🛡️ Cyber Resilience Act : Tout ce que vous devez savoir sur la plateforme SRP de l’ENISA

L’ENISA déploie la Single Reporting Platform (SRP). Ce guichet unique européen centralise la déclaration des vulnérabilités activement exploitées et des incidents majeurs pour tous les produits intégrant des éléments numériques (matériels et logiciels).

Voici les points clés à maîtriser pour sécuriser vos processus de gouvernance :
📌 1. Un guichet unique : Fini le casse-tête des 27 portails nationaux. La SRP devient l’unique canal technique obligatoire. Une notification unique soumise via la SRP est transmise simultanément à l’ENISA et au CSIRT national coordinateur de votre État de rattachement, avec diffusion transfrontalière si d’autres pays sont touchés.

Acteurs concernés : Fabricants et open-source software stewards (les importateurs et distributeurs devant répercuter l’alerte auprès du fabricant sans déclarer directement).

⏱️ 2. Une mécanique de déclaration en trois temps
Le déclenchement du chronomètre est strict dès la prise de connaissance de l’événement :
a) H+24 : Alerte précoce et synthétique. Il ne s’agit pas d’un rapport d’investigation complet, mais d’un signalement immédiat (produit concerné, nature suspectée).
b) H+72 | Notification détaillée : Évaluation initiale de la gravité, typologie de l’exploit et mesures correctives préliminaires.
c) Rapport final : Exigible sous 14 jours après la mise à disposition du correctif/patch (pour une vulnérabilité) ou sous 1 mois (pour un incident sévère).

⚙️ 3. Ce qui déclenche l’obligation (et ce qui reste facultatif)

• Déclarations obligatoires (Art. 14 CRA) : Uniquement les vulnérabilités activement exploitées (preuves avérées dans la nature) et les incidents sévères dégradant la sécurité du produit.
• Déclarations volontaires (Art. 15 CRA) : Signalement ouvert des quasi-incidents, menaces émergentes ou vulnérabilités sans exploitation active.

⚠️ 4. Pièges opérationnels

• Confusion des rôles entre Assigned Representative (compte technique SRP) et Authorised Representative (mandat juridique au sens de l’Art. 18 du CRA).
• Impact du stress sur l’authentification, la validation CSIRT et la délégation d’accès.
• Risque financier car tout défaut de notification expose aux sanctions maximales du CRA (jusqu’à 15 M€ ou 2,5 % du chiffre d’affaires mondial).

🎯 Les 3 priorités pour les équipes :
1/ Auditer les flux d’escalade : Aligner vos équipes SOC, DevSecOps et Juridique sur le seuil des 24h.
2/ Pré-enregistrer l’organisme : Configurer les comptes SRP et identifier les représentants principaux et suppléants en amont.
3/ Tester via un exercice sur table : Simuler de bout en bout la découverte d’un exploit 0-day jusqu’à la soumission SRP.

Vos procédures internes de gestion de crise et vos chaînes d’escalade produit sont-elles prêtes à tenir ce tempo réglementaire ?

🔗 Source : https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp