CVD : rédiger et publier une politique de divulgation coordonnée des vulnérabilités

La politique de divulgation coordonnée des vulnérabilités (CVD) est un document public que la plupart des fabricants de produits connectés n'ont jamais rédigé, parce qu'avant le CRA, rien ne l'imposait. À partir du 11 septembre 2026, son absence constitue une non-conformité directe. Cet article explique ce que la CVD doit contenir selon l'Annexe I Partie II du CRA et la prEN 40000-1-3, ce qui la distingue de la procédure interne de traitement des vulnérabilités, comment la rendre opérationnelle plutôt que décorative, et ce que la clause de non-poursuite implique juridiquement.