Le Cyber Resilience Act de l'UE, expliqué pour les fabricants
Ce qu'exige le CRA pour les produits comportant des éléments numériques : un inventaire vivant de ce que vous avez livré, le traitement des vulnérabilités, la notification article 14 à partir du 11 septembre 2026, et des preuves pour décembre 2027.
Le Cyber Resilience Act (CRA) est un règlement de l'UE qui fixe des exigences de cybersécurité obligatoires pour les « produits comportant des éléments numériques » commercialisés dans l'UE, y compris les systèmes embarqués, les passerelles industrielles et leur firmware. Il impose une sécurité dès la conception, un SBOM lisible par machine, le traitement des vulnérabilités et des mises à jour de sécurité sur toute la durée de vie du produit.
L'objet de l'évaluation est le produit livré : ce que vous avez mis sur le marché, version par version. Septembre 2026, c'est une notification au CSIRT et à l'ENISA lorsqu'une vulnérabilité est activement exploitée, pas une obligation d'écrire aux clients finaux. alloy-it vous aide à faire tourner ce flux vivant : inventaire, scan, triage, horloge de prise de connaissance, preuves, et un chemin de reconstruction lorsque vous devez corriger.
Échéances clés du CRA
Le non-respect peut entraîner des amendes allant jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial.
Les six obligations qui comptent pour les fabricants
Sécurité dès la conception et par défaut
Intégrez la cybersécurité au produit dès le départ, avec une configuration sécurisée par défaut.
SBOM produit lisible par machine
Maintenez une Software Bill of Materials (SPDX/CycloneDX) couvrant au moins les dépendances de premier niveau, pour chaque version logicielle de ce que vous mettez sur le marché.
Traitement des vulnérabilités
Identifiez, documentez et remédiez aux vulnérabilités sur toute la durée de vie du produit ; notifiez celles qui sont activement exploitées à l'ENISA et aux CSIRT nationaux (article 14 à partir du 11 septembre 2026).
Mises à jour de sécurité
Fournissez des mises à jour de sécurité pendant la période de support (cinq ans au minimum) via un canal signé et protégé en intégrité.
Documentation technique
Conservez la documentation (y compris le SBOM) à disposition des autorités de surveillance du marché sur demande.
Évaluation de la conformité et marquage CE
Auto-évaluez (≈90 % des produits) ou faites appel à un organisme notifié pour les produits importants ou critiques avant d'apposer le marquage CE. alloy-it n'est pas un logiciel de marquage CE.
D'abord : l'inventaire de ce que vous avez mis sur le marché
Vous ne pouvez pas notifier ce que vous ne trouvez pas. La préparation à l'article 14 commence par les produits et versions, un SBOM fournisseur (et éventuellement un inventaire dérivé du firmware), un scan continu renouvelé et des décisions de triage, puis un horodatage de prise de connaissance lorsqu'une vulnérabilité est activement exploitée dans une version livrée.
Les SBOM d'environnement de compilation et de chaîne d'outils apportent une profondeur utile pour la documentation technique et les reconstructions sur longue période de support. Ce n'est pas ce que demande la notification de septembre 2026.
Comment alloy-it s'aligne sur les exigences du CRA
| Exigence CRA | Ce qu'elle exige | Comment alloy-it aide |
|---|---|---|
| SBOM produit lisible par machine | SPDX / CycloneDX, au moins les dépendances de premier niveau, par version logicielle. | Téléversez un SBOM fournisseur CycloneDX/SPDX par version. Optionnellement, dérivez un inventaire du binaire firmware et comparez : vérifier, ne pas se contenter de faire confiance. |
| SBOM tenu à jour | Un nouveau SBOM pour chaque version logicielle ; il ne doit pas devenir obsolète. | Chaque version porte son propre SBOM. Le scan continu renouvelé maintient les constats à jour sur toute la période de support. |
| Traitement des vulnérabilités et triage | Identifier, documenter et remédier ; décider ce qui est dans le produit. | Triage au niveau composant avec justification et historique. Décisions concerné / non concerné défendables devant un évaluateur. |
| Notification des exploitations actives (art. 14) | Alerte précoce 24 h / notification 72 h à l'ENISA et aux CSIRT nationaux à partir du 11 septembre 2026. | Superposition KEV / EUVD sur l'inventaire produit, horodatage de prise de connaissance et payload SRP en JSON à copier. Alloy ne soumet pas et n'envoie pas automatiquement d'e-mails aux clients. |
| Documentation technique et preuves | Preuves pour les audits et les autorités de surveillance du marché. | Dossiers de preuves par version : SBOM, constats, décisions de triage et historique de prise de connaissance. |
| Mises à jour sur la durée de vie | Suivre et corriger les composants pendant 5 ans ou plus (période de support). | Liez la version au Blueprint qui l'a construite. Reconstruisez cet environnement pour livrer une version corrigée dans la surveillance. |
| SBOM d'environnement de compilation / chaîne d'outils | Profondeur optionnelle pour la documentation technique ; ce n'est pas ce que demande l'article 14 en septembre 2026. | Les Blueprints produisent un SBOM par version incluant la chaîne d'outils et les dépendances de compilation lorsque vous avez besoin de ces preuves. |
FAQ Cyber Resilience Act
Quand le CRA prend-il effet ?
Le CRA est entré en vigueur le 10 décembre 2024. Les obligations de notification des vulnérabilités et des incidents s'appliquent à partir du 11 septembre 2026. L'application complète (marquage CE et évaluation de la conformité compris) est requise à partir du 11 décembre 2027.
Le CRA exige-t-il un SBOM ?
Oui. Les fabricants doivent produire une Software Bill of Materials lisible par machine (SPDX, CycloneDX ou SWID) couvrant au moins les dépendances de premier niveau, tenue à jour pour chaque version logicielle et incluse dans la documentation technique.
Qu'exige l'article 14 à partir du 11 septembre 2026 ?
Les fabricants doivent notifier les vulnérabilités activement exploitées et les incidents graves à l'ENISA et aux CSIRT nationaux : alerte précoce sous 24 heures, notification sous 72 heures, et rapport final sous 14 jours. C'est une notification aux autorités, pas une obligation d'écrire aux clients finaux. Informer les utilisateurs relève du traitement des vulnérabilités, en vue de l'application complète en décembre 2027.
Le CRA s'applique-t-il à mon produit ?
Il s'applique aux produits comportant des éléments numériques (matériel et logiciel) mis sur le marché de l'UE. Environ 90 % des produits relèvent de la catégorie par défaut et peuvent s'auto-évaluer ; les produits importants et critiques peuvent nécessiter un organisme notifié.
Quelles sont les sanctions en cas de non-conformité ?
Le non-respect des exigences essentielles peut entraîner des amendes allant jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Le CRA s'applique-t-il à l'open source ?
Les gardiens de logiciels open source sont soumis à un régime allégé. Les organisations qui distribuent de l'open source à titre commercial sont en général traitées comme fabricants, avec l'ensemble des obligations.
Qui le CRA lie-t-il réellement ?
Les obligations les plus lourdes pèsent sur le fabricant du produit comportant des éléments numériques, y compris quiconque le commercialise sous son propre nom, et sur quiconque est traité comme fabricant après une modification substantielle. Les mandataires, importateurs et distributeurs ont leurs propres devoirs, surtout documentation et contrôle d'accès au marché, pas la boucle d'opérations des articles 13 et 14. alloy-it est conçu pour le fabricant au sens du règlement.
Hub de conformité CRA
Exigences SBOM du CRA
Règles de format, de portée et par version pour un Software Bill of Materials produit conforme au CRA.
CRA pour l'embarqué et le firmware
Pourquoi le firmware nécessite un SBOM fournisseur plus un inventaire dérivé du binaire, et en quoi les images HEX ou chiffrées diffèrent.
Liste de contrôle de conformité CRA
Une liste pratique qui relie chaque obligation CRA à ce que votre équipe doit faire.
Traitement des vulnérabilités et Article 14
Notification 24 h / 72 h / 14 jours, KEV/EUVD, horloge de prise de connaissance, et ce que septembre 2026 exige réellement.
SBOM d'environnement de compilation
Chaîne d'outils et dépendances de compilation pour la documentation technique : profondeur utile, mais pas ce que demande la notification de septembre 2026.
Cette page fournit des informations générales sur le Cyber Resilience Act de l'UE et ne constitue pas un conseil juridique. Le règlement et ses normes harmonisées évoluent encore : consultez les sources officielles de l'UE, de l'ENISA et du BSI ainsi qu'un conseil qualifié pour votre produit. alloy-it aide pour l'inventaire produit, la surveillance SBOM, le triage, les preuves article 14 et le chemin de reconstruction ; ce n'est ni un logiciel de marquage CE, ni un organisme notifié, et cela ne soumet pas de rapports à l'ENISA ni aux CSIRT nationaux.
Soyez prêts pour l'article 14 avant septembre 2026
Commencez par un inventaire produit, un scan continu, le triage et les preuves de prise de connaissance, puis un chemin de reconstruction lorsque vous devez corriger.