Modèle Vers la Maîtrise, version du 30/10/2026, libre de réutilisation.

Procédure à adapter. Elle couvre l'article 14 du Cyber Resilience Act (règlement (UE) 2024/2847) : vulnérabilité activement exploitée ou incident grave touchant la sécurité d'un produit. Vérifiez le texte en vigueur avant de l'appliquer.

## 1. Champ

- Entreprise : [nom, État de l'établissement principal]
- Produits couverts : [nom, versions, pays de vente]
- CSIRT compétent : [CERT-FR pour un établissement principal en France]
- Date de la dernière revue : [date]

## 2. Rôles

| Rôle | Titulaire | Suppléant | Joignable |
|---|---|---|---|
| reçoit les alertes | [nom] | [nom] | [téléphone, horaires] |
| qualifie l'événement | [nom] | [nom] | [téléphone] |
| décide de notifier | [nom] | [nom] | [téléphone] |
| envoie sur la plateforme de l'ENISA | [nom, compte EU Login prêt : oui / non] | [nom, compte EU Login prêt : oui / non] | [téléphone] |
| informe les utilisateurs | [nom] | [nom] | [canal] |

## 3. Entrées possibles

- adresse de signalement publiée : [adresse]
- alerte d'un client, d'un chercheur, d'un fournisseur : [qui transfère, à qui]
- outil de surveillance : [outil, destinataire des alertes]

## 4. Déroulé

1. Noter l'heure du premier signal : [registre ou outil].
2. Qualifier sans attendre : y a-t-il des preuves fiables d'exploitation, ou un incident grave ?
3. Noter l'heure de la conclusion et le nom de la personne qui l'a prise.
4. Si oui, envoyer l'alerte précoce au plus tard 24 heures après la prise de connaissance.
5. Envoyer la notification au plus tard 72 heures après la prise de connaissance.
6. Informer les utilisateurs touchés et leur dire quoi faire : [message type, canal].
7. Envoyer le rapport final : 14 jours au plus tard après la mise à disposition d'un correctif (vulnérabilité), un mois au plus tard après la notification (incident).
8. Si la faille vient d'un composant tiers, prévenir son mainteneur : [contact].

## 5. Éléments à garder prêts

| Élément | Où le trouver |
|---|---|
| liste des produits et des versions vendues | [emplacement] |
| États membres où chaque produit est vendu | [emplacement] |
| SBOM de chaque version | [emplacement] |
| coordonnées de l'entreprise et des contacts | [emplacement] |
| message type aux utilisateurs | [emplacement] |

## 6. Trace

| Date | Événement | Premier signal | Conclusion | Alerte 24 h | Notification 72 h | Rapport final |
|---|---|---|---|---|---|---|
| [date] | [résumé] | [heure] | [heure, nom] | [heure] | [heure] | [date] |

## 7. Exercice

- Fréquence choisie : [par exemple une fois par an]
- Dernier exercice : [date, durée de l'alerte reçue à l'alerte précoce envoyée]
- Améliorations décidées : [liste]