Divulgation coordonnée des vulnérabilités (CVD) : la politique que le CRA impose, en pratique

La divulgation coordonnée des vulnérabilités (Coordinated Vulnerability Disclosure, CVD) désigne le processus par lequel une personne qui découvre une vulnérabilité dans un produit la signale au fabricant, qui la traite et publie une correction avant toute divulgation publique. Jusqu'ici volontaire, la démarche devient une obligation réglementaire : l'annexe I, partie II du règlement (UE) 2024/2847 (Cyber Resilience Act) impose aux fabricants de produits comportant des éléments numériques de mettre en place et d'appliquer une politique de CVD. Cette exigence s'applique avec le reste des exigences essentielles, le 11 décembre 2027, mais elle conditionne en pratique l'obligation de notification de l'article 14, active depuis le 11 septembre 2026 : sans canal de signalement organisé, un fabricant apprend l'exploitation d'une vulnérabilité par la presse plutôt que par un rapporteur. Cet article décrit ce que la politique doit contenir et comment une PME la met en place.

Ce que le CRA exige des fabricants

La partie II de l'annexe I regroupe les exigences de traitement des vulnérabilités, applicables pendant toute la période de support du produit. Le fabricant doit identifier et documenter les vulnérabilités et les composants du produit, y compris sous la forme d'une nomenclature des composants logiciels (SBOM). Il doit traiter les vulnérabilités sans retard, tester régulièrement la sécurité du produit, et publier les informations sur les vulnérabilités corrigées une fois la mise à jour disponible. Il doit mettre en place et appliquer une politique de CVD, faciliter le partage d'informations sur les vulnérabilités potentielles, y compris dans les composants tiers, et fournir une adresse de contact pour leur signalement. Il doit enfin distribuer les mises à jour de sécurité par des mécanismes sûrs, sans retard et, sauf accord contraire sur un produit sur mesure, gratuitement.

La politique de CVD est donc une pièce d'un dispositif plus large : elle organise l'entrée des signalements, que les autres exigences de la partie II prennent ensuite en charge (traitement, correction, diffusion).

Les deux normes qui structurent l'exercice

Deux normes ISO couvrent les deux faces du processus, et les autorités les citent comme référence de mise en œuvre. ISO/IEC 29147 (divulgation de vulnérabilités) traite de l'interface avec l'extérieur : comment recevoir les signalements, dialoguer avec le rapporteur, publier des avis de sécurité. ISO/IEC 30111 (processus de traitement des vulnérabilités) traite de l'interne : comment qualifier, prioriser, corriger et vérifier. Pour une PME, la lecture utile est celle des exigences minimales : un point de contact publié, des accusés de réception, des délais de traitement définis, une décision documentée pour chaque signalement.

Le cadre français existant

Le droit français comporte déjà deux dispositifs à connaître. L'article L. 2321-4 du code de la défense permet à toute personne de signaler de bonne foi une vulnérabilité à l'ANSSI (CERT-FR), qui préserve la confidentialité de son identité ; c'est le canal qu'un chercheur utilise lorsque le fabricant ne répond pas ou n'a pas de point de contact. L'article L. 2321-4-1, issu de la loi de programmation militaire 2024-2030, oblige les éditeurs de logiciels fournis en France à notifier à l'ANSSI les vulnérabilités significatives et les incidents affectant leurs produits, et à en informer leurs utilisateurs. Un éditeur PME français est donc déjà couvert par une obligation nationale de notification, avant même l'application des volets CRA.

Une politique CVD proportionnée en pratique

Pour une PME, la politique tient en une page publiée sur le site et couvre cinq points. Le périmètre : quels produits et quelles versions sont concernés. Le canal : une adresse dédiée (par exemple security@entreprise.fr), le cas échéant décrite dans un fichier security.txt à la racine du site (RFC 9116), avec une clé de chiffrement si l'entreprise sait la gérer. Les engagements : accusé de réception sous un délai défini, information du rapporteur sur le traitement, délai indicatif de correction. Les règles de publication : qui publie quoi et quand, une fois la correction disponible, ce qui rejoint l'exigence de divulgation de l'annexe I. Le cadre de bonne foi : ce que l'entreprise s'engage à ne pas faire (poursuites) lorsque le rapporteur respecte des conditions énoncées (pas d'exfiltration de données, pas d'atteinte à la disponibilité, pas de divulgation publique avant correction).

Le reste est de l'outillage interne : un registre des signalements reçus, un lien vers le processus de gestion des vulnérabilités (qualification, correction, mise à jour) et, depuis le 11 septembre 2026, le réflexe de vérifier si le signalement révèle une exploitation active, qui déclenche la notification de l'article 14.

Rattacher la CVD à l'existant

Dans NIST CSF 2.0, la réception et le traitement des signalements de vulnérabilités relèvent de ID.RA (identification et analyse des risques, dont les vulnérabilités) et la qualification des signalements entrants de RS.MA (gestion des incidents). Une PME qui a déjà un processus de gestion des vulnérabilités et une réponse à incident structurée ajoute essentiellement le point d'entrée public et les engagements vis-à-vis du rapporteur.

La politique de CVD fait partie des documents que Komplyo génère à partir de l'évaluation, avec les politiques associées : le contenu reflète les pratiques constatées (canal, délais, processus de correction) plutôt qu'un engagement type que l'entreprise ne tiendrait pas. Le diagnostic gratuit (23 questions, environ 5 minutes) donne un premier état des fonctions concernées.