Incident grave ayant une incidence sur la sécurité : quand l’art. 14 s’applique

1. Ce qu’est un incident grave au sens du règlement

Non pas « un problème sérieux », mais une catégorie définie : un incident qui affecte négativement la capacité du produit comportant des éléments numériques à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données et des fonctions, ou qui a conduit à l’exécution de code malveillant. Deux conditions alternatives : une seule suffit.

La différence pratique avec la vulnérabilité exploitée tient au point de départ. Là, on part d’un défaut du produit que quelqu’un a utilisé. Ici, on part d’un événement — un accès non autorisé à l’infrastructure de mise à jour, une clé de signature compromise, un paquet malveillant entré dans la chaîne de distribution — qui a dégradé les propriétés de sécurité du produit. Le défaut peut n’avoir jamais existé.

2. Deux chaînes, pas une

L’art. 14 tient les deux chaînes séparées, et les confondre fait manquer des délais. Deux faits déclenchent l’obligation :

• une vulnérabilité du produit activement exploitée, c’est-à-dire avec des preuves que quelqu’un l’a utilisée sans autorisation ;
• un incident grave ayant une incidence sur la sécurité du produit, même en l’absence de vulnérabilité exploitée.

Les deux premiers délais sont identiques — 24 heures et 72 heures —, le dernier non, et le contenu des communications non plus. La distinction entre vulnérabilité signalée et exploitée n’aide pas à qualifier un incident : ce sont deux axes différents.

3. À partir de quand les heures courent

À partir de la connaissance. Pas de l’ouverture du dossier, pas de la réunion de la cellule de crise, pas du moment où vous avez saisi l’ampleur. À l’instant où le fabricant prend connaissance de l’incident : le signalement arrivé à l’adresse publique, l’alerte de supervision que quelqu’un a lue, l’appel du client.

C’est l’instant que vous devrez pouvoir désigner à une autorité, avec la preuve du moment où vous l’avez fixé. Le fixer tard n’allonge pas les délais : cela les déplace seulement sur le papier — et c’est précisément le papier qui sera examiné.

4. Les trois dépôts, et le délai qui change

La chaîne est celle de l’art. 14, avec une différence sur le rapport final :

• alerte précoce dans les 24 heures suivant la connaissance : vous déclarez qu’un incident grave existe, avec ce que vous savez ;
• notification de mise à jour dans les 72 heures : évaluation initiale, gravité, incidence, et les mesures correctives ou d’atténuation prises ;
• rapport final dans le mois suivant la notification de mise à jour : description de l’incident, gravité et incidence, causes, mesures appliquées.

C’est là que les deux chaînes divergent. Pour la vulnérabilité exploitée, le rapport final s’ancre à la date à laquelle la mesure corrective devient disponible, plus quatorze jours. Pour l’incident grave, il s’ancre à la notification de mise à jour, plus un mois. Traiter un incident au calendrier de la vulnérabilité fait manquer l’échéance de plusieurs semaines.

5. À qui l’on dépose

Aux deux destinataires prévus par le règlement : le CSIRT désigné par l’État membre et l’ENISA. Le dépôt passe par la plateforme de signalement unique instituée par l’art. 16, avec des identifiants EU Login : des démarches administratives qui se préparent en amont, pas dans les vingt-quatre heures.

Les termes du règlement employés ici — incident grave, connaissance, mesure corrective, plateforme de signalement unique — figurent dans le glossaire, chacun avec son article.

6. Ce qu’il faut préparer en amont

Un incident grave se qualifie sous pression, et la qualification se documente pendant qu’on la fait, pas après coup. Quatre choses font la différence :

• un canal unique où arrivent les signalements externes, horodaté à chaque entrée ;
• un critère écrit distinguant un dysfonctionnement d’un incident ayant une incidence sur la sécurité ;
• le point de contact auprès du CSIRT désigné et les identifiants EU Login, déjà validés ;
• un registre des décisions : un « non, ce n’est pas un incident grave » motivé vaut diligence, un « non » silencieux ne vaut rien.

Aucune de ces quatre choses ne se construit le jour du dossier.

Cette page décrit le règlement en termes généraux ; elle ne constitue ni un avis juridique ni une appréciation de votre cas concret. La qualification d’un événement et les délais qui en découlent demeurent la responsabilité du fabricant.