Article 14 : traitement des vulnérabilités et notification
À partir du 11 septembre 2026, les fabricants doivent notifier les vulnérabilités activement exploitées et les incidents graves à l'ENISA et aux CSIRT nationaux. C'est une notification aux autorités, pas une obligation d'écrire aux clients finaux.
L'article 14 est l'urgence calendaire pour la plupart des fabricants. Vous ne pouvez pas notifier ce que vous ne trouvez pas dans un produit déjà sur le marché. Informer les utilisateurs finaux relève du traitement des vulnérabilités et de la divulgation coordonnée, en vue de l'application complète en décembre 2027 : un chemin distinct du dépôt SRP.
alloy-it n'est pas un logiciel de marquage CE, ni un organisme notifié, et ne soumet pas de rapports à l'ENISA. Il vous aide à savoir ce que vous avez livré, décider ce qui est concerné, horodater la prise de connaissance et préparer un paquet JSON à copier.
Le calendrier 24 h / 72 h / 14 jours
Les trois délais partent du même moment : lorsque le fabricant a pris connaissance. Voir ce qu'il faut avoir en place avant le 11 septembre 2026 →
- 24 heures
Alerte précoce
ENISA + CSIRT national
Dès le moment où vous prenez connaissance qu'une vulnérabilité dans un produit que vous avez mis sur le marché est activement exploitée. Cela peut être court : ce que vous savez, et que vous enquêtez.
In alloy-it: La prise de connaissance est horodatée lorsque vous enregistrez l'exploitation, et le payload 24 h est rédigé à partir de vos données produit et versions.
- 72 heures
Notification de vulnérabilité
ENISA + CSIRT national
Le tableau plus complet : produits et versions concernés, sévérité et impact, et toute mesure corrective ou d'atténuation disponible pour les utilisateurs.
In alloy-it: Les versions concernées viennent de votre inventaire et de vos décisions de triage : délimiter le périmètre n'est plus un exercice d'archéologie manuelle.
- 14 jours
Rapport final
ENISA + CSIRT national
Après qu'une mesure corrective est disponible : la nature de la vulnérabilité, le correctif, et ce que vous avez fait.
In alloy-it: Le dossier de preuves rassemble le SBOM, les constats, l'historique de triage et la chronologie de prise de connaissance pour la version concernée.
Comment alloy-it soutient la préparation à l'article 14
Inventaire produit vivant
Produits et versions avec SBOM fournisseur et/ou dérivés du firmware, pour répondre à « la CVE X apparaît-elle dans quelque chose que nous avons déjà livré ? »
Superposition KEV / EUVD
Mettez en évidence les constats activement exploités sur des composants de vos versions livrées.
Horodatage de prise de connaissance
Horodatez le moment où le fabricant a pris connaissance. Cela démarre le délai de l'article 14.
Payload SRP en JSON à copier
Exportez les champs pour ENISA SRP / CSIRT national. Alloy ne soumet pas. Le dépôt reste chez vos responsables PSIRT et juridiques.
Les avis clients (version de correctif, date d'application) sont un chemin de notification séparé, ouvert après que le triage a confirmé l'impact et qu'un correctif ou une mitigation existe. Ce n'est pas l'obligation de septembre 2026. Comment fonctionnent les avis → Voir la liste complète →
Hub de conformité CRA
Vue d'ensemble CRA pour l'embarqué et le firmware
Ce qu'exige le Cyber Resilience Act, les échéances, et comment les fabricants de produits comportant des éléments numériques s'y conforment.
Exigences SBOM du CRA
Règles de format, de portée et par version pour un Software Bill of Materials produit conforme au CRA.
CRA pour l'embarqué et le firmware
Pourquoi le firmware nécessite un SBOM fournisseur plus un inventaire dérivé du binaire, et en quoi les images HEX ou chiffrées diffèrent.
Liste de contrôle de conformité CRA
Une liste pratique qui relie chaque obligation CRA à ce que votre équipe doit faire.
SBOM d'environnement de compilation
Chaîne d'outils et dépendances de compilation pour la documentation technique : profondeur utile, mais pas ce que demande la notification de septembre 2026.
Cette page fournit des informations générales sur le Cyber Resilience Act de l'UE et ne constitue pas un conseil juridique. Le règlement et ses normes harmonisées évoluent encore : consultez les sources officielles de l'UE, de l'ENISA et du BSI ainsi qu'un conseil qualifié pour votre produit. alloy-it aide pour l'inventaire produit, la surveillance SBOM, le triage, les preuves article 14 et le chemin de reconstruction ; ce n'est ni un logiciel de marquage CE, ni un organisme notifié, et cela ne soumet pas de rapports à l'ENISA ni aux CSIRT nationaux.
Soyez prêts avant le 11 septembre 2026
Inventaire vivant, superposition KEV/EUVD, horloge de prise de connaissance et export prêt pour le SRP, sans confondre notification aux autorités et e-mail client.