Politique de gestion des vulnérabilités CRA : modèle gratuit pour Confluence
L’annexe I, partie II du Cyber Resilience Act fixe huit exigences de gestion des vulnérabilités, applicables au 11 décembre 2027. Ce modèle en fait une politique d’une page à adopter dans Confluence : qui fait quoi, en combien de temps, et où se trouvent les preuves.
Politique de gestion des vulnérabilités : [Produit ou famille de produits]
Responsable : [Nom, fonction] · Approuvée par : [Nom, fonction] · Version et date : [1.0, date] · Prochaine revue : [date]
1. Périmètre
Produits et versions couverts : [liste ou lien vers le registre des produits]. Période de support de chaque version : [mois et année de fin], au moins cinq ans sauf si le produit est censé être utilisé moins longtemps (art. 13(8)).
2. Composants et SBOM
- Chaque version publiée a une nomenclature logicielle (SBOM) en [CycloneDX / SPDX], couvrant au moins les dépendances de premier niveau, produite par le build (annexe I, partie II, 1).
- Les SBOM sont conservées avec la documentation technique au moins dix ans ou pendant la période de support si elle est plus longue.
3. Réception des signalements
- Contact public pour signaler une vulnérabilité : [security@… / formulaire]. Politique de divulgation coordonnée : [lien] (annexe I, partie II, 5 et 6).
- Chaque signalement est enregistré sous [un jour ouvré] dans [projet Jira], avec son heure de réception.
4. Évaluation et correction
- Tri par [fonction] sous [délai] : versions touchées (recherche dans les SBOM), gravité, exploitation.
- Les corrections sont faites sans délai ; les mises à jour de sécurité sont séparées des mises à jour fonctionnelles quand c’est techniquement possible (annexe I, partie II, 2).
- Tests et revues de sécurité : [fréquence et méthode] (annexe I, partie II, 3).
5. Vulnérabilités activement exploitées et incidents graves
- Le moment de la prise de connaissance est noté avec sa preuve. [Fonction] décide si le cas est à signaler et signe la décision.
- Alerte précoce sous 24 heures, notification sous 72 heures, rapport final 14 jours après la mise à disposition d’un correctif (un mois après la notification pour un incident grave), via la plateforme unique de signalement de l’ENISA (art. 14).
- Les utilisateurs concernés sont informés du problème et des mesures à prendre (art. 14(8)). Suppléant du décideur : [nom].
6. Diffusion des mises à jour et divulgation
- Les mises à jour sont diffusées de façon sécurisée, sans délai et gratuitement, avec un avis qui dit aux utilisateurs quoi faire (annexe I, partie II, 7 et 8).
- Une fois la mise à jour disponible, les vulnérabilités corrigées sont rendues publiques : description, produits touchés, impact, gravité et correction (annexe I, partie II, 4). Format : [page d’avis / CSAF].
7. Enregistrements
| Enregistrement | Où | Conservé |
|---|---|---|
| Dossiers de vulnérabilité et décisions | [projet Jira] | [10 ans] |
| Signalements envoyés au CSIRT et à l’ENISA, et aux utilisateurs | [Jira / Confluence] | [10 ans] |
| SBOM par version | [emplacement] | [10 ans ou période de support] |
L’utiliser dans Confluence
- Cliquez sur Copier le modèle, ouvrez une nouvelle page Confluence et collez : titres, listes et tableaux restent en place.
- Remplacez les parties [entre crochets] et supprimez ce qui ne vous concerne pas.
- Pour le réutiliser, enregistrez-le comme modèle d’espace : Paramètres de l’espace › Modèles › Créer un modèle, puis collez.
Ce que le modèle ne fait pas à votre place
Une politique ne vaut que par les enregistrements qui la suivent. Le CRA attend que vous montriez, cas par cas, quand vous avez eu connaissance, ce que vous avez décidé et ce que vous avez envoyé. Gardez ces preuves à côté du travail : dans Jira, sur le ticket de la vulnérabilité.
Cette page vous aide à planifier et à documenter ; ce n’est pas un conseil juridique. Vérifiez le texte officiel et les consignes de votre autorité. Source : règlement (UE) 2024/2847, art. 13, art. 14 et annexe I, partie II. À lire aussi : le SBOM du CRA, la période de support du CRA, calculateur des délais de l’article 14.