ENISA consulte sur security.txt et CVD — NIS 2 et CRA

Urgence Luxembourg — ENISA ouvre une consultation publique sur un avis technique couvrant trois livrables concrets: un security.txt (RFC 9116), une politique de divulgation coordonnée des vulnérabilités (CVD) et un modèle d’avis de sécurité. Les contributions sont attendues jusqu’au 15 novembre 2026.

Les faits

Le 27 octobre 2026, ENISA a publié un projet d’avis et un questionnaire de consultation, avec une échéance au 15/11/2026. L’avis outille les fabricants et prestataires avec: 1) un fichier security.txt pour recevoir les signalements, 2) une politique CVD publique, 3) un gabarit d’avis de sécurité post‑correction.

Pour le Luxembourg, ENISA confirme que CIRCL (GOVCERT.LU) est le CSIRT coordinateur national pour la CVD (mise à jour au 10/09/2026). Les entreprises peuvent s’appuyer sur cet écosystème pour gérer des divulgations sensibles et multi‑parties.

Depuis le 11/09/2026, les fabricants doivent notifier via la Single Reporting Platform (SRP) d’ENISA toute vulnérabilité activement exploitée et tout incident grave affectant la sécurité de produits avec éléments numériques. L’outil SRP et sa FAQ détaillent les champs et points de contact (dont le point de contact security.txt d’ENISA).

Cadre légal et fondement

• Cyber Resilience Act (CRA): Article 14 (délais 24/72 h) et Annexe I, partie II (ingénierie et gestion des vulnérabilités) exigent un processus structuré de traitement des vulnérabilités, de la réception à la communication.
• NIS 2 (directive 2022/2555): l’Article 12 instaure la divulgation coordonnée des vulnérabilités et la désignation d’un CSIRT coordinateur par État membre, avec CIRCL listé pour le Luxembourg. Voir notre page dédiée pour situer ces obligations dans le périmètre des entités essentielles: NIS 2 et gouvernance de la divulgation des vulnérabilités.
• Écosystème ENISA: ENISA opère la SRP, appuie le réseau CSIRT et publie des guides CVD; la consultation vise l’alignement pratique des fabricants (notamment PME).

Ce que cela change pour les entreprises luxembourgeoises

• Recevoir des signalements externes via un canal public clair (/.well-known/security.txt), avec contact dédié et clé PGP.
• Coordonner une CVD: politique publiée, procédure interne, et recours à CIRCL pour les cas multi‑parties (chaînes d’approvisionnement, open source, fournisseurs non‑UE). Pour structurer les rôles et playbooks, le pilotage cyber par un CISO externalisé peut accélérer la mise en œuvre.
• Notifier via la SRP en cas d’exploitation active ou d’incident grave (CRA art. 14 en vigueur depuis le 11/09/2026).

Effet de calendrier

La consultation se clôt le 15/11/2026. Contribuer permet d’obtenir des modèles adaptés (champs SRP, SLA de triage, clés PGP, remerciements aux chercheurs, coordination contractuelle). Ensuite, il faudra exécuter: publier security.txt, adopter une politique CVD signée, et entraîner l’équipe à notifier via la SRP.

Actions concrètes cette semaine

• Téléchargez le projet d’avis ENISA et répondez à la consultation avant le 15/11/2026; listez vos besoins (firmware, SaaS multi‑tenant, OSS) pour que les modèles soient exploitables en production.
• Publiez un security.txt valide à la racine de votre domaine (/.well-known/security.txt), avec adresse dédiée et clé PGP; mettez à jour le registre des points de contact sécurité.
• Adoptez une politique CVD publique et une procédure interne alignées CRA/NIS 2: rôles (triage/correction/communication), délais, et gabarit d’avis. Un audit cybersécurité focalisé sur la gestion des vulnérabilités aide à tester le dispositif et préparer l’accès SRP.

À noter

Si ce sujet doublonnait un article récent de Luxgap, merci de le signaler; à ce stade, il ne duplique pas les faits listés.

Besoin d’accompagnement pour cadrer la CVD, la gouvernance et l’entraînement des équipes? Contactez‑nous: échange avec nos experts au Luxembourg.

Article généré par la veille réglementaire Luxgap. Pour un accompagnement personnalisé sur ce sujet, contactez-nous.