Un éditeur de logiciels qui lit un article sur l'alerte précoce de 24 heures du Cyber Resilience Act et une entreprise qui lit un article sur l'alerte précoce de 24 heures de NIS2 lisent deux textes différents qui ont choisi les mêmes chiffres. Le règlement (UE) 2024/2847, le CRA, impose l'obligation au fabricant d'un produit comportant des éléments numériques, à l'article 14. La directive (UE) 2022/2555, NIS2, l'impose aux entités essentielles et importantes, à l'article 23, et le règlement d'exécution (UE) 2024/2690 de la Commission dit, pour les fournisseurs de services en nuage et les autres fournisseurs numériques, ce que « important » veut dire. Le texte qui atteint un éditeur de logiciels se décide d'après ce qu'il fournit : un produit que le client exploite, ou un service auquel le client accède. Cet article est ce qui se passe après cette décision, quand quelque chose tourne mal : les deux horloges côte à côte, les seuils, et la procédure unique qui sert aux deux.
Qui est sous quelle horloge
L'article 14 du CRA s'applique au fabricant d'un produit comportant des éléments numériques mis sur le marché de l'UE, depuis le 11 septembre 2026, quelle que soit la taille de l'entreprise, y compris pour les produits déjà sur le marché. Les déclencheurs sont une vulnérabilité activement exploitée dans le produit et un incident grave ayant un impact sur la sécurité du produit ; les deux sont définis ici.
L'article 23 de NIS2 s'applique à une entité essentielle ou importante : une entité publique ou privée « d'un type visé à l'annexe I ou II » qui est au moins une entreprise moyenne au sens de la recommandation 2003/361/CE, c'est-à-dire ni micro ni petite, en gros 50 salariés ou plus, ou plus de 10 millions d'EUR à la fois de chiffre d'affaires et de total de bilan, « et qui fournissent leurs services ou exercent leurs activités au sein de l'Union » (article 2(1)). Les fournisseurs de services d'informatique en nuage figurent à l'annexe I sous l'infrastructure numérique, et l'article 6(30) définit un service d'informatique en nuage comme « un service numérique qui permet l'administration à la demande et l'accès large à distance à un ensemble modulable et variable de ressources informatiques pouvant être partagées ». L'article 2(2) énumère les cas qui s'appliquent quelle que soit la taille, parmi lesquels les services DNS et de registre de noms de domaine de premier niveau, les prestataires de services de confiance, et le fournisseur unique d'un service essentiel au maintien d'activités sociétales ou économiques critiques. Le déclencheur est « tout incident ayant un impact important sur leur fourniture des services », un incident important.
Une entreprise qui vend un client installé adossé à son propre nuage, ou qui vend la même fonctionnalité comme logiciel et comme service, peut relever des deux : fabricant pour le produit, entité pour le service. Les questions décisives sont les deux ci-dessus, posées séparément. La moitié NIS2 reçoit une réponse écrite de l'outil de champ d'application, avec le type d'entité, la règle de taille et la loi de l'État.
Les deux horloges côte à côte
| CRA article 14, le fabricant | NIS2 article 23, l'entité | |
|---|---|---|
| Déclencheur | Une vulnérabilité activement exploitée dans le produit, ou un incident grave affectant la sécurité du produit (14(1), 14(3)) | Un incident important affectant la fourniture des services de l'entité (23(1), 23(3)) |
| Destinataire | Le CSIRT désigné comme coordinateur de l'État du principal établissement du fabricant, et l'ENISA, simultanément (14(7)) | Le CSIRT national de l'entité ou, lorsque l'État en décide ainsi, son autorité compétente (23(1), 23(4)) |
| Canal | La plateforme de signalement unique de l'ENISA, et rien d'autre ne compte (14(7), article 16) | Comme l'État membre le prévoit ; aucune plateforme de l'Union |
| Alerte précoce | Dans les 24 heures après avoir eu connaissance ; pour une vulnérabilité, les États membres où le produit est disponible (14(2)(a)) ; pour un incident, si des actes illicites ou malveillants sont soupçonnés (14(4)(a)) | Dans les 24 heures après avoir eu connaissance ; si des actes illicites ou malveillants sont soupçonnés, et si un impact transfrontière est possible (23(4)(a)) |
| Notification | Dans les 72 heures : informations générales, une évaluation initiale, mesures prises et à la disposition des utilisateurs, sensibilité (14(2)(b), 14(4)(b)) | Dans les 72 heures : une mise à jour de l'alerte précoce, une évaluation initiale avec gravité et impact, indicateurs de compromission lorsqu'ils sont disponibles (23(4)(b)) ; 24 heures pour les prestataires de services de confiance |
| Rapport intermédiaire | À la demande du coordinateur (14(6)) | À la demande du CSIRT ou de l'autorité compétente (23(4)(c)) |
| Rapport final | Vulnérabilité : dans les 14 jours après qu'une mesure corrective ou d'atténuation est disponible (14(2)(c)) ; incident : dans un délai d'un mois après la notification de 72 heures (14(4)(c)) | Dans un délai d'un mois après la notification de 72 heures, avec les mêmes quatre contenus plus l'impact transfrontière ; si l'incident est toujours en cours, un rapport d'avancement à ce moment puis un rapport final dans le mois qui suit son traitement (23(4)(d), (e)) |
| Réponse qui vous est faite | Aucune promise | Un retour d'information initial « si possible dans les 24 heures suivant la réception de l'alerte précoce », des orientations sur demande, et une orientation vers les autorités répressives lorsqu'une infraction est soupçonnée (23(5)) |
| Utilisateurs et destinataires | Informer les utilisateurs touchés et, le cas échéant, tous les utilisateurs, de la vulnérabilité ou de l'incident et des mesures qu'ils peuvent prendre (14(8)) | Notifier aux destinataires les incidents importants susceptibles de les affecter, et les cybermenaces importantes et leurs remèdes (23(1), 23(2)) |
| Responsabilité | « Le simple acte de notification ... ne soumet pas la personne physique ou morale à l'origine de la notification à une responsabilité accrue » (article 17(4)) | « Le simple fait de notifier un incident n'accroît pas la responsabilité de l'entité qui est à l'origine de la notification » (23(1)) |
Deux choses sont identiques à dessein. Le moment : les deux horloges partent de la « connaissance », et les lignes directrices de la Commission sur le CRA disent avoir aligné leur définition sur le considérant 31 du règlement d'exécution NIS2, de sorte que le même test du degré raisonnable de certitude déclenche les deux. Et la structure du rapport final : un mois après la notification de 72 heures pour un incident, sous l'un comme sous l'autre. La seule horloge qui diffère par nature est le rapport final du CRA sur les vulnérabilités, qui court à partir du correctif, pas de la connaissance, et la plupart des présentations se trompent.
Ce que « important » veut dire pour un fournisseur de services en nuage
L'article 23(3) de NIS2 rend un incident important lorsqu'« il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité concernée », ou lorsqu'« il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables ». Pour les fournisseurs numériques de l'article 3(1) du règlement d'exécution, le règlement remplace ce jugement par des chiffres. L'article 3(1) s'applique à tous ; un incident est important lorsqu'un ou plusieurs de ces critères sont remplis :
a) l'incident a causé ou est susceptible de causer à l'entité concernée une perte financière directe supérieure à 500 000 EUR ou à 5 % du chiffre d'affaires annuel total de l'entité concernée au cours de l'exercice complet précédent, le montant le plus faible étant retenu ; b) l'incident a causé ou est susceptible de provoquer l'exfiltration de secrets d'affaires ... ; c) l'incident a causé ou est susceptible de causer la mort d'une personne physique ; d) l'incident a causé ou est susceptible de causer des dommages considérables à la santé d'une personne physique ; e) il y a eu un accès non autorisé effectif au réseau et aux systèmes d'information d'une entité concernée, qui est suspecté d'être malveillant et est susceptible de causer une perturbation opérationnelle grave ;
plus la règle des incidents récurrents de l'article 4, des incidents qui se sont produits au moins deux fois en six mois, ont la même cause originelle apparente et répondent collectivement au critère financier, et les critères sectoriels des articles 5 à 14. L'article 7, pour les fournisseurs de services d'informatique en nuage, en ajoute quatre, dans les termes du règlement :
- un service d'informatique en nuage est totalement indisponible pendant plus de 30 minutes ;
- la disponibilité d'un service d'informatique en nuage est limitée pour plus de 5 % des utilisateurs de ce service dans l'Union, ou pour plus de 1 million d'entre eux, le plus petit nombre étant retenu, pendant plus d'une heure ;
- l'intégrité, la confidentialité ou l'authenticité des données stockées, transmises ou traitées liées au service est compromise par une action suspectée d'être malveillante ;
- les mêmes données sont compromises avec un impact sur plus de 5 % des utilisateurs de ce service dans l'Union, ou sur plus de 1 million d'entre eux, le plus petit nombre étant retenu.
L'article 3(2) exclut « les interruptions de service programmées et les conséquences prévues des opérations de maintenance programmées ». L'article 3(3) dit comment compter les utilisateurs : les clients sous contrat, et les personnes physiques et morales associées à des clients professionnels qui utilisent le service. Les fournisseurs de services gérés et de services de sécurité gérés ont les mêmes quatre critères à l'article 10 ; les centres de données, les CDN, les places de marché, les moteurs de recherche, les réseaux sociaux et les services de confiance ont les leurs aux articles 8, 9 et 11 à 14.
Lu contre l'incident « grave » du CRA à l'article 14(5), qui demande si l'incident affecte la capacité du produit à protéger la confidentialité, l'intégrité, la disponibilité ou l'authenticité de données ou de fonctions sensibles ou importantes, ou introduit du code malveillant, les seuils de NIS2 portent sur le service et ses utilisateurs : une demi-heure d'indisponibilité totale d'un service en nuage est un incident à notifier sous NIS2 sans autre jugement, et une compromission de données par une action suspectée d'être malveillante en est un sous les deux textes.
Une procédure, deux formulaires
L'entreprise qui relève des deux textes n'a pas besoin de deux processus d'incident. Elle a besoin d'une évaluation à deux issues. L'événement suspect arrive par les mêmes canaux ; l'évaluation initiale demande, promptement, d'abord si la sécurité d'un produit est touchée ou si une vulnérabilité d'un produit est exploitée, ensuite si le service a franchi un seuil de l'article 3 ou de l'article 7 ; la « connaissance » est consignée une fois, en UTC, avec le raisonnement ; et les deux horloges en partent vers deux formulaires, l'un sur la plateforme de l'ENISA pour le produit, l'autre par le canal national pour le service. Les rapports finaux sont dus le même mois, les utilisateurs et les destinataires sont informés une fois, et l'enregistrement qui montre la chronologie est le même enregistrement.
La correspondance NIS2 vers ISO 27001 place l'obligation de notification parmi les autres mesures de l'article 21 ; la page des délais du CRA calcule les trois délais produit et nomme le coordinateur de chaque État. StandardOS tient les deux jeux d'enregistrements, avec l'horodatage de la connaissance et les délais qui en découlent, en un seul endroit.
Sources
- Directive (UE) 2022/2555 (NIS2), article 2(1) et (2), article 6(30), article 21(1), article 23(1) à (5), annexe I.
- Règlement d'exécution (UE) 2024/2690 de la Commission, considérant 31, articles 3, 4, 7, 10 et 5 à 14, lus sur EUR-Lex.
- Règlement (UE) 2024/2847 (CRA), article 14(1) à (8), article 16, article 17(4), article 69(3).
- Commission européenne, Lignes directrices de la Commission sur l'application du règlement (UE) 2024/2847, C(2026) 5252 du 27 juillet 2026, paragraphe 212.
- Recommandation 2003/361/CE de la Commission, annexe, article 2, pour les classes de taille.
Ceci n'est pas un avis juridique. NIS2 est une directive, de sorte que le destinataire, le canal et la forme de la notification sont fixés par la transposition de chaque État membre ; l'horloge et les seuils ci-dessus sont le texte de l'Union.