Exercice 24 heures
Un composant de votre produit vient d'apparaître dans le catalogue CISA KEV. Répétez les premiers jours de la réponse prévue à l'article 14 face à une horloge accélérée : décider de la prise de connaissance, choisir le CSIRT coordinateur, remplir l'alerte précoce et la notification à 72 heures dans les champs de la plateforme, puis les décisions qui suivent. Note sur 100 à la fin.
Heure de l'exercice
Firmware de routeur : résolveur BIND
- Fabricant
- Nordwind Networks GmbH
- Organisation
- Siège et équipe de sécurité produit à Linz, en Autriche. Centre de développement à Munich ; la plupart des clients sont en Allemagne.
- Produit
- NW-R200 router, firmware 4.2 and 4.3
- Composant
- ISC BIND 9.16.23
- Disponible dans
- AT, DE, IT, SI
- Signal
- Jour 1, 09:00 UTC. La CISA ajoute CVE-2099-1001 à son catalogue Known Exploited Vulnerabilities : des réponses DNS forgées font planter le résolveur BIND et peuvent exécuter du code sur l'appareil. Votre SBOM indique la version concernée dans les deux versions du firmware.
Passerelle industrielle : OpenSSL
- Fabricant
- Polderlink Industrial B.V.
- Organisation
- Siège, ingénierie et sécurité produit à Eindhoven, aux Pays-Bas. Bureau commercial à Düsseldorf.
- Produit
- PL-G5 industrial IoT gateway, 2.0 to 2.3
- Composant
- OpenSSL 3.0.7
- Disponible dans
- NL, BE, DE, PL
- Signal
- Jour 1, 09:00 UTC. La CISA ajoute CVE-2099-2002 à son catalogue Known Exploited Vulnerabilities : un certificat malformé dans la poignée de main TLS corrompt la mémoire d'OpenSSL et sert contre des appareils exposés. Le port de gestion à distance de votre passerelle utilise la version concernée.
Interface de gestion : framework web
- Fabricant
- Arvel Stockage SAS
- Organisation
- Siège et sécurité produit à Lyon, en France. Équipe support à Barcelone ; clients dans toute l'UE.
- Produit
- ArvelBox NAS, management interface 5.1
- Composant
- Django 3.2.12
- Disponible dans
- FR, ES, IT, BE, LU
- Signal
- Jour 1, 09:00 UTC. La CISA ajoute CVE-2099-3003 à son catalogue Known Exploited Vulnerabilities : des requêtes vers les routes d'administration du framework contournent l'authentification. Votre interface de gestion repose sur la version concernée et est souvent accessible depuis Internet.
1. Décider de la prise de connaissance
Votre SBOM correspond à l'entrée. Avant que le délai ne coure, vous évaluez : le code vulnérable est-il dans votre build, un attaquant peut-il l'atteindre, l'exploitation est-elle réelle ?
Une certitude raisonnable après une première évaluation, selon les orientations de la Commission C(2026) 5252 §213. Pas la publication du CVE.
2. Choisir le CSIRT coordinateur
L'alerte précoce est adressée au CSIRT désigné comme coordinateur, et à l'ENISA, via la Single Reporting Platform. Quel coordinateur choisissez-vous pour cette entreprise ?
3. Remplir l'alerte précoce
Les champs de la plateforme pour une vulnérabilité activement exploitée, dans son ordre et avec ses limites. Remplissez ce qui est obligatoire ; signalez les estimations.
ENISA CRA SRP Glossary v1.6 (21 October 2026) · Référence des champs SRP
Vulnerability or Incident
Short, specific: product + vulnerability/incident. No confidential technical detail. (max 255)
What is affected, what is known now, what you are doing. Facts only; mark estimates. State when you became aware. (max 4000)
System-generated from SRP registration — must match. (max 255)
Art. 14(2)(a)/(4)(a). Your coordinating CSIRT's state is auto-added; add all others you know of.
(max 255)
All affected versions or a range. (max 255)
When you reached a reasonable degree of certainty (Commission guidance C(2026) 5252 §213). If estimated, say so in the summary. Asked on the early warning only; it starts your 24h and 72h clocks and the evidence trail records it.
Champs facultatifs de cette étape (21)
About the manufacturer: anything the standard fields do not cover that helps your coordinating CSIRT identify you, for example the group you belong to. Facts only. (max 255)
Default / Important / Critical (Annex III/IV)
Class I / Class II (important products only)
Annex III/IV category name, if applicable.
Is the product past its support period?
Affected third-party or open-source component and version. (max 255)
Is a corrective/mitigating measure expected in the near term?
Concrete steps users can take now. (max 4000)
Art. 14(2)(b)/(4)(b): your assessment of how sensitive the notified information is. (max 255)
What the manufacturer has done so far. (max 2000)
Updates, configuration changes, workarounds. (max 4000)
Free-text note from the Assigned Representative for anything no structured field covers. Use a structured field whenever one fits.
(max 255)
ENISA European Vulnerability Database id, if known. (max 255)
Art. 14(2)(b): general nature of the exploit and of the vulnerability. No unverified attribution. (max 4000)
Starts the 14-day final-report clock (Art. 14(2)(c)).
Art. 14(2)(c): what the update or measure is, which versions carry it, how users obtain it. (max 2000)
Rating (e.g. CVSS), classification (CWE), rationale. (max 4000)
Systems, components, data and users affected. (max 4000)
Known or estimated date and time since when the vulnerability exists. Asked on the early warning and carried to the 72-hour notification, where you can update it. If you estimate, say so.
Art. 14(2)(c)(ii). Mark unconfirmed. (max 100)
4. Déposer la notification à 72 heures
Deux jours plus tard. Vos ingénieurs ont reproduit l'attaque et fourni aux clients un contournement par configuration ; le correctif en amont n'est pas encore sorti. La notification à 72 heures ajoute la nature générale de la vulnérabilité et de l'exploit, et la date d'apparition de la vulnérabilité.
Repris de votre alerte précoce ; mettez-les à jour sur la plateforme si quelque chose a changé : Date and time when the Actively Exploited Vulnerability occurred (UTC time)
Art. 14(2)(b): general nature of the exploit and of the vulnerability. No unverified attribution. (max 4000)
Champs facultatifs de cette étape (13)
Art. 14(2)(b)/(4)(b): your assessment of how sensitive the notified information is. (max 255)
What the manufacturer has done so far. (max 2000)
Updates, configuration changes, workarounds. (max 4000)
E.g. network / adjacent / local / physical; protocol or interface. Not asked on the early warning. (max 255)
Free-text note from the Assigned Representative for anything no structured field covers. Use a structured field whenever one fits.
Starts the 14-day final-report clock (Art. 14(2)(c)).
Art. 14(2)(c): what the update or measure is, which versions carry it, how users obtain it. (max 2000)
Rating (e.g. CVSS), classification (CWE), rationale. (max 4000)
Systems, components, data and users affected. (max 4000)
Art. 14(2)(c)(ii). Mark unconfirmed. (max 100)
Art. 16(2) third subpara. Only at 72h. Restricts dissemination; justify below.
Tick at least one ground (Art. 16(2) third subparagraph): exploited in no Member State other than your coordinating CSIRT's; further dissemination contrary to that Member State's essential interests; or an imminent high cybersecurity risk from further dissemination.
Shown once PEC is on: the facts that support your PEC request, for the coordinating CSIRT's decision. Free text. (max 800)
5. Informer les utilisateurs, et le mainteneur en amont
6. Le correctif et le rapport final
Jour 5 : le mainteneur publie une version corrigée. Jour 6, 10:00 UTC : votre mise à jour qui l'intègre est disponible pour tous les clients. Quand le rapport final est-il dû ?
Votre note
0/ 100
Ce qui a fonctionné, et ce qu'il faut corriger
Prise de connaissance décidée sur les faits
0 / 15
Vous avez confirmé la prise de connaissance après une courte évaluation de votre propre build. Cette décision déclenche le délai de 24 heures.
La prise de connaissance est un degré raisonnable de certitude après une première évaluation (orientations de la Commission §213) : ni la publication du CVE, ni la plainte d'un client, ni le correctif. Désignez qui en décide et consignez quand.
CSIRT coordinateur
0 / 10
Exact : le CSIRT désigné comme coordinateur dans l'État membre de votre établissement principal (Art. 14(7)).
Le coordinateur est le CSIRT de l'État membre de votre établissement principal, où sont principalement prises les décisions relatives à la cybersécurité de vos produits (Art. 14(7)). Pas là où se trouvent la plupart des clients, pas l'ENISA, pas chaque CSIRT séparément : le coordinateur transmet la notification aux autres États membres concernés.
Alerte précoce : champs obligatoires
0 / 15
Tous les champs obligatoires de l'alerte précoce étaient remplis.
Des champs obligatoires étaient vides. La plateforme n'accepte pas l'alerte précoce sans eux, et un formulaire vide à la 23e heure, c'est ainsi qu'on manque un délai. Ayez fabricant, produit, versions et marchés prêts avant d'en avoir besoin.
Moment de la prise de connaissance saisi
0 / 5
Vous avez saisi le moment de la prise de connaissance, avec date et heure. Le champ de la plateforme pour cela est obligatoire dans l'alerte précoce, et la loi compte vos délais à partir de cet instant.
Saisissez le moment de la prise de connaissance dans le champ prévu, avec date et heure en UTC. Il est obligatoire dans l'alerte précoce, et le compteur de la plateforme ne mesure pas à partir de cet instant.
Alerte précoce dans les 24 heures
0 / 15
Déposée dans les 24 heures suivant la prise de connaissance (Art. 14(2)(a)).
En retard. L'alerte précoce est due 24 heures après la prise de connaissance (Art. 14(2)(a)). Elle peut être succincte : déposez ce que vous savez, signalez les estimations et laissez le détail à la notification à 72 heures.
Notification à 72 heures : champs obligatoires
0 / 10
Tous les champs obligatoires de la notification à 72 heures étaient remplis.
Des champs obligatoires étaient vides. Pour les vulnérabilités, la notification à 72 heures demande la nature générale de la vulnérabilité et de l'exploit.
Notification à 72 heures dans les 72 heures
0 / 10
Déposée dans les 72 heures suivant la prise de connaissance (Art. 14(2)(b)), quoi qu'affichait le compteur de la plateforme.
En retard. Le délai légal est de 72 heures à compter de la prise de connaissance (Art. 14(2)(b)). Le compteur de la plateforme affiche une échéance 48 heures après votre alerte précoce ; voyez-le comme un rappel, la loi compte à partir de la prise de connaissance.
Utilisateurs concernés informés
0 / 8
Les utilisateurs l'apprennent maintenant, avec ce qu'ils peuvent faire (Art. 14(8)). Le correctif n'a pas besoin d'exister d'abord.
Art. 14(8) : après la prise de connaissance, informez les utilisateurs concernés et, le cas échéant, tous les utilisateurs de la vulnérabilité et des mesures qu'ils peuvent prendre. Attendre le correctif n'est pas la règle, et l'information par le CSIRT est le recours lorsque vous ne le faites pas.
Mainteneur du composant
0 / 5
Vous avez traité l'étape amont (Art. 13(6)). Pour un CVE public et connu comme exploité, « pas nécessaire » est une bonne réponse, à condition de le consigner.
Art. 13(6) : signalez une vulnérabilité que vous identifiez dans un composant intégré à la personne qui le maintient. Si elle est déjà publique, consignez qu'aucun signalement n'est nécessaire. Dans tous les cas, décidez et notez-le.
Échéance du rapport final
0 / 7
Exact : 14 jours après la mise à disposition de la mesure corrective (Art. 14(2)(c)).
Pour une vulnérabilité activement exploitée, le rapport final est dû au plus tard 14 jours après la mise à disposition d'une mesure corrective ou d'atténuation (Art. 14(2)(c)). Un mois après la notification, c'est la règle des incidents graves (Art. 14(4)(c)).
Le même exercice sur votre propre SBOM
Dans ExploitClock, un exercice ouvre un dossier sur votre propre produit : de vrais délais, des brouillons pré-remplis à partir de votre SBOM et de vos paramètres, des alertes sur vos canaux, la chaîne de preuves et une note avec un rapport de retour d'expérience.