Que signifie « aucune vulnérabilité exploitable connue » dans le Cyber Resilience Act ?

« Aucune vulnérabilité exploitable connue » est une exigence de qualité à la mise sur le marché : un produit doit être mis à disposition sans faille exploitable connue et avec une configuration sécurisée par défaut (annexe I). Ce n'est pas la même chose que le déclencheur de signalement. Une « vulnérabilité activement exploitée », qui lance le compte à rebours de 24 heures, est une vulnérabilité pour laquelle existe une preuve fiable d'exploitation malveillante en conditions réelles (art. 3, point 42) ; l'obligation de l'annexe I porte sur ce que vous commercialisez, pas seulement sur ce que vous détectez ensuite.

Le RCR est délibérément technologiquement neutre. Il exige une approche systématique et fondée sur les risques pour identifier et traiter les vulnérabilités, mais il ne codifie ni CVSS, ni EPSS, ni le catalogue KEV de la CISA. Les utiliser est pertinent pour démontrer un processus de tri défendable ; affirmer qu'ils sont légalement imposés est incorrect. Le règlement attend une décision documentée, pas un score particulier.