Exigences SBOM du CRA
Règles de format, de portée et par version pour une Software Bill of Materials produit conforme au Cyber Resilience Act de l'UE.
Le CRA exige des fabricants qu'ils produisent et maintiennent une Software Bill of Materials (SBOM) pour le produit que vous mettez sur le marché, dans le cadre de la documentation technique. Les règles sont précises sur le format, la portée et la façon dont le SBOM doit rester à jour.
Les six règles SBOM du CRA
Format standard lisible par machine
Le SBOM doit utiliser un format courant et lisible par machine : SPDX, CycloneDX ou SWID, généralement sérialisé en JSON ou XML.
Au moins les dépendances de premier niveau
Au minimum, listez chaque composant de premier niveau avec son nom, sa version et son fournisseur ; idéalement, incluez les relations de dépendance.
Un SBOM par version logicielle
Un SBOM distinct doit être généré pour chaque version logicielle. Si un composant change, une nouvelle version et un nouveau SBOM sont requis.
Tenu à jour, pas obsolète
À mesure que le produit reçoit des mises à jour et des correctifs, le SBOM doit suivre l'état actuel du logiciel.
Dans la documentation technique
Vous n'êtes pas tenus de publier le SBOM, mais vous devez le conserver dans la documentation technique et le fournir aux autorités de surveillance du marché sur demande.
Pas de données de vulnérabilité à l'intérieur
Les SBOM ne doivent pas contenir d'informations sur les vulnérabilités. Communiquez les vulnérabilités séparément via VEX ou CSAF.
SBOM produit d'abord : fournisseur et dérivé du firmware
Commencez par le document fournisseur CycloneDX/SPDX pour chaque version. Lorsque vous avez le binaire, générez un inventaire dérivé à la demande et comparez : vérifier, ne pas se contenter de faire confiance. Le scan continu renouvelé maintient les constats à jour sur toute la période de support.
Les SBOM de chaîne d'outils et d'environnement de compilation apportent une profondeur utile pour la documentation technique et les reconstructions sur longue période de support. Ce n'est pas le fil conducteur de septembre 2026. Lire le guide environnement de compilation →
Hub de conformité CRA
Vue d'ensemble CRA pour l'embarqué et le firmware
Ce qu'exige le Cyber Resilience Act, les échéances, et comment les fabricants de produits comportant des éléments numériques s'y conforment.
CRA pour l'embarqué et le firmware
Pourquoi le firmware nécessite un SBOM fournisseur plus un inventaire dérivé du binaire, et en quoi les images HEX ou chiffrées diffèrent.
Liste de contrôle de conformité CRA
Une liste pratique qui relie chaque obligation CRA à ce que votre équipe doit faire.
Traitement des vulnérabilités et Article 14
Notification 24 h / 72 h / 14 jours, KEV/EUVD, horloge de prise de connaissance, et ce que septembre 2026 exige réellement.
SBOM d'environnement de compilation
Chaîne d'outils et dépendances de compilation pour la documentation technique : profondeur utile, mais pas ce que demande la notification de septembre 2026.
Cette page fournit des informations générales sur le Cyber Resilience Act de l'UE et ne constitue pas un conseil juridique. Le règlement et ses normes harmonisées évoluent encore : consultez les sources officielles de l'UE, de l'ENISA et du BSI ainsi qu'un conseil qualifié pour votre produit. alloy-it aide pour l'inventaire produit, la surveillance SBOM, le triage, les preuves article 14 et le chemin de reconstruction ; ce n'est ni un logiciel de marquage CE, ni un organisme notifié, et cela ne soumet pas de rapports à l'ENISA ni aux CSIRT nationaux.
Mettez en place un SBOM produit vivant
Inventaires fournisseur et dérivés du firmware par version, scan continu et triage. Commencez gratuitement.