Coordinateur de divulgation des vulnérabilités (NIS2)

Définition

Le coordinateur de divulgation des vulnérabilités est l'entité désignée par chaque État membre, conformément à la directive NIS2, pour jouer le rôle d'intermédiaire de confiance dans le processus de divulgation coordonnée des vulnérabilités affectant des produits ou services TIC. Concrètement, un chercheur en sécurité ou toute personne découvrant une vulnérabilité peut la signaler à ce coordinateur, généralement le CSIRT national, plutôt que directement au fabricant ou au fournisseur concerné, notamment lorsqu'il n'existe pas de canal de signalement établi ou lorsque le premier contact s'est révélé infructueux. Le coordinateur facilite alors les échanges entre le déclarant et l'entité concernée, aide à définir un calendrier de divulgation responsable laissant le temps de développer et déployer un correctif, et peut alimenter la base de données européenne des vulnérabilités une fois la faille rendue publique. Ce dispositif vise à encourager le signalement responsable des vulnérabilités plutôt que leur divulgation immédiate ou leur exploitation malveillante, en offrant une protection et un cadre clair aux chercheurs de bonne foi. Pour les éditeurs de logiciels et fabricants de produits connectés, la connaissance de ce mécanisme est utile pour structurer leur propre politique de divulgation coordonnée en cohérence avec le dispositif national.