Liste de contrôle de conformité CRA
Une liste pratique qui relie chaque obligation du Cyber Resilience Act à ce que votre équipe doit réellement faire. Produit livré d'abord.
Confirmer que le CRA s'applique
S'agit-il d'un produit comportant des éléments numériques mis sur le marché de l'UE ? Déterminez sa catégorie : par défaut (auto-évaluation), important ou critique.
Classer la voie de conformité
La plupart des produits s'auto-évaluent ; les produits importants et critiques peuvent nécessiter un organisme notifié. Identifiez votre voie tôt. alloy-it n'est pas un organisme notifié.
Concevoir sécurité dès la conception et par défaut
Livrez une configuration sécurisée par défaut et traitez les exigences essentielles de cybersécurité du CRA dès la conception.
Mettre en place un inventaire produit
Créez produits et versions pour ce que vous avez mis sur le marché. Téléversez un SBOM SPDX/CycloneDX lisible par machine pour chaque version logicielle.
Vérifier le binaire lorsque c'est possible
Optionnellement, dérivez un inventaire de l'image firmware et comparez-le au SBOM fournisseur. Vérifier, ne pas se contenter de faire confiance. Les images HEX ou chiffrées peuvent nécessiter uniquement le document fournisseur.
Trier les constats
Décidez concerné / non concerné / faux positif avec justification. Un scan sans triage est inutilisable au regard du CRA.
Préparer la notification article 14
Superposez l'exploitation active (KEV/EUVD). Horodatez la première prise de connaissance. Préparez le paquet 24 h / 72 h / 14 jours pour ENISA / CSIRT. Ne confondez pas cela avec l'envoi d'e-mails aux clients.
S'engager sur les mises à jour de sécurité
Fournissez des mises à jour pendant la période de support (cinq ans au minimum) via un canal signé et protégé en intégrité. Liez les versions aux Blueprints pour pouvoir encore reconstruire des années plus tard.
Assembler la documentation technique et les preuves
Conservez SBOM, décisions de triage, horodatages de prise de connaissance et preuves de conformité prêts pour les autorités de surveillance du marché.
Achever l'évaluation de la conformité et le marquage CE
Menez l'évaluation pour votre catégorie et apposez le marquage CE avant de mettre le produit sur le marché. alloy-it n'est pas un logiciel de marquage CE.
Optionnel plus tard : SBOM d'environnement de compilation
Les SBOM de chaîne d'outils et de dépendances de compilation ajoutent de la profondeur à la documentation technique. Utiles, mais ce n'est pas ce que demande la notification de septembre 2026.
Emportez la liste de contrôle avec vous
Une version d'une page mise en page pour l'impression ou l'enregistrement en PDF, avec de la place pour marquer chaque élément comme fait, assigné ou non commencé. Utile pour parcourir avec une équipe d'ingénierie ou un comité de direction où vous en êtes.
Où alloy-it couvre la liste
alloy-it prend en charge l'inventaire produit, la surveillance SBOM, la comparaison firmware, le triage, la prise de connaissance article 14 et l'export SRP, les dossiers de preuves et le chemin de reconstruction. La classification du produit, l'ingénierie sécurité dès la conception, l'évaluation de la conformité et le marquage CE relèvent de vos équipes produit et conformité, et d'un conseil qualifié.
Hub de conformité CRA
Vue d'ensemble CRA pour l'embarqué et le firmware
Ce qu'exige le Cyber Resilience Act, les échéances, et comment les fabricants de produits comportant des éléments numériques s'y conforment.
Exigences SBOM du CRA
Règles de format, de portée et par version pour un Software Bill of Materials produit conforme au CRA.
CRA pour l'embarqué et le firmware
Pourquoi le firmware nécessite un SBOM fournisseur plus un inventaire dérivé du binaire, et en quoi les images HEX ou chiffrées diffèrent.
Traitement des vulnérabilités et Article 14
Notification 24 h / 72 h / 14 jours, KEV/EUVD, horloge de prise de connaissance, et ce que septembre 2026 exige réellement.
SBOM d'environnement de compilation
Chaîne d'outils et dépendances de compilation pour la documentation technique : profondeur utile, mais pas ce que demande la notification de septembre 2026.
Cette page fournit des informations générales sur le Cyber Resilience Act de l'UE et ne constitue pas un conseil juridique. Le règlement et ses normes harmonisées évoluent encore : consultez les sources officielles de l'UE, de l'ENISA et du BSI ainsi qu'un conseil qualifié pour votre produit. alloy-it aide pour l'inventaire produit, la surveillance SBOM, le triage, les preuves article 14 et le chemin de reconstruction ; ce n'est ni un logiciel de marquage CE, ni un organisme notifié, et cela ne soumet pas de rapports à l'ENISA ni aux CSIRT nationaux.
Cochez inventaire, triage et préparation article 14
Commencez gratuitement avec un produit et vos N derniers SBOM, ou réservez une démonstration CRA.