Plus le rapport est précis, plus le correctif arrive vite. Le minimum utile :
Référence du boîtier, version de HAI-OS (page « Update System Manager » de l'interface), et le cas échéant l'add-on concerné.
Les étapes, la requête ou le script minimal, la configuration réseau utilisée. Une capture ou un fichier de trace aide beaucoup.
Ce qu'un attaquant obtiendrait : lecture de données, contournement d'authentification, exécution de code, déni de service…
Le nom ou le pseudonyme sous lequel vous souhaitez être crédité dans le correctif — ou votre préférence de rester anonyme.
Dans ces conditions, nous considérons votre démarche comme légitime et nous n'engagerons aucune action à votre encontre. Nous n'avons pas de programme de prime — mais nous avons de la reconnaissance, et nous le disons publiquement.
Le règlement (UE) 2024/2847, dit Cyber Resilience Act, impose des obligations de cybersécurité aux fabricants de produits comportant des éléments numériques — une passerelle industrielle en fait partie. Il s'applique par étapes :
Tout fabricant doit signaler à l'ENISA et au CSIRT national toute vulnérabilité activement exploitée ou incident grave affectant la sécurité de son produit : alerte précoce sous 24 h, notification sous 72 h, puis rapport final — sous 14 jours après mise à disposition du correctif pour une vulnérabilité, sous un mois après la notification pour un incident grave. En France, la centralisation passe par le CERT-FR.
L'ensemble des obligations s'applique aux produits mis sur le marché à partir de cette date : exigences essentielles de sécurité, documentation technique, gestion des vulnérabilités sur la période de support, et marquage CE.
L'obligation de signalement pèse sur le fabricant, pas sur l'exploitant. Vous n'avez rien à notifier pour un boîtier que vous utilisez : c'est notre travail. Le vôtre est d'appliquer les mises à jour que nous publions.
Cette page décrit notre processus de réception des signalements. Elle ne remplace pas nos conditions contractuelles et n'engage pas d'interprétation juridique du règlement : pour l'analyse officielle du texte en France, référez-vous aux publications de l'ANSSI.
Passez par le support : c'est suivi, tracé, et ça arrive directement chez l'équipe qui développe le produit. Le canal sécurité est réservé à ce qui a un impact de sécurité.