NIS2 et divulgation coordonnée : sortir de la zone grise

8 Min. temps de lecture

Identifier et signaler une faille de sécurité place encore souvent, aujourd’hui, les chercheurs dans une zone grise juridique. C’est précisément ce qui est en train de changer : avec la transposition de NIS2, les chercheurs en sécurité de bonne foi disposent désormais d’une voie officielle et coordonnée pour signaler les vulnérabilités, au lieu de rester dans l’incertitude quant à d’éventuelles poursuites. Le Portugal a récemment clarifié ce cadre dans sa transposition de NIS2, montrant ainsi la direction que prend l’Europe.

À lire aussi :NIS2 en phase d’exécution  /  Type Confusion dans V8 de Chrome

Pourquoi la zone grise constitue un risque pour la sécurité

Une vulnérabilité découverte ne devient un atout pour la sécurité que lorsqu’elle est signalée et corrigée. Tant que les chercheurs craignent d’être poursuivis pour ce signalement, certaines découvertes restent tues ou, dans le pire des cas, atterrissent sur un marché gris. La zone grise ne protège donc pas l’exploitant : elle retient des informations utiles et prolonge la période pendant laquelle une faille peut être exploitée à l’insu de tous.

La divulgation coordonnée des vulnérabilités (Coordinated Vulnerability Disclosure) intervient précisément à ce niveau. Au lieu d’un risque diffus, il existe désormais une procédure claire : le chercheur signale via un canal officiel, une instance de coordination réceptionne le signalement, l’exploitant dispose d’un délai pour corriger la faille, et ce n’est qu’ensuite que l’information est rendue publique. NIS2 élève cette pratique, jusqu’ici volontaire, au rang de mécanisme obligatoire.

Qu’est-ce que la divulgation coordonnée des vulnérabilités ? La divulgation coordonnée des vulnérabilités (Coordinated Vulnerability Disclosure) est un processus structuré dans lequel un chercheur en sécurité signale une faille découverte via un canal officiel. Une instance de coordination fait le lien entre le signalant et l’exploitant, afin que la vulnérabilité soit corrigée avant que les détails ne soient divulgués.

Ce que prévoit concrètement la transposition portugaise

Le Portugal a transposé la directive NIS2 en droit national fin 2025, avec une entrée en vigueur en avril 2026. La voie de signalement coordonnée pour les vulnérabilités y est confiée à l’agence nationale de cybersécurité et à son équipe d’intervention. Il existe ainsi un destinataire désigné pour recevoir les signalements et accompagner le processus jusqu’à la résolution. Pour les chercheurs de bonne foi, cela crée un parcours balisé plutôt qu’une navigation à l’aveugle sur le plan juridique.

Cet élargissement est le second volet de l’histoire. Parallèlement à la voie de signalement, le cercle des organisations devant recevoir les signalements de vulnérabilités et satisfaire aux exigences de sécurité s’agrandit également. Du fabricant de taille moyenne à la municipalité dépassant un certain seuil, des entités soudainement concernées se retrouvent impliquées, alors qu’elles se considéraient jusqu’ici hors du champ réglementé. Toute structure concernée doit désormais instaurer une gestion claire des alertes entrantes.

Ce que cela implique pour les chercheurs et les opérateurs

Pour les chercheurs en sécurité, la situation de départ s’améliore sensiblement. Un canal officiel doté d’une autorité de coordination réduit le risque qu’un signalement de bonne foi soit mal interprété comme une attaque. Cela ne remplace pas une concertation minutieuse au cas par cas, mais substitue à une crainte diffuse une procédure compréhensible. Quiconque signale dans ce cadre évolue sur un terrain bien plus solide qu’auparavant.

Pour les opérateurs, la logique s’inverse. Un signalement de vulnérabilité entrant n’est pas un affront, mais un avertissement gratuit. Les organisations désormais soumises à ces règles devraient créer un point d’entrée défini pour ce type d’alertes : une adresse, un processus, un délai de réaction. Ignorer ou rejeter les signalements, c’est se priver de la valeur réelle de la procédure coordonnée et se retrouver en bien mauvaise posture en cas d’incident grave.

La grande tendance sous-jacente est européenne. NIS2 instaure le même mécanisme de base dans tous les États membres, même si la déclinaison nationale varie. Pour les chercheurs et les entreprises opérant au-delà des frontières, cela crée un cadre plus prévisible, où le signalement d’une faille devient la norme et non plus un pari risqué.

Foire aux questions

La directive NIS2 protège-t-elle les hackers éthiques des poursuites pénales ?

NIS2 met en place une voie de signalement officielle et coordonnée, offrant ainsi un cadre juridiquement sûr pour les signalements de bonne foi. Ce n’est pas un blanc-seing pour des intrusions arbitraires, mais quiconque signale une faille de manière responsable via le canal prévu se trouve dans une situation juridique bien meilleure que dans la zone grise qui prévalait jusqu’alors.

Qui reçoit les signalements ?

En règle générale, l’agence nationale de cybersécurité et son équipe d’intervention. Au Portugal, il s’agit de l’autorité centrale et de son CERT, qui assurent la coordination entre le lanceur d’alerte et l’opérateur, et accompagnent le processus jusqu’à la résolution.

Qu’est-ce qui change pour les entreprises nouvellement soumises à NIS2 ?

Elles doivent être en mesure de recevoir les signalements de vulnérabilités de manière structurée et de satisfaire aux exigences de sécurité. Concrètement, cela signifie qu’elles doivent mettre en place un point d’entrée défini, un processus et un délai de réaction pour les alertes entrantes, au lieu de les traiter comme des nuisances.

La voie de signalement s’applique-t-elle uniquement au Portugal ?

Non. NIS2 impose la voie de signalement coordonnée à l’échelle européenne, le Portugal n’étant qu’un exemple concret de transposition nationale. Les détails varient d’un pays à l’autre, mais le mécanisme de base est partout le même.

Le canal officiel remplace-t-il un programme de bug bounty ?

Non, les deux se complètent. Un programme de bug bounty définit les incitations et les règles du jeu au sein d’une organisation, tandis que la voie de signalement coordonnée selon la NIS2 constitue le cadre supérieur, ancré par l’État, qui s’applique même lorsqu’un opérateur ne dispose pas de son propre programme.

Source de l’image : générée par IA (juin 2026), certificat C2PA intégré dans l’image