Le CRA pour les équipes embarqué et firmware
Le Cyber Resilience Act s'applique aux dispositifs comportant des éléments numériques, mais le firmware exige un SBOM fournisseur plus un inventaire dérivé du binaire, de la transparence sur les images HEX ou chiffrées, et un chemin de reconstruction sur longue période de support.
Les guides CRA génériques supposent une chaîne d'approvisionnement logicielle simple. Les produits embarqués et IoT cassent cette hypothèse : le firmware est cross-compilé, peut manquer de métadonnées de paquets, est livré sur du matériel que vous maintenez pendant des années, et se met à jour à distance. Voici ce qui change.
Pourquoi la conformité CRA embarquée est différente
SBOM fournisseur vs ce qui est dans le binaire
Les images de type Yocto, Buildroot ou Android livrent souvent un document fournisseur incomplet. Dériver un inventaire de l'image et le comparer comble l'écart qui intéresse la surveillance du marché.
Images bare-metal et chiffrées
Intel HEX, S-record et images chiffrées peuvent produire un SBOM dérivé vide. La voie honnête : un SBOM fournisseur issu du système de compilation, et le dire avant l'analyse, pas après.
Longues périodes de support
Les mises à jour de sécurité sont requises pendant la période de support, cinq ans au minimum. Vous avez besoin d'un chemin de reconstruction lorsqu'un correctif est requis des années plus tard.
Article 14 sur le firmware livré
À partir du 11 septembre 2026, vous devez savoir si une CVE activement exploitée apparaît dans un produit déjà sur le marché, et quand vous en avez pris connaissance.
Où alloy-it s'inscrit
alloy-it traite produits et versions comme unité d'enregistrement CRA : téléversement de SBOM fournisseur, inventaire dérivé du firmware à la demande, comparaison, scan continu renouvelé, triage, prise de connaissance article 14 et dossiers de preuves. Les Blueprints ferment le volet Reproduce lorsque vous devez reconstruire une version concernée des années dans la période de support.
Ce n'est ni une solution complète de conformité juridique, ni un outil de marquage CE, et cela ne soumet rien à l'ENISA. Voir la liste de contrôle de conformité CRA →
Hub de conformité CRA
Vue d'ensemble CRA pour l'embarqué et le firmware
Ce qu'exige le Cyber Resilience Act, les échéances, et comment les fabricants de produits comportant des éléments numériques s'y conforment.
Exigences SBOM du CRA
Règles de format, de portée et par version pour un Software Bill of Materials produit conforme au CRA.
Liste de contrôle de conformité CRA
Une liste pratique qui relie chaque obligation CRA à ce que votre équipe doit faire.
Traitement des vulnérabilités et Article 14
Notification 24 h / 72 h / 14 jours, KEV/EUVD, horloge de prise de connaissance, et ce que septembre 2026 exige réellement.
SBOM d'environnement de compilation
Chaîne d'outils et dépendances de compilation pour la documentation technique : profondeur utile, mais pas ce que demande la notification de septembre 2026.
Cette page fournit des informations générales sur le Cyber Resilience Act de l'UE et ne constitue pas un conseil juridique. Le règlement et ses normes harmonisées évoluent encore : consultez les sources officielles de l'UE, de l'ENISA et du BSI ainsi qu'un conseil qualifié pour votre produit. alloy-it aide pour l'inventaire produit, la surveillance SBOM, le triage, les preuves article 14 et le chemin de reconstruction ; ce n'est ni un logiciel de marquage CE, ni un organisme notifié, et cela ne soumet pas de rapports à l'ENISA ni aux CSIRT nationaux.
Menez les opérations CRA sur votre firmware
Inventaire produit, SBOM fournisseur vs dérivé, triage et préparation article 14. Commencez gratuitement.