnons pas d'avis juridique : sur la qualification des cas limites, nous travaillons avec votre conseil.