Article considérant 68

(68) Les vulnérabilités activement exploitées concernent les cas où un fabricant établit qu’une faille de sécurité touchant ses utilisateurs ou toute autre personne physique ou morale résulte de l’utilisation par une personne malveillante d’une faille dans l’un des produits comportant des éléments numériques mis à disposition sur le marché par le fabricant. Il peut s’agir par exemple de vulnérabilités dans les fonctions d’identification et d’authentification d’un produit. Les vulnérabilités qui sont découvertes sans intention malveillante pour les besoins d’essais, d’enquêtes, de correction ou de divulgation de bonne foi afin de renforcer la sécurité ou la sûreté du propriétaire du système et de ses utilisateurs ne devraient pas faire l’objet de notifications obligatoires. Les incidents graves ayant des répercussions sur la sécurité du produit comportant des éléments numériques sont, quant à eux, des situations dans lesquelles un incident de cybersécurité perturbe les processus de développement, de production ou de maintenance du fabricant d’une manière telle qu’il pourrait en résulter un risque accru de cybersécurité pour les utilisateurs ou d’autres personnes. Un tel incident grave pourrait notamment désigner la situation dans laquelle un pirate aurait réussi à introduire un code malveillant dans le canal de diffusion par lequel le fabricant publie ses mises à jour de sécurité à l’intention des utilisateurs.