CRA : obligation de notifier (art. 14) depuis le 11.09.2026 · en êtes-vous capable sous 24 h ?

Demander une démo

Glossaire

Le vocabulaire, sans le brouillard.

La conformité s’encombre de sigles. Voici les termes que vous rencontrerez sur ce site et dans vos obligations · définis court, avec la terminologie officielle. Contenu indicatif · ne constitue pas un avis juridique.

Glossaire

Le vocabulaire, sans le brouillard.

Cadres suisses

nLPD

Nouvelle loi fédérale sur la protection des données, en vigueur depuis le 1er septembre 2023. Elle encadre le traitement des données personnelles en Suisse et rapproche le droit suisse du RGPD.

Guide nLPD pour PME →

LSI

Loi sur la sécurité de l’information. Elle impose aux organisations assujetties de signaler certaines cyberattaques à l’OFCS dans les 24 heures suivant leur détection. La loi ne sanctionne pas directement le retard : l’OFCS fixe d’abord un délai, puis rend une décision sous menace d’amende, et c’est l’insoumission intentionnelle à cette décision entrée en force qui expose à une amende pouvant atteindre CHF 100 000.

Guide LSI annonce 24 h →

OFCS

Office fédéral de la cybersécurité · l’autorité suisse qui reçoit les annonces de cyberattaques prévues par la LSI.

PFPDT

Préposé fédéral à la protection des données et à la transparence · l’autorité suisse de surveillance en matière de protection des données, destinataire des annonces de violations prévues par la nLPD.

Cadres européens et internationaux

RGPD

Règlement général sur la protection des données (UE 2016/679). Il s’applique aussi aux organisations suisses qui traitent des données de personnes situées dans l’UE.

ISO 27001

Norme internationale de management de la sécurité de l’information. La certification atteste qu’un système de management conforme est en place, sur un périmètre défini.

Guide ISO 27001 pour PME →

ENISA

Agence de l’Union européenne pour la cybersécurité. Dans le cadre du CRA, elle reçoit les signalements via la plateforme SRP, aux côtés du CSIRT coordinateur.

CRA

Cyber Resilience Act (règlement UE 2024/2847) : exigences de cybersécurité pour les produits comportant des éléments numériques vendus dans l’UE. Les obligations de signalement de l’article 14 s’appliquent depuis le 11 septembre 2026, les exigences principales dès le 11 décembre 2027.

Le module Compliance CRA →

EU AI Act

Règlement européen sur l’intelligence artificielle : obligations graduées selon le niveau de risque des systèmes d’IA développés ou déployés sur le marché européen.

RGPD

Règlement général sur la protection des données (UE 2016/679). Il s’applique aussi aux organisations suisses qui traitent des données de personnes situées dans l’UE.

CRA

Le module Compliance CRA →

ISO 27001

Norme internationale de management de la sécurité de l’information. La certification atteste qu’un système de management conforme est en place, sur un périmètre défini.

Guide ISO 27001 pour PME →

EU AI Act

Règlement européen sur l’intelligence artificielle : obligations graduées selon le niveau de risque des systèmes d’IA développés ou déployés sur le marché européen.

ENISA

Agence de l’Union européenne pour la cybersécurité. Dans le cadre du CRA, elle reçoit les signalements via la plateforme SRP, aux côtés du CSIRT coordinateur.

Sécurité opérationnelle

SBOM

Software Bill of Materials : l’inventaire des composants logiciels d’un produit (bibliothèques, dépendances, versions). Prérequis pratique du CRA · impossible de signaler une vulnérabilité dans un composant qu’on ne sait pas présent.

KEV

Known Exploited Vulnerabilities : catalogue des vulnérabilités activement exploitées. Une CVE présente au KEV et dans votre inventaire exige une réaction prioritaire · et, sous CRA, peut déclencher l’obligation de signalement.

EDR

Endpoint Detection and Response : la couche de détection et de réponse installée sur les postes et serveurs. Sa couverture réelle est une preuve de sécurité classique demandée en due diligence.

CVD

Coordinated Vulnerability Disclosure : la politique qui organise la réception et le traitement des signalements de vulnérabilités par des tiers, sans risque juridique pour le chercheur de bonne foi.

CVE

Common Vulnerabilities and Exposures : l’identifiant public standardisé d’une vulnérabilité (par exemple CVE-2026-XXXXX).

T0

L’instant de prise de connaissance d’un incident ou d’une vulnérabilité exploitée. C’est de T0 que courent les délais légaux (24 h, 72 h) · le dater précisément et pouvoir le démontrer est décisif.

SBOM

CVD

KEV

CVE

Common Vulnerabilities and Exposures : l’identifiant public standardisé d’une vulnérabilité (par exemple CVE-2026-XXXXX).

EDR

T0

La preuve, chez PREVORN

Evidence Pack

Terme PREVORN : dossier de preuve scellé et horodaté · contrôles, journal, timeline d’incident · exportable et vérifiable par un tiers, sans compte, depuis la page Vérifier une preuve.

Vérifier une preuve →

PoG

Proof of Governance · le framework PREVORN qui impose à chaque décision critique une chaîne vérifiable : événement, analyse, validation, décision. Les décisions assistées par IA passent par un gate humain, scellé lui aussi.

Le framework PoG →

Due diligence

L’examen préalable qu’un donneur d’ordre, un investisseur ou un assureur mène avant de s’engager. En cybersécurité, elle exige de plus en plus des preuves datées · pas des déclarations.

Scellement

L’opération qui fige un dossier de preuve : empreinte cryptographique et horodatage. Toute altération ultérieure devient détectable. Le mécanisme est documenté dans le Trust Center.

Trust Center →

Chaîne de preuve

La continuité vérifiable entre un événement brut et la décision finale qui en découle. C’est elle qui distingue un dossier défendable d’une collection de captures d’écran.

Design partner

Terme PREVORN : organisation du premier cercle qui évalue la plateforme sur un périmètre réel, avec un cadrage contractualisé et des conditions fondatrices.

Le programme design partner →