ENISA Plateforme unique de signalement (SRP) : guide d'intégration CRA

Le Règlement (UE) 2024/2847 (Cyber Resilience Act) achemine par un canal unique les vulnérabilités et incidents graves qu'un fabricant doit signaler : la plateforme unique de signalement (SRP) de l'ENISA, disponible sur portal.cra-srp.enisa.europa.eu à partir du 11 septembre 2026. Cette page couvre ce qu'il faut préparer, comment l'enregistrement fonctionne réellement et comment structurer l'escalade interne adaptée à l'horloge de 24 heures. Pour les délais eux-mêmes, voir le signalement des vulnérabilités.

Ce que dit le CRA sur la plateforme unique de signalement

L'ENISA met en place et exploite la plateforme unique de signalement (SRP). Les États membres et l'ENISA peuvent mettre en place leurs propres points finaux de notification électronique dans cette architecture. Trois faits opérationnels en découlent :

• L'ENISA exploite la plateforme unique de signalement. Les États membres et l'ENISA peuvent tout de même mettre en place leurs propres points finaux de notification électronique.
• Une soumission atteint les deux niveaux. Le fabricant soumet via le point final du CSIRT coordinateur, et la notification est simultanément accessible à l'ENISA.
• Le routage transfrontalier s'effectue dans la plateforme. Le CSIRT destinataire diffuse la notification aux autres CSIRT dont le territoire a été signalé comme affecté par le fabricant.

La plateforme unique de signalement est le canal de l'alerte précoce de 24 h, de la notification de 72 h et du rapport final. Le signalement volontaire n'est pas disponible à l'ouverture. L'ENISA indique que cette fonctionnalité arrivera dans une phase ultérieure : le premier jour, la plateforme n'accepte que les notifications obligatoires. Si vous comptiez y déposer des signalements volontaires de vulnérabilités ou de quasi-incidents, il faudra patienter.

Qui doit s'enregistrer

Les fabricants portent le signalement obligatoire via la plateforme unique de signalement. L'obligation incombe aux fabricants de produits comportant des éléments numériques, pas au reste de la chaîne d'approvisionnement.

Les intendants de logiciels ouverts déclarent aussi, mais seulement à partir du 11 décembre 2027. Le CRA leur accorde une date de départ plus tardive qu'aux fabricants : un intendant dispose donc de quinze mois de plus pour construire son processus. À compter de cette date, il doit signaler les vulnérabilités activement exploitées dès lors qu'il participe au développement du produit concerné, ainsi que les incidents graves affectant les systèmes qu'il fournit pour ce développement. Une nuance piège beaucoup de monde : la date plus tardive s'attache au rôle d'intendant, pas à l'organisation. Si la même organisation met aussi un produit sur le marché en tant que fabricant, ce produit relève du champ depuis le 11 septembre 2026.

Les importateurs et distributeurs informent le fabricant. Ils ne s'enregistrent pas sur la plateforme, ne déposent pas eux-mêmes de signalements et n'héritent pas de l'horloge de 24 heures. Leur obligation est d'informer le fabricant sans retard injustifié lorsqu'ils prennent connaissance d'une vulnérabilité. Voir importateur et distributeur.

Les fabricants non établis dans l'UE ont besoin d'un routage clair. Un mandat écrit du mandataire peut couvrir le signalement obligatoire, car les exclusions du mandataire ne visent pas le signalement lui-même. Sans établissement principal dans l'Union, le routage suit la chaîne de repli : mandataire, importateur, distributeur, puis concentration d'utilisateurs.

Prérequis à l'enregistrement

Sept éléments que l'organisation doit avoir préparés avant l'enregistrement. L'ENISA signale que ses orientations peuvent évoluer : traitez les écrans comme documentés plutôt que définitifs. L'absence de l'un de ces éléments ralentira la première soumission.

Exigence	Ce dont vous avez besoin
Entité juridique dans l'État membre de l'établissement principal	Un enregistrement d'entité juridique non ambigu vous permettant de sélectionner le bon CSIRT coordinateur lors de l'enregistrement (l'État « où sont principalement prises les décisions relatives à la cybersécurité de ses produits comportant des éléments numériques »).
Point de contact unique pour les utilisateurs	Un canal orienté utilisateurs dont les « moyens [ne sont] pas limités aux outils automatisés ». Les boîtes de réception en réponse automatique uniquement ne satisfont pas à cette exigence. Publié dans les informations à l'attention des utilisateurs accompagnant le produit.
Contact de sécurité orienté autorités	Un contact pour l'ENISA et le CSIRT coordinateur, distinct sur le plan opérationnel du canal orienté utilisateurs. Les champs d'enregistrement exacts restent soumis aux spécifications de l'ENISA.
Comptes EU Login personnels, avec authentification multifacteur	L'enregistrement passe par un compte EU Login personnel doté de l'authentification multifacteur ; créez-le à l'avance sur ecas.ec.europa.eu. La SRP n'ajoute aucun compte d'entreprise distinct : chaque déposant se connecte en son nom propre. Le CSIRT coordinateur valide que le déposant peut agir pour le fabricant après le premier accès, en parallèle du signalement, sans bloquer la soumission.
Choix du CSIRT coordinateur, consigné par écrit	Choisissez votre CSIRT désigné comme coordinateur dans la liste publiée par l'ENISA avant le premier événement, et consignez la raison de ce choix. L'ENISA indique qu'une notification envoyée au mauvais coordinateur peut être invalidée et doit être soumise à nouveau au bon CSIRT.
Inventaire du portefeuille de produits	Une liste à jour des produits et des États membres où chacun a été mis à disposition. Sans cela, l'alerte précoce ne peut pas indiquer correctement les territoires affectés.
Escalade interne documentée	Une procédure écrite permettant à l'organisation de passer de la détection à la soumission sur la SRP en moins de 24 heures, avec une couverture hors heures ouvrées. « Sans retard injustifié et, en tout état de cause, au plus tard 24 heures » ne laisse aucune place à une escalade ad hoc.

Calendrier : de la bascule au premier événement déclarable

Sources officielles de l'ENISA

L'ENISA indique que ses orientations reflètent l'état actuel des connaissances et peuvent évoluer. Consultez ces sources avant de vous appuyer sur une étape précise.

Document	Lien	Statut ENISA
Portail SRP	portal.cra-srp.enisa.europa.eu	Disponible à partir du 11 septembre 2026
CRA SRP - AR User Manual (55 pages)	AR User Manual (PDF direct)	Version 1.1, dernière mise à jour le 10 septembre 2026
Orientations CRA SRP, circonstances exceptionnelles particulières (PEC)	Orientations PEC	Mise à jour en septembre 2026
CRA Single Reporting Platform, conditions d'utilisation	Conditions d'utilisation	Mise à jour le 10 septembre 2026
Page SRP de l'ENISA	Single Reporting Platform (SRP)	Page du programme, fiche pratique, vidéos
Foire aux questions SRP	Frequently Asked Questions	Mise à jour le 10 septembre 2026
CRA SRP Glossary, champ par champ	CRA SRP Glossary	Version 1.3
List of CSIRTs Designated as Coordinators	Liste des coordinateurs	Mise à jour le 10 septembre 2026
CRA Single Reporting Platform Factsheet (PDF, en anglais)	www.enisa.europa.eu/media/57221	En anglais uniquement, aucune date de version sur le fichier
CRA SRP - AR User registration	AR User registration	Mis à jour le 10 septembre 2026
CRA SRP - AR Notification submission and update	AR Notification submission and update	Mis à jour le 9 septembre 2026
CRA SRP - AR Interface functions	AR Interface functions	Mis à jour le 9 septembre 2026
CRA SRP Status	Page d'état de la SRP	Indicateur de disponibilité en direct. Affiche les deux états à la date de rédaction
Page et FAQ de la Commission sur la mise en œuvre du CRA	CRA reporting	La section 5 traite du signalement
Orientations de mise en œuvre de la Commission	Orientations du 27 juillet 2026	La section 9.1 traite du signalement

Le Glossary est à lire avant votre première soumission, pas pendant. Il couvre 39 champs, 18 communs plus 12 pour une vulnérabilité activement exploitée et 9 pour un incident grave. Pour chacun, il donne le sens, la façon de le remplir, un exemple, le format attendu et son caractère obligatoire, facultatif, obligatoire si l'information est disponible, ou repris de l'étape précédente. Il n'existe qu'en anglais et il constitue désormais la seule référence des champs : la FAQ vous y renvoie au lieu de les énumérer elle-même. Notez ce que ces 39 champs ne comprennent pas. Les horodatages de signalement et l'auteur du signalement sont remplis par la plateforme, et l'étape de notification est un choix que vous faites plutôt qu'un champ de données à préparer : aucun d'eux ne figure donc dans le Glossary et aucun n'a besoin d'être rédigé à l'avance.

Adresse d'assistance de l'ENISA pour la plateforme : cra-srp-helpdesk@enisa.europa.eu. Deux autres adresses couvrent la sécurité de la plateforme elle-même, pas celle de vos produits : un incident de sécurité impliquant la plateforme se signale à cra-srp-security@enisa.europa.eu, et une vulnérabilité que vous découvrez dans la plateforme elle-même à responsible-disclosure@enisa.europa.eu, l'adresse indiquée dans le security.txt de l'ENISA. Aucune de ces deux adresses n'est une voie de notification CRA pour vos propres produits.

Le flux d'enregistrement

L'ENISA a mis à jour son guide d'enregistrement pas à pas le 10 septembre 2026 et signale toujours qu'il peut évoluer. Pour le parcours écran par écran, avec captures de l'enregistrement, des trois étapes de soumission et de la mise à jour d'une notification, l'AR User Manual de l'ENISA est la référence la plus complète.

Assigned Representative est un rôle de la plateforme, pas un rôle juridique. L'ENISA appelle Assigned Representative, ou AR, l'utilisateur de la SRP qui déclare pour un fabricant ou un intendant de logiciels ouverts. C'est un rôle du compte SRP, distinct du mandataire au sens du CRA désigné par mandat écrit. Le guide s'applique donc aussi quand un fabricant établi dans l'UE n'a désigné aucun mandataire.

Pour un AR principal, le flux est le suivant :

1. Ouvrez portal.cra-srp.enisa.europa.eu, sélectionnez votre rôle AR, puis continuez.
2. Choisissez le CSIRT désigné comme coordinateur dans la liste déroulante. Identifier le bon coordinateur relève de la responsabilité du fabricant.
3. Authentifiez-vous avec EU Login.
4. Lisez et acceptez l'accord juridique.
5. Confirmez vos données personnelles pré-remplies, qui proviennent d'EU Login et ne sont pas modifiables dans la plateforme.
6. Saisissez le nom du fabricant, plus les informations complémentaires facultatives.

La plateforme crée alors la fiche du fabricant, votre compte passe au statut Active avec le rôle AR Primary User, l'association est soumise à votre CSIRT coordinateur pour validation, et un e-mail de confirmation suit. Avec un compte EU Login qui fonctionne, l'opération prend quelques minutes.

Un AR secondaire s'enregistre autrement : il part de l'invitation reçue par e-mail, s'authentifie avec EU Login, confirme ses données personnelles pré-remplies, puis accepte l'association au fabricant.

Un AR principal par fabricant, plus 20 AR secondaires au maximum. Dans la plateforme, ces rôles portent les libellés AR Primary User et AR Backup User.

• L'AR principal détient les fonctions administratives : gérer la fiche du fabricant, inviter ou retirer des AR secondaires. L'ENISA encadre cette invitation : elle n'est ouverte qu'à un AR principal dont l'association AR-fabricant a été validée par le CSIRT coordinateur et affichée Verified. Tant que ce n'est pas le cas, vous ne pouvez pas ajouter votre suppléant. La validation porte sur l'association avec un fabricant donné : un AR qui agit pour plusieurs fabricants est vérifié séparément pour chacun.
• Un AR secondaire rejoint la fiche depuis une invitation reçue par e-mail et confirme les données pré-remplies du fabricant. Si cet enregistrement n'est pas terminé sous 7 jours, la fiche passe au statut Invitation Expired et l'invitation doit être renvoyée.
• Un AR secondaire peut ensuite revendiquer le rôle principal.

Désigner un AR secondaire est facultatif. Faites-le quand même : les comptes EU Login sont personnels, il n'existe aucun compte d'entreprise partagé sur lequel se rabattre, et l'horloge de 24 heures n'attend pas le titulaire du compte unique.

La validation se fait en parallèle et ne bloque pas vos signalements. Le CSIRT coordinateur valide l'association AR-fabricant après le premier accès. Tant qu'elle est en cours, elle ne vous empêche pas de soumettre, mais elle vous empêche d'inviter un AR secondaire. Les procédures et les délais de traitement varient d'un CSIRT à l'autre. L'ENISA demande aux fabricants de ne pas s'enregistrer par anticipation et d'engager l'enregistrement et la validation au moment où ils doivent effectivement soumettre, ce qui garde la file de validation de chaque CSIRT à un volume tenable.

Un AR non vérifié peut soumettre jusqu'à 20 notifications pour un fabricant avant que la validation ne devienne obligatoire. La FAQ de l'ENISA, son guide de l'interface et l'AR User Manual donnent tous ce chiffre. Voyez cette marge comme une soupape de sécurité face à une file de validation lente, pas comme une réserve sur laquelle planifier, et terminez la validation.

Notre lecture du conseil de l'ENISA : coupez-le en deux. Créez dès maintenant les comptes EU Login personnels et activez l'authentification multifacteur, parce que cette partie mobilise un appareil, un téléphone et l'agenda de quelqu'un. Gardez l'enregistrement sur la SRP pour le jour où vous en aurez besoin, exactement comme l'ENISA le demande.

Ayez ces éléments sous la main avant de commencer :

• Entité juridique : qui est le fabricant et où se trouve son établissement principal.
• Contact autorité : le contact SRP pour les messages de l'ENISA et du CSIRT coordinateur, distinct du canal orienté utilisateurs.
• Couverture produit : le portefeuille de produits et les États membres où les produits affectés sont mis à disposition.
• Routage du coordinateur : l'attribution du CSIRT selon les règles d'établissement principal et de repli.

Après l'enregistrement, le même point final gère les soumissions ultérieures : alerte précoce de 24 heures, notification de 72 heures, rapports intermédiaires demandés par le CSIRT et rapport final.

Il n'y a pas d'API de la plateforme unique de signalement dans la version initiale. L'ENISA indique que les organisations peuvent automatiser leurs flux de signalement internes et intégrer le signalement CRA à leurs propres systèmes, et qu'une API pourra être envisagée dans une phase ultérieure, mais la soumission elle-même se fait dans l'interface. Le partage pratique : automatisez la préparation, pas le dépôt. Sortez de vos systèmes le nom et la version du produit, les États membres affectés et l'identifiant CVE ou EUVD dans un brouillon prêt à coller, et laissez une personne nommément désignée le coller.

Les compteurs de la plateforme ne sont pas votre échéance

La plateforme affiche des compteurs pour la notification de 72 heures et le rapport final, et envoie des e-mails de rappel adossés à ces compteurs. L'ENISA précise qu'ils servent à la visibilité et ne remplacent pas les obligations de signalement. Trois détails comptent dans cette version.

• Le compteur de 72 heures part de votre soumission d'alerte précoce, pas de la prise de connaissance. Il affiche une échéance 48 heures après la soumission de l'alerte précoce de 24 heures. Déposez l'alerte précoce en fin de fenêtre de 24 heures et la plateforme peut signaler la notification comme en retard alors que vous êtes encore dans le délai légal. L'ENISA annonce qu'une version ultérieure calculera cette échéance à partir de la date de prise de connaissance.
• Il n'existe pas de compteur pour le rapport final d'une vulnérabilité activement exploitée. L'ENISA explique que l'échéance dépend de la date et de l'heure de disponibilité d'une mesure corrective ou d'atténuation, une date vers laquelle la plateforme ne peut pas décompter. Pour les incidents graves, le compteur affiche un mois après la notification de 72 heures.
• Le champ de prise de connaissance d'une vulnérabilité exploitée n'est pas encore stabilisé. Le Glossary de l'ENISA donne le champ « Date and time when you become aware of the Actively Exploited Vulnerability » comme obligatoire dès l'alerte précoce à 24 heures et note, dans la même ligne, qu'il arrive avec la prochaine version de la plateforme. Il est donc obligatoire sur le papier et peut-être encore absent à l'écran. Gardez votre propre horodatage de prise de connaissance et tenez-le prêt dans les deux cas de figure. Pour les incidents, le Glossary indique que le champ équivalent s'appelle dans cette version « Date and time when the incident was detected (UTC time) », ce qui n'est pas la même chose que la prise de connaissance.

Gardez donc l'horodatage de la prise de connaissance dans votre propre système, et démarrez votre horloge à partir de là. Le compteur de la plateforme est un rappel. L'échéance, c'est la loi.

Contenu minimal de chaque soumission à la plateforme unique de signalement

L'article 14 définit trois étapes de notification par événement à signaler. Les exigences de contenu diffèrent entre le flux vulnérabilité activement exploitée et le flux incident grave.

Vulnérabilité activement exploitée :

Étape	Délai	Contenu minimal requis
Alerte précoce	24 h à compter de la prise de connaissance	Indication que la vulnérabilité est activement exploitée. États membres où le produit est mis à disposition, si connus.
Notification de vulnérabilité	72 h à compter de la prise de connaissance	Informations générales sur le produit. Nature générale de l'exploitation et de la vulnérabilité. Mesures correctives ou d'atténuation prises. Mesures que les utilisateurs peuvent prendre. Indication de sensibilité.
Rapport final	14 jours après la disponibilité d'une mesure corrective ou d'atténuation	Description de la vulnérabilité, notamment sa gravité et son impact. Informations sur tout acteur malveillant l'exploitant, si disponibles. Détails de la mise à jour de sécurité ou de la mesure corrective.

Incident grave ayant un impact sur la sécurité du produit :

Étape	Délai	Contenu minimal requis
Alerte précoce	24 h à compter de la prise de connaissance	Indication si l'incident est suspecté d'être causé par des actes illicites ou malveillants. États membres où le produit est mis à disposition, si connus.
Notification d'incident	72 h à compter de la prise de connaissance	Nature de l'incident. Évaluation initiale. Mesures correctives ou d'atténuation prises. Mesures que les utilisateurs peuvent prendre. Indication de sensibilité.
Rapport final	1 mois après la notification d'incident de 72 h	Description détaillée de l'incident, notamment sa gravité et son impact. Type de menace ou cause profonde probable. Mesures d'atténuation appliquées et en cours.

Le CSIRT désigné comme coordinateur peut aussi demander un rapport intermédiaire entre la notification de 72 h et le rapport final. Aucun des deux flux n'exige d'identifiants CVE ni de scores CVSS à l'étape de l'alerte précoce. L'obligation de 24 h est de notifier, pas d'avoir achevé l'analyse. Les détails techniques complets figurent dans les étapes de notification et de rapport final.

Escalade interne : respecter l'horloge de 24 heures

L'horloge de 24 heures démarre à la prise de connaissance, pas à la confirmation. La difficulté consiste à passer de « nous venons de l'apprendre » à « nous venons de soumettre » en moins de 24 heures, y compris hors heures ouvrées. Un processus de triage qui « prend généralement 48 heures » est structurellement non conforme. La détection, le triage, l'examen juridique en parallèle et la soumission doivent tous tenir dans la même journée calendaire, week-ends et heures non ouvrées compris.

Étape	Dans les 24h ?	Notes
Détection	Oui	Ingénierie interne, signalements clients, supervision, renseignement sur les menaces, intégration de la DCV. Les chemins de triage pour « activement exploitée » et « incident grave » doivent être distincts.
Triage	Oui	Utilisez les signaux de notation de gravité (CVSS / EPSS / KEV) comme éléments d'appréciation. La preuve d'exploitation est le déclencheur. La gravité seule ne l'est pas.
Examen juridique	En parallèle	Une attente en série de la validation juridique fait manquer les 24 heures. Le fabricant peut signaler la sensibilité, et la plateforme peut retenir la diffusion pour des raisons de cybersécurité.
Alerte précoce sur la plateforme unique de signalement	Oui	Flux vulnérabilité ou flux incident grave.
Notification 72h	Après 24h	Dans les 72 heures suivant la prise de connaissance.
Rapport final	14 jours (vuln.) / 1 mois (incident)	Vulnérabilités : 14 jours à compter de la disponibilité d'une mesure corrective. Incidents graves : un mois à compter de la notification de 72 heures.

Routage CSIRT

Le routage CSIRT suit l'établissement principal du fabricant dans l'Union, c'est-à-dire l'État membre où les décisions de cybersécurité du produit sont principalement prises. Si cet État ne peut pas être déterminé, retenez celui où se trouve votre établissement de l'UE comptant le plus grand nombre de salariés. Sans établissement principal dans l'Union, la chaîne de repli s'applique dans cet ordre : l'État membre où votre mandataire agit pour le plus grand nombre de produits, puis celui de l'importateur qui en met le plus sur le marché, puis celui du distributeur qui en met le plus à disposition, puis l'État membre comptant le plus grand nombre d'utilisateurs.

La liste des CSIRT désignés comme coordinateurs de l'ENISA est datée du 10 septembre 2026 et comporte une page de contact pour chaque État membre. Confirmez votre coordinateur à partir de cette liste et consignez la raison du choix, car l'ENISA indique désormais qu'une notification soumise au mauvais coordinateur peut être invalidée et doit être soumise à nouveau au bon CSIRT. L'échéance court à partir de la prise de connaissance, pas d'un nouveau départ : les heures perdues à resoumettre sont prises sur votre propre budget. Après la soumission, la diffusion transfrontalière aux CSIRT des autres États membres affectés se fait au sein de la plateforme.

Une seule notification par événement, même avec des filiales dans l'UE

L'ENISA a tranché une question qui revient dans chaque structure de groupe : une seule notification est requise pour une vulnérabilité activement exploitée ou un incident grave donné, même lorsque le fabricant compte plusieurs succursales ou filiales dans l'UE, ou une société mère hors de l'Union. Se coordonner à l'intérieur de cette structure reste le travail du fabricant.

Lisez la limite avec attention, car elle est plus étroite qu'on ne l'espère. Il s'agit d'un seul fabricant avec des succursales et des filiales, pas d'un droit pour deux fabricants juridiquement distincts d'un même groupe de partager un seul dépôt. Quand deux entités mettent chacune leurs propres produits sur le marché, chacune porte sa propre obligation.

Les deux modes de défaillance méritent de figurer dans la procédure. Deux filiales déposent le même événement et le CSIRT coordinateur reçoit des doublons qui ressemblent à deux fabricants. Ou chaque entité suppose que l'autre a déposé, et rien n'arrive dans les 24 heures. Désignez avant l'événement, et non pendant, l'entité qui dépose et la personne qui dépose.

Plateforme unique de signalement et contact direct avec un CSIRT national

Envoyer un e-mail directement à un CSIRT national ne satisfait pas à l'obligation de signalement CRA, même si le fabricant entretient une relation de travail préexistante avec ce CSIRT.

Canal	Obligatoire pour les signalements CRA ?	Ce qu'il couvre
Plateforme unique de signalement	Oui	Signalements de vulnérabilités activement exploitées. Signalements d'incidents graves. Notifications de 72 h et rapports finaux.
Contact direct avec un CSIRT national	Non	Coordination de la divulgation coordonnée de vulnérabilités. Partage de renseignements sectoriels sur les menaces. Collaboration informelle en réponse aux incidents.

Les fabricants qui entretiennent une relation avec un CSIRT national peuvent la conserver pour la coordination CVD et l'échange de renseignements sectoriels. Ce qui doit transiter par la plateforme unique de signalement : toute notification obligatoire au titre de l'article 14. La plateforme gère automatiquement le routage transfrontalier vers les CSIRT des autres États membres concernés. Une seule soumission atteint tous les CSIRT pertinents.

Si vous n'êtes pas fabricant, la plateforme n'est pas votre canal. Cette version n'accepte que les notifications obligatoires au titre de l'article 14 déposées par des fabricants. Un chercheur en sécurité, un utilisateur, un importateur ou un distributeur qui souhaite signaler une vulnérabilité s'adresse directement au CSIRT national compétent. L'ENISA indique qu'une soumission émanant de quelqu'un d'autre peut être marquée comme non valide dans la plateforme.

Si la plateforme est indisponible. La réponse de l'ENISA est d'attendre et de soumettre dès qu'elle est de nouveau accessible. Si vous estimez qu'une communication immédiate ne peut pas attendre, vous pouvez contacter directement votre CSIRT coordinateur entre-temps, mais la notification doit tout de même passer ensuite par la plateforme. Le contact direct est un ajout, jamais un remplacement, et il ne prolonge aucun délai. Conservez un relevé horodaté de l'indisponibilité, de ce que vous avez tenté et de tout contact direct que vous avez établi.

Pièges courants

• Activer EU Login et l'authentification multifacteur pendant l'incident. L'ENISA demande de ne pas s'enregistrer par anticipation sur la plateforme, et c'est raisonnable. Cela ne veut pas dire laisser la question de l'identité pour le jour de l'événement. Créez les comptes personnels, activez l'authentification multifacteur et testez la connexion maintenant, pour qu'un enregistrement le jour même prenne réellement quelques minutes.
• Laisser la plateforme vous dicter l'échéance. Dans cette version, le compteur de 72 heures part de votre soumission d'alerte précoce plus 48 heures, et le champ de prise de connaissance d'une vulnérabilité exploitée n'est peut-être pas encore à l'écran alors que le Glossary le donne comme obligatoire. Gardez votre propre horloge.
• Deux filiales qui déposent, ou aucune. Une seule notification par événement pour un fabricant, et quelqu'un doit en porter la responsabilité. Désignez dans la procédure l'entité et la personne qui déposent.
• Une seule personne détentrice du seul compte. Désignez un AR principal et au moins un AR secondaire, et terminez l'invitation dans les 7 jours, avant qu'elle n'expire.
• Deviner le CSIRT coordinateur pendant un incident. La liste est publiée. Un mauvais coordinateur peut invalider la notification et vous coûter des heures dont vous ne disposez pas.
• Une adresse security@ générique avec réponse automatique. En contradiction avec l'exigence du canal orienté utilisateurs et inadaptée au canal d'autorité SRP.
• Aucun produit ou des produits obsolètes liés à l'enregistrement. L'alerte précoce doit indiquer les États membres où le produit a été mis à disposition. Sans inventaire à jour, l'alerte précoce est incomplète.
• Absence de SLA interne pour l'horloge de 24 heures. Le délai de la détection à la soumission requiert un budget temps explicite.
• Signalement par e-mail au CSIRT national. La plateforme unique de signalement est le canal désigné. Un e-mail à un CSIRT national n'est pas équivalent.
• Traiter le mandataire comme une adresse de transfert. Le mandat de mandataire d'un fabricant non établi dans l'UE doit couvrir expressément le signalement, et le mandataire doit être prêt à soutenir la soumission SRP.