En bref. L'éditeur français Scality a annoncé le 10 novembre 2026 être devenu CNA (CVE Numbering Authority) : il attribue désormais lui-même les identifiants CVE des vulnérabilités de ses logiciels, sous l'autorité racine gérée par l'ENISA, l'agence européenne de cybersécurité. Ce statut n'est pas une obligation du Cyber Resilience Act (CRA). Il outille en revanche une partie du travail que le CRA impose aux fabricants : traiter les vulnérabilités pendant la période de support et, depuis le 11 septembre 2026, signaler sous 24 heures les vulnérabilités activement exploitées. Voici comment articuler les deux.
Ce qui s'est passé
Selon Le Monde Informatique, Scality a annoncé le 10 novembre 2026 son entrée dans le programme CVE en tant que CNA. L'entreprise indique avoir obtenu ce statut le 21 juillet 2026. Elle rejoint le programme sous la racine (Root) gérée par l'ENISA. Son périmètre couvre ses propres logiciels, notamment Scality RING, Scality ARTESCA et Scality ADI.
Les points rapportés par l'article :
- les clients de Scality avaient expressément demandé une couverture CVE de ses produits ;
- en tant que CNA, l'entreprise valide les vulnérabilités signalées, attribue les identifiants et publie les enregistrements, qui précisent les versions concernées et les recommandations de remédiation ;
- la publication doit être coordonnée avec la disponibilité d'un correctif ;
- Scality indique disposer d'un système de management de la sécurité de l'information certifié ISO 27001, publier une nomenclature logicielle (SBOM, Software Bill of Materials) à chaque version d'ARTESCA et suivre son calendrier de mise en conformité avec le CRA.
Pour Anh Nguyen-Phuoc, RSSI de Scality, ce dispositif répond aux attentes de clients en environnement fortement réglementé, en leur fournissant une information issue de l'éditeur dans un format que leurs outils exploitent déjà. Jérôme Lecat, directeur général et cofondateur, y voit une contribution à la souveraineté numérique européenne.
CVE, CNA : de quoi parle-t-on
Un identifiant CVE (Common Vulnerabilities and Exposures) est la référence publique d'une vulnérabilité. Les scanners, les outils de gestion des incidents et les processus de correctifs s'appuient dessus pour savoir si un produit est touché.
Une CNA est une organisation habilitée à attribuer ces identifiants dans un périmètre défini, souvent ses propres produits. Sans ce statut, un éditeur passe par une autre CNA pour faire enregistrer une vulnérabilité, avec moins de maîtrise sur le calendrier et le contenu de l'enregistrement.
Le statut a donc un effet pratique : l'éditeur maîtrise la publication et peut la caler sur la sortie de son correctif, ce que l'article de Le Monde Informatique souligne.
Ce que le CRA exige vraiment
Le CRA (règlement (UE) 2024/2847) est entré en vigueur le 10 décembre 2024. Selon le résumé publié par la Commission européenne :
- ses dispositions principales s'appliquent à partir du 11 décembre 2027 ;
- le chapitre IV, sur la notification des organismes d'évaluation de la conformité, s'applique depuis le 11 juin 2026 ;
- les obligations de signalement de l'article 14 s'appliquent depuis le 11 septembre 2026.
Le résumé de la Commission ne mentionne ni les CVE ni le statut de CNA. Devenir CNA est un choix d'organisation, pas une exigence du texte.
Article 13 : traiter les vulnérabilités pendant la période de support
Les obligations principales des fabricants figurent à l'article 13, complété par l'annexe I sur les exigences essentielles de cybersécurité. Le fabricant doit fixer une période de support pendant laquelle il garantit que les vulnérabilités du produit, y compris de ses composants, sont traitées efficacement, conformément aux exigences de traitement des vulnérabilités de la partie II de l'annexe I. La date de fin de cette période (mois et année) doit être indiquée clairement au moment de l'achat. Le fabricant qui intègre des composants tiers doit faire preuve de diligence pour qu'ils ne compromettent pas la sécurité du produit.
Article 14 : signaler, avec des délais fixes
Depuis le 11 septembre 2026, le fabricant doit notifier les vulnérabilités activement exploitées et les incidents graves ayant un impact sur la sécurité de son produit dont il a connaissance. Les délais, selon la Commission :
- 24 heures pour une alerte précoce ;
- 72 heures pour la notification principale ;
- 14 jours au plus tard après la disponibilité d'une mesure corrective ou d'atténuation, pour le rapport final sur une vulnérabilité activement exploitée ;
- un mois après la notification à 72 heures, pour le rapport final sur un incident grave.
La notification est adressée au CSIRT (Computer Security Incident Response Team, l'équipe nationale de réponse aux incidents) de l'État membre de l'établissement principal, et mise à disposition de l'ENISA. Elle passe par la plateforme unique de signalement du CRA (Single Reporting Platform), prévue par l'article 16 et opérationnelle depuis le 11 septembre 2026. Le CSIRT destinataire la transmet aux CSIRT des autres États membres où le produit est disponible.
Deux précisions de la Commission à retenir :
- les obligations de signalement s'appliquent à tous les produits mis à disposition sur le marché de l'Union, y compris ceux mis sur le marché avant le 11 décembre 2027 ;
- les micro et petites entreprises ne peuvent pas être sanctionnées pour un manquement au délai de 24 heures. Les autres délais restent applicables.
Les responsables de logiciels open source (open-source software stewards) sont soumis à leurs propres obligations de signalement (article 24, paragraphe 3) à partir du 11 décembre 2027.
CVE et signalement CRA : deux circuits différents
C'est le point qui prête le plus à confusion. Un enregistrement CVE est une publication : il rend la vulnérabilité publique, en principe quand le correctif est disponible. Le signalement de l'article 14 est une notification à une autorité, dans des délais qui courent dès que le fabricant a connaissance de l'exploitation active, donc souvent avant le correctif.
En pratique, un même événement peut déclencher les deux, avec des calendriers différents : alerte précoce au CSIRT sous 24 heures, puis publication de la CVE coordonnée avec le correctif, puis rapport final dans les 14 jours suivant la disponibilité de la mesure corrective. Être CNA ne remplace pas la notification, et notifier ne remplace pas la publication attendue par les clients.
Faut-il devenir CNA ? Une grille de décision
Ce qui suit relève de l'analyse, pas de la source. Le statut a du sens quand :
- vos clients, comme ceux de Scality, demandent une couverture CVE pour l'alimenter dans leurs scanners ;
- vous publiez régulièrement des correctifs de sécurité et voulez maîtriser le contenu et le calendrier des enregistrements ;
- vous avez déjà un processus de traitement des vulnérabilités qui fonctionne : réception des signalements, tri, correction, publication.
Il a peu de sens si ce processus n'existe pas encore. Dans ce cas, la priorité CRA est ailleurs : construire le traitement des vulnérabilités exigé par l'annexe I et le circuit de notification de l'article 14.
Se mettre en conformité : contrôles et vérifications
- Recenser les produits concernés. Listez vos produits avec éléments numériques mis à disposition dans l'Union, y compris les anciens : l'article 14 s'applique aussi à eux.
- Fixer et publier les périodes de support. Pour chaque produit, une date de fin (mois et année) visible au moment de l'achat. Vérification : un client peut-il la trouver sans vous contacter ?
- Connaître vos composants. La diligence sur les composants tiers suppose de savoir ce que contient chaque version. Scality publie une SBOM par version d'ARTESCA ; c'est une façon concrète de le démontrer.
- Préparer la notification à 24 heures. Désignez qui décide qu'une vulnérabilité est « activement exploitée », qui a accès à la plateforme unique de signalement de l'ENISA et qui rédige l'alerte précoce. Vérification, à titre de bonne pratique : un exercice sur table chronométré, du signalement entrant à l'alerte précoce envoyée.
- Caler la publication. Décidez qui publie l'avis de sécurité et, le cas échéant, l'enregistrement CVE (vous-même si vous êtes CNA, une autre CNA sinon), et comment il se coordonne avec le correctif.
- Tracer. Gardez pour chaque cas les horodatages de prise de connaissance, de notification et de correctif. Ce sont eux qui prouveront le respect des délais.
FAQ
Le CRA impose-t-il d'attribuer des CVE ?
Le résumé officiel de la Commission ne mentionne pas les CVE. Le CRA impose de traiter les vulnérabilités pendant la période de support et de notifier les vulnérabilités activement exploitées. Le statut de CNA est un moyen, pas une obligation.
Depuis quand faut-il signaler les vulnérabilités exploitées au titre du CRA ?
Depuis le 11 septembre 2026, au titre de l'article 14 : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous 14 jours après la disponibilité d'une mesure corrective.
Où notifier ?
Sur la plateforme unique de signalement du CRA gérée par l'ENISA. La notification va au CSIRT de l'État de votre établissement principal et est mise à disposition de l'ENISA.
Un produit vendu avant 2027 est-il concerné ?
Oui pour le signalement : selon la Commission, les obligations de signalement s'appliquent aussi aux produits mis sur le marché avant le 11 décembre 2027.
Sources
- Le Monde Informatique, Scality devient autorité de numérotation CVE sous l'égide de l'ENISA, 10 novembre 2026 : https://www.lemondeinformatique.fr/cybersecurite-conformite/scality-devient-autorite-de-numerotation-cve-sous-
- Commission européenne, Cyber Resilience Act – Reporting obligations : https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
- Commission européenne, Cyber Resilience Act – Summary of the legal text : https://digital-strategy.ec.europa.eu/en/policies/cra-summary
Pour construire le circuit de traitement et de notification des vulnérabilités exigé par le CRA, WeeSec accompagne les éditeurs sur le Cyber Resilience Act.