Hoe u onder de CRA meldt bij CERT-FR

1. Wie uw melding ontvangt: ANSSI en CERT-FR

De Agence nationale de la sécurité des systèmes d’information (ANSSI) is de nationale autoriteit, en CERT-FR is haar operationele centrum. ANSSI zetelt in Parijs en staat bekend om een gedetailleerd regelkader en een strikt gebruik van het Frans.

De keten is precies deze: de autoriteit als instelling, CERT-FR als operationeel team dat uw melding leest en dat samen met ENISA de in art. 14 bedoelde ontvanger vormt.

ANSSI is de Franse nationale autoriteit voor de beveiliging van informatiesystemen, ondergebracht bij het Secretariaat-generaal voor defensie en nationale veiligheid. CERT-FR is haar operationele centrum: het ontvangt, kwalificeert en verspreidt. De commandolijn is kort en uitgesproken statelijk.

2. Het nationale kanaal in de praktijk

De taal van de melding is Frans. ANSSI publiceert waarschuwingen en bulletins in het Frans en houdt een bekend standpunt aan over taalgebruik in het verkeer met de overheid: uitsluitend Engelstalige technische documentatie kan een Franse samenvatting vergen.

CERT-FR onderscheidt meldingen van gereguleerde exploitanten van spontane meldingen van derden. Een fabrikant die geen exploitant van vitaal belang is, gebruikt het algemene kanaal; welk formulier geldt, kunt u beter vooraf nagaan.

CERT-FR · officiële website

3. Het landschap eromheen

Frankrijk zette NIS2 om met bevestiging van ANSSI als bevoegde autoriteit en verbreding van de kring gereguleerde entiteiten. Het model blijft gecentraliseerd: één autoriteit, één nationaal CERT, ruime bevoegdheden.

Voor de CRA volgt de aanwijzing van het CSIRT dat fabrikantenmeldingen ontvangt niettemin de nationale uitvoering van de verordening, iets anders dan het NIS2-toepassingsgebied. Controleer de geldende aanwijzing voordat u indient.

Nog één praktisch punt: ANSSI beheert ook de Franse kwalificatie- en certificeringsschema's en neemt deel aan het Europese kader. Valt uw product onder de kritieke, dan kent de instantie die uw meldingen ontvangt ook de certificeringsroute.

4. Hoe indienen werkt, kort

Indienen is geen e-mail aan de autoriteit: het loopt via het centraal meldingsplatform van art. 16, en toegang vraagt vooraf gevalideerde EU Login-inloggegevens.

De keten van termijnen — 24 uur, 72 uur, eindverslag — is in de hele Unie dezelfde en staat volledig op de pagina over art. 14. Bij de andere trigger van het artikel verandert de slottermijn: die staat op de pagina over het ernstige incident.

5. Wat vóór een incident voor te bereiden

Vijf dingen, rustig geregeld, maken het verschil tussen een tijdig ingediende melding en een te late. Het eerste is het contactpunt bij CERT-FR, aangewezen en gevalideerd, met een benoemde vervanger: op de dag van het geval zoekt u niet wie de inloggegevens heeft.

In Frankrijk loont het tijdig een Franse samenvatting voor te bereiden van de technische inhoud die u moet doorgeven: onder druk vertalen, binnen vierentwintig uur, is de eenvoudigste manier om een fout te brengen in een stuk dat in het dossier blijft.

En een noot over tijd: Frankrijk zit op CET/CEST en heeft in het voorjaar een dichte feestdagenkalender. De vierentwintig uur van art. 14 stoppen niet. Een benoemde — niet slechts veronderstelde — plaatsvervanger onderscheidt een piket dat standhoudt van een piket dat alleen op het organogram bestaat.

Deze gids geeft onze lezing van de verordeningstekst en de openbare procedures weer; hij vormt geen juridisch advies, en de operationele details van het platform kunnen veranderen.