8 Min. temps de lecture<\/p>\n
Identifier et signaler une faille de s\u00e9curit\u00e9 place encore souvent, aujourd\u2019hui, les chercheurs dans une zone grise juridique. C\u2019est pr\u00e9cis\u00e9ment ce qui est en train de changer : avec la transposition de NIS2, les chercheurs en s\u00e9curit\u00e9 de bonne foi disposent d\u00e9sormais d\u2019une voie officielle et coordonn\u00e9e pour signaler les vuln\u00e9rabilit\u00e9s, au lieu de rester dans l\u2019incertitude quant \u00e0 d\u2019\u00e9ventuelles poursuites. Le Portugal a r\u00e9cemment clarifi\u00e9 ce cadre dans sa transposition de NIS2, montrant ainsi la direction que prend l\u2019Europe.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n \u00c0 lire aussi :<\/span>NIS2 en phase d\u2019ex\u00e9cution<\/a> \/<\/span> Type Confusion dans V8 de Chrome<\/a><\/p>\n Une vuln\u00e9rabilit\u00e9 d\u00e9couverte ne devient un atout pour la s\u00e9curit\u00e9 que lorsqu\u2019elle est signal\u00e9e et corrig\u00e9e. Tant que les chercheurs craignent d\u2019\u00eatre poursuivis pour ce signalement, certaines d\u00e9couvertes restent tues ou, dans le pire des cas, atterrissent sur un march\u00e9 gris. La zone grise ne prot\u00e8ge donc pas l\u2019exploitant : elle retient des informations utiles et prolonge la p\u00e9riode pendant laquelle une faille peut \u00eatre exploit\u00e9e \u00e0 l\u2019insu de tous.<\/p>\n La divulgation coordonn\u00e9e des vuln\u00e9rabilit\u00e9s (Coordinated Vulnerability Disclosure) intervient pr\u00e9cis\u00e9ment \u00e0 ce niveau. Au lieu d\u2019un risque diffus, il existe d\u00e9sormais une proc\u00e9dure claire : le chercheur signale via un canal officiel, une instance de coordination r\u00e9ceptionne le signalement, l\u2019exploitant dispose d\u2019un d\u00e9lai pour corriger la faille, et ce n\u2019est qu\u2019ensuite que l\u2019information est rendue publique. NIS2 \u00e9l\u00e8ve cette pratique, jusqu\u2019ici volontaire, au rang de m\u00e9canisme obligatoire.<\/p>\n Qu\u2019est-ce que la divulgation coordonn\u00e9e des vuln\u00e9rabilit\u00e9s ?<\/strong> La divulgation coordonn\u00e9e des vuln\u00e9rabilit\u00e9s (Coordinated Vulnerability Disclosure) est un processus structur\u00e9 dans lequel un chercheur en s\u00e9curit\u00e9 signale une faille d\u00e9couverte via un canal officiel. Une instance de coordination fait le lien entre le signalant et l\u2019exploitant, afin que la vuln\u00e9rabilit\u00e9 soit corrig\u00e9e avant que les d\u00e9tails ne soient divulgu\u00e9s.<\/p>\n Le Portugal a transpos\u00e9 la directive NIS2 en droit national fin 2025, avec une entr\u00e9e en vigueur en avril 2026. La voie de signalement coordonn\u00e9e pour les vuln\u00e9rabilit\u00e9s y est confi\u00e9e \u00e0 l’agence nationale de cybers\u00e9curit\u00e9 et \u00e0 son \u00e9quipe d’intervention. Il existe ainsi un destinataire d\u00e9sign\u00e9 pour recevoir les signalements et accompagner le processus jusqu’\u00e0 la r\u00e9solution. Pour les chercheurs de bonne foi, cela cr\u00e9e un parcours balis\u00e9 plut\u00f4t qu’une navigation \u00e0 l’aveugle sur le plan juridique.<\/p>\n Cet \u00e9largissement est le second volet de l’histoire. Parall\u00e8lement \u00e0 la voie de signalement, le cercle des organisations devant recevoir les signalements de vuln\u00e9rabilit\u00e9s et satisfaire aux exigences de s\u00e9curit\u00e9 s’agrandit \u00e9galement. Du fabricant de taille moyenne \u00e0 la municipalit\u00e9 d\u00e9passant un certain seuil, des entit\u00e9s soudainement concern\u00e9es se retrouvent impliqu\u00e9es, alors qu’elles se consid\u00e9raient jusqu’ici hors du champ r\u00e9glement\u00e9. Toute structure concern\u00e9e doit d\u00e9sormais instaurer une gestion claire des alertes entrantes.<\/p>\n Pour les chercheurs en s\u00e9curit\u00e9, la situation de d\u00e9part s’am\u00e9liore sensiblement. Un canal officiel dot\u00e9 d’une autorit\u00e9 de coordination r\u00e9duit le risque qu’un signalement de bonne foi soit mal interpr\u00e9t\u00e9 comme une attaque. Cela ne remplace pas une concertation minutieuse au cas par cas, mais substitue \u00e0 une crainte diffuse une proc\u00e9dure compr\u00e9hensible. Quiconque signale dans ce cadre \u00e9volue sur un terrain bien plus solide qu’auparavant.<\/p>\n Pour les op\u00e9rateurs, la logique s’inverse. Un signalement de vuln\u00e9rabilit\u00e9 entrant n’est pas un affront, mais un avertissement gratuit. Les organisations d\u00e9sormais soumises \u00e0 ces r\u00e8gles devraient cr\u00e9er un point d’entr\u00e9e d\u00e9fini pour ce type d’alertes : une adresse, un processus, un d\u00e9lai de r\u00e9action. Ignorer ou rejeter les signalements, c’est se priver de la valeur r\u00e9elle de la proc\u00e9dure coordonn\u00e9e et se retrouver en bien mauvaise posture en cas d’incident grave.<\/p>\n La grande tendance sous-jacente est europ\u00e9enne. NIS2 instaure le m\u00eame m\u00e9canisme de base dans tous les \u00c9tats membres, m\u00eame si la d\u00e9clinaison nationale varie. Pour les chercheurs et les entreprises op\u00e9rant au-del\u00e0 des fronti\u00e8res, cela cr\u00e9e un cadre plus pr\u00e9visible, o\u00f9 le signalement d’une faille devient la norme et non plus un pari risqu\u00e9.<\/p>\n NIS2 met en place une voie de signalement officielle et coordonn\u00e9e, offrant ainsi un cadre juridiquement s\u00fbr pour les signalements de bonne foi. Ce n’est pas un blanc-seing pour des intrusions arbitraires, mais quiconque signale une faille de mani\u00e8re responsable via le canal pr\u00e9vu se trouve dans une situation juridique bien meilleure que dans la zone grise qui pr\u00e9valait jusqu’alors.<\/p>\n En r\u00e8gle g\u00e9n\u00e9rale, l’agence nationale de cybers\u00e9curit\u00e9 et son \u00e9quipe d’intervention. Au Portugal, il s’agit de l’autorit\u00e9 centrale et de son CERT, qui assurent la coordination entre le lanceur d’alerte et l’op\u00e9rateur, et accompagnent le processus jusqu’\u00e0 la r\u00e9solution.<\/p>\n Elles doivent \u00eatre en mesure de recevoir les signalements de vuln\u00e9rabilit\u00e9s de mani\u00e8re structur\u00e9e et de satisfaire aux exigences de s\u00e9curit\u00e9. Concr\u00e8tement, cela signifie qu’elles doivent mettre en place un point d’entr\u00e9e d\u00e9fini, un processus et un d\u00e9lai de r\u00e9action pour les alertes entrantes, au lieu de les traiter comme des nuisances.<\/p>\n Non. NIS2 impose la voie de signalement coordonn\u00e9e \u00e0 l’\u00e9chelle europ\u00e9enne, le Portugal n’\u00e9tant qu’un exemple concret de transposition nationale. Les d\u00e9tails varient d’un pays \u00e0 l’autre, mais le m\u00e9canisme de base est partout le m\u00eame.<\/p>\n Non, les deux se compl\u00e8tent. Un programme de bug bounty d\u00e9finit les incitations et les r\u00e8gles du jeu au sein d’une organisation, tandis que la voie de signalement coordonn\u00e9e selon la NIS2 constitue le cadre sup\u00e9rieur, ancr\u00e9 par l’\u00c9tat, qui s’applique m\u00eame lorsqu’un op\u00e9rateur ne dispose pas de son propre programme.<\/p>\n Plus d’articles du r\u00e9seau MBF Media<\/p>\n\n
Pourquoi la zone grise constitue un risque pour la s\u00e9curit\u00e9<\/h2>\n
Ce que pr\u00e9voit concr\u00e8tement la transposition portugaise<\/h2>\n
Ce que cela implique pour les chercheurs et les op\u00e9rateurs<\/h2>\n
Foire aux questions<\/h2>\n
La directive NIS2 prot\u00e8ge-t-elle les hackers \u00e9thiques des poursuites p\u00e9nales ?<\/h3>\n
Qui re\u00e7oit les signalements ?<\/h3>\n
Qu’est-ce qui change pour les entreprises nouvellement soumises \u00e0 NIS2 ?<\/h3>\n
La voie de signalement s’applique-t-elle uniquement au Portugal ?<\/h3>\n
Le canal officiel remplace-t-il un programme de bug bounty ?<\/h3>\n