Scality devient autorité de numérotation CVE sous l’égide de l’ENISA

Scality a annoncé le 10 novembre 2026 son entrée dans le programme CVE en tant qu’autorité de numérotation, ou CNA (CVE Numbering Authority). L’éditeur peut désormais attribuer directement des identifiants aux vulnérabilités de ses logiciels et publier les enregistrements associés. Cette évolution intervient alors que les obligations de signalement du Cyber Resilience Act sont applicables depuis septembre.

Selon l’entreprise, ce statut a été obtenu le 21 juillet 2026. Scality rejoint le programme sous l’autorité racine, ou « Root », gérée par l’Agence de l’Union européenne pour la cybersécurité, l’ENISA. Le périmètre de Scality couvre ses propres logiciels, notamment Scality RING, Scality ARTESCA et Scality ADI.

Une publication coordonnée avec les correctifs

Les identifiants CVE servent de référence aux équipes de sécurité pour suivre les vulnérabilités et organiser leur traitement. Ils sont utilisés dans les scanners, les outils de gestion des incidents et les processus de déploiement des correctifs. Scality indique que ses clients avaient expressément demandé une couverture CVE de ses produits.

En tant que CNA, l’entreprise prend en charge la validation des vulnérabilités signalées, l’attribution des identifiants et la publication des enregistrements correspondants. Ceux-ci précisent les versions concernées et les recommandations de remédiation. Leur publication doit être coordonnée avec la disponibilité d’un correctif.

Pour Anh Nguyen-Phuoc, responsable de la sécurité des systèmes d’information de Scality, ce dispositif répond aux attentes de clients opérant dans des environnements fortement réglementés. Il leur fournit une information issue directement de l’éditeur, dans un format déjà exploité par leurs outils de sécurité.

Le signalement réglementaire en toile de fond

Depuis le 11 septembre 2026, le Cyber Resilience Act impose aux fabricants concernés de signaler les vulnérabilités activement exploitées et les incidents graves affectant la sécurité de leurs produits comportant des éléments numériques. Une alerte précoce doit être transmise dans les 24 heures après que le fabricant en a pris connaissance, précise la Commission européenne.

Scality inscrit son statut de CNA dans une démarche plus large. L’entreprise indique disposer d’un système de management de la sécurité de l’information certifié ISO 27001. Ses produits RING, ARTESCA et ADI reposent sur CORE5, son approche de cyberrésilience en cinq niveaux, de l’API à l’architecture. Elle publie également une nomenclature logicielle, ou SBOM, à chaque version d’ARTESCA et affirme suivre son calendrier de mise en conformité avec le CRA.

Jérôme Lecat, directeur général et cofondateur de Scality, présente cette participation au programme CVE comme une contribution à la souveraineté numérique européenne et à la transparence attendue par les clients publics et privés.