Le SBOM d'environnement de compilation
Profondeur utile pour la documentation technique et les reconstructions sur longue période de support, pas le fil conducteur article 14 de septembre 2026. Commencez par l'inventaire produit de ce que vous avez livré.
Important : la préparation à l'article 14 (à partir du 11 septembre 2026) porte sur les vulnérabilités activement exploitées dans des produits déjà sur le marché. Un SBOM de chaîne d'outils ne remplace pas cette colonne vertébrale. Utilisez cette page après avoir un inventaire produit, un scan continu et un triage opérationnels.
La plupart des outils SBOM répondent à une question : qu'y a-t-il dans mon artefact final ? Pour le firmware cross-compilé, l'environnement de compilation (compilateur, sysroot, SDK) peut encore compter pour la documentation technique et pour reconstruire l'environnement qui a produit une version concernée des années plus tard.
Ce qu'un SBOM d'environnement de compilation capture
- Le cross-compilateur (p. ex. arm-linux-gnueabihf-gcc) et sa version
- Le sysroot et ses bibliothèques système (glibc, OpenSSL, …)
- Le SDK / BSP utilisé pour construire le firmware
- Les dépendances de compilation tirées pendant la compilation
- Les versions exactes épinglées de tout ce qui précède
Comment alloy-it en génère un (volet Reproduce)
Parce qu'alloy-it décrit votre environnement de compilation comme un Blueprint versionné, il connaît déjà chaque chaîne d'outils, sysroot, SDK et paquet de cet environnement. Chaque événement de provisionnement peut produire un fichier de verrouillage, un SBOM (CycloneDX/SPDX) couvrant l'environnement de compilation, et un scan CVE dessus, et lier ce Blueprint à une version comme provenance de compilation.
Lorsque vous devez livrer un correctif des années dans la période de support, la cible de reconstruction est déjà enregistrée. Voir la liste de contrôle de conformité CRA complète →
Hub de conformité CRA
Vue d'ensemble CRA pour l'embarqué et le firmware
Ce qu'exige le Cyber Resilience Act, les échéances, et comment les fabricants de produits comportant des éléments numériques s'y conforment.
Exigences SBOM du CRA
Règles de format, de portée et par version pour un Software Bill of Materials produit conforme au CRA.
CRA pour l'embarqué et le firmware
Pourquoi le firmware nécessite un SBOM fournisseur plus un inventaire dérivé du binaire, et en quoi les images HEX ou chiffrées diffèrent.
Liste de contrôle de conformité CRA
Une liste pratique qui relie chaque obligation CRA à ce que votre équipe doit faire.
Traitement des vulnérabilités et Article 14
Notification 24 h / 72 h / 14 jours, KEV/EUVD, horloge de prise de connaissance, et ce que septembre 2026 exige réellement.
Cette page fournit des informations générales sur le Cyber Resilience Act de l'UE et ne constitue pas un conseil juridique. Le règlement et ses normes harmonisées évoluent encore : consultez les sources officielles de l'UE, de l'ENISA et du BSI ainsi qu'un conseil qualifié pour votre produit. alloy-it aide pour l'inventaire produit, la surveillance SBOM, le triage, les preuves article 14 et le chemin de reconstruction ; ce n'est ni un logiciel de marquage CE, ni un organisme notifié, et cela ne soumet pas de rapports à l'ENISA ni aux CSIRT nationaux.
Commencez par l'inventaire produit
Préparation article 14 d'abord. Ajoutez la profondeur d'environnement de compilation lorsque vous en avez besoin pour la documentation technique et les reconstructions sur longue période de support.