# CRA — Gestion des vulnérabilités

## Cycle recommandé
1. Réception du signalement.
2. Enregistrement.
3. Triage.
4. Analyse de l'impact.
5. Identification des versions affectées.
6. Évaluation de la gravité.
7. Décision de remédiation.
8. Développement et validation du correctif.
9. Communication.
10. Déploiement.
11. Vérification.
12. Clôture et conservation des preuves.

## Registre minimal
- identifiant interne ;
- date de découverte ;
- source ;
- produit/version ;
- composant ;
- description ;
- impact ;
- exploitabilité connue ;
- statut ;
- responsable ;
- correctif ;
- date de disponibilité du correctif ;
- communication ;
- éventuelle obligation de notification CRA.

## Reporting
Depuis le 11 septembre 2026, les fabricants ont des obligations de notification concernant notamment les vulnérabilités activement exploitées et les incidents graves ayant un impact sur la sécurité des produits. Les délais et modalités doivent être vérifiés dans les ressources Commission/ENISA les plus récentes.