Considérant 63
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (63) | Bien que des registres ou des bases de données similaires sur les vulnérabilités existent, ils sont hébergés et gérés par des entités qui ne sont pas établies dans l’Union. Une base de données européenne des vulnérabilités gérée par l’ENISA améliorerait la transparence du processus de publication avant la divulgation officielle d’une vulnérabilité et la résilience en cas de perturbation ou d’interruption de la fourniture de services similaires. Afin d’éviter la duplication des efforts déployés et de viser la complémentarité dans la mesure du possible, l’ENISA devrait étudier la possibilité de conclure des accords de coopération structurée avec les bases de données ou registres similaires qui relèvent de la compétence de pays tiers. L’ENISA devrait en particulier étudier la possibilité d’une coopération étroite avec les opérateurs du système des vulnérabilités et expositions courantes (CVE). |
Au Luxembourg, l'ILR est l'autorité competente NIS 2 et le CIRCL (Computer Incident Response Center Luxembourg, sous SECURITYMADEIN.LU) opère le CSIRT national avec une expertise reconnue sur les vulnerabilites (CIRCL est notamment CVE Numbering Authority depuis 2016). La loi du 28 juillet 2023 relative a la cybersécurité, modifiee par la loi du 28 juillet 2025, attend des entités essentielles et importantes qu'elles integrent dans leur veille a la fois EUVD (ENISA), CVE/NVD et les bulletins CIRCL/GOVCERT.LU.
Pratique Luxgap : connectez le flux MISP du CIRCL a votre Vulnerability Fusion Engine et notifiez automatiquement le CIRCL via le canal MISP quand vous detectez un IoC lié a une CVE critique exploitee sur votre parc.
