CRA SBOM garde la trace de ce que contient chaque produit que vous vendez, vous prévient dès qu'un de ses éléments devient un risque de sécurité, et rédige les documents que l'UE vous demandera.
Tarif par produit, pas par développeur dès 59 €Sans carte bancaire. Votre premier produit est configuré en un après-midi.
| openssl | 3.0.13 | À corriger |
| linux-kernel | 6.6.30 | Non concerné |
| busybox | 1.36.1 | En analyse |
| mosquitto | 2.0.18 | OK |
| zlib | 1.3.1 | OK |
| + 212 autres composants |
Si vous vendez dans l'UE un produit qui contient du logiciel, le Cyber Resilience Act (CRA) s'applique à vous. Cela couvre les applications, les objets connectés, les machines dotées d'un panneau de commande et la plupart des appareils qui se branchent à un réseau.
Le CRA demande deux choses qui paraissent simples. Savoir exactement de quoi votre produit est fait. Et, lorsqu'un problème de sécurité y apparaît, agir vite et prévenir les autorités.
Un Software Bill of Materials, ou SBOM (nomenclature logicielle), est la liste des ingrédients de votre logiciel. Les produits modernes sont assemblés à partir de centaines de briques toutes faites, dont beaucoup sont du code open source gratuit écrit par d'autres. Le SBOM recense chacune de ces briques et sa version, pour que vous sachiez d'un coup d'œil si un problème nouvellement découvert vous concerne.
Le plus difficile pour une petite équipe n'est pas de dresser la liste une fois. C'est de la tenir à jour pour chaque produit et chaque version livrée, de la surveiller tous les jours, et de fournir les bons documents quand un auditeur ou un client les demande. Les grandes entreprises recrutent une équipe pour cela. Vous avez sans doute quelques développeurs qui préféreraient construire votre produit.
C'est pour cela que nous avons créé CRA SBOM. C'est un service en ligne qui assure le suivi, la surveillance et la paperasse à votre place. Vous n'avez rien besoin de savoir sur les SBOM pour l'utiliser. Il vous suffit de savoir quels produits vous vendez.
Chaque étape s'appuie sur la précédente. La plupart des équipes bouclent les trois premières en un après-midi, et le reste tourne tout seul.
Listez les produits que vous vendez et les versions qu'utilisent vos clients. Quand quelqu'un demande « la version 2.3 de votre passerelle est-elle concernée ? », vous avez la réponse en quelques secondes, sans fouiller dans de vieux dossiers et e-mails.
Ce que vous y gagnez : un registre clair de tout ce que vous avez livré.
Vos développeurs disposent déjà d'un processus automatique qui compile votre logiciel après chaque modification, souvent appelé CI (intégration continue). Ajoutez une courte étape, et chaque nouvelle compilation envoie automatiquement sa liste d'ingrédients à CRA SBOM.
Ce que vous y gagnez : une liste toujours à jour, sans travail supplémentaire pour votre équipe.
Inutile d'écrire un SBOM à la main ou d'acheter un outil à part. Des outils open source gratuits et largement utilisés analysent votre code et produisent la liste dans les formats standards attendus par l'UE et vos clients. Nos guides d'installation couvrent les langages que vous utilisez déjà.
Ce que vous y gagnez : un SBOM correct dès le premier jour, sans surcoût, et des fichiers qui restent les vôtres.
De nouveaux problèmes de sécurité sont découverts chaque jour dans des composants populaires. CRA SBOM compare vos produits aux bases publiques de vulnérabilités en permanence et vous alerte en précisant le produit, la version et la gravité.
Ce que vous y gagnez : vous êtes informé des problèmes avant qu'un client ou un régulateur ne vous les signale.
Toute alerte ne signifie pas que votre produit est en danger ; souvent, la partie vulnérable n'est jamais utilisée. VEX (Vulnerability Exploitability eXchange) est une manière simple d'enregistrer votre verdict : concerné, non concerné, corrigé ou en cours d'analyse, avec la justification.
Ce que vous y gagnez : des réponses claires pour vos clients, et la preuve que vous avez vérifié.
Quand une faille de votre produit est activement exploitée, l'article 14 du CRA déclenche un compte à rebours. CRA SBOM pré-remplit chaque rapport avec les produits et versions concernés et ce que vous avez déjà fait. Vous relisez, ajustez et envoyez.
Ce que vous y gagnez : des délais tenus, même quand l'alerte tombe un vendredi soir.
Avant d'apposer le marquage CE sur un produit, le CRA vous demande de tenir un dossier technique : les documents qui montrent comment vous respectez les règles. CRA SBOM exporte la partie logicielle de ce dossier, avec les SBOM, les décisions sur les vulnérabilités et l'historique des rapports, sous forme d'un paquet ordonné pour un auditeur ou un organisme notifié.
Ce que vous y gagnez : des heures de collecte de documents transformées en un simple téléchargement.
Le CRA compte des produits, nous aussi. Vous payez pour chaque produit que vous mettez sur le marché européen. Le nombre de personnes qui y travaillent vous regarde.
La plupart des outils de sécurité ont été conçus pour les grands éditeurs de logiciels. Ils facturent chaque développeur, souvent autour de 1 000 $ par développeur et par an, et la facture grimpe à chaque recrutement.
Votre premier produit soumis au CRA, ou une entreprise mono-produit.
Essai gratuitUne petite gamme de produits avec des versions régulières.
Essai gratuitLes fabricants avec un large catalogue d'appareils ou d'applications.
Nous contacterChaque formule inclut utilisateurs illimités, versions illimitées, surveillance quotidienne, décisions VEX, brouillons de rapports de l'article 14 et export du dossier technique. Prix hors TVA. Payez à l'année et bénéficiez de 2 mois offerts. Chaque formule commence par un essai gratuit de 30 jours.
L'estimation par développeur se base sur environ 1 000 $ (≈ 900 €) par développeur et par an, un devis courant pour les plateformes de sécurité destinées aux développeurs. CRA SBOM est calculé au prix catalogue, facturé au mois.
Si vous vendez dans l'UE un produit qui contient du logiciel et peut se connecter à un réseau ou à un autre appareil, c'est très probable. Certains secteurs, comme les dispositifs médicaux et l'automobile, relèvent de leurs propres règles. Pendant votre essai, nous faisons le point avec vous.
Pas du tout. La plupart de nos clients partent de zéro. Les générateurs gratuits créent la liste pour vous, et notre guide d'installation vous accompagne pas à pas pour le premier produit.
Non. Ils ajoutent une étape au processus de compilation qu'ils ont déjà. Ensuite, tout tourne en arrière-plan.
Aucun outil ne peut le faire seul. Le CRA couvre aussi la conception et le suivi de votre produit. CRA SBOM prend en charge le suivi des logiciels, la gestion des vulnérabilités et les signalements, la partie que la plupart des petites équipes ont le plus de mal à tenir.
Un produit, c'est une chose que vous vendez sous un même nom, avec toutes ses versions. Une passerelle vendue en trois variantes matérielles avec le même logiciel compte pour un seul produit.
Oui. Vos SBOM et vos registres utilisent des formats ouverts et standards, et vous pouvez les exporter à tout moment.
Des réponses courtes et claires aux questions les plus fréquentes sur la nouvelle loi européenne de cybersécurité des produits.
CRA signifie Cyber Resilience Act, en français « règlement sur la cyberrésilience », officiellement le règlement (UE) 2024/2847. C'est la loi de l'Union européenne qui fixe des règles de cybersécurité pour les produits qui contiennent du logiciel ou se connectent à un réseau. Il est entré en vigueur le 10 décembre 2024.
Le CRA est la première loi européenne qui fait de la cybersécurité une condition pour vendre un produit dans l'UE. Il couvre les « produits comportant des éléments numériques » : matériels et logiciels qui peuvent se connecter à un appareil ou à un réseau, des caméras connectées et routeurs jusqu'aux applications de bureau et mobiles.
Les fabricants doivent concevoir des produits sécurisés, corriger les vulnérabilités pendant la période de support du produit (en général au moins cinq ans), tenir un SBOM et signaler les vulnérabilités activement exploitées. Ses obligations arrivent en trois étapes :
Enfreindre les règles essentielles peut coûter jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Être conforme au CRA de l'UE signifie que votre produit respecte les exigences essentielles de cybersécurité de l'annexe I du règlement, et que vous pouvez le prouver. En pratique :
CRA SBOM prend en charge la partie SBOM, surveillance des vulnérabilités, signalements et documentation de cette liste.
Dans la conformité européenne des produits et de la cybersécurité, CRA désigne presque toujours le Cyber Resilience Act. Les mêmes lettres ont d'autres sens ailleurs : aux États-Unis, le Community Reinvestment Act est une loi bancaire ; au Canada, CRA désigne l'Agence du revenu du Canada ; et dans les essais cliniques, un CRA est un attaché de recherche clinique. Si votre question porte sur la vente de produits connectés ou de logiciels dans l'UE, il s'agit du Cyber Resilience Act.
L'évaluation de la conformité est le contrôle qui montre qu'un produit respecte les exigences du CRA avant de recevoir le marquage CE. Le contrôle requis dépend de la catégorie de risque du produit :
| Catégorie | Exemples | Mode d'évaluation |
|---|---|---|
| Par défaut | La plupart des produits, comme les enceintes connectées, imprimantes, jeux et la plupart des applications | Auto-évaluation par le fabricant (contrôle interne) |
| Important, classe I | Gestionnaires de mots de passe, VPN, routeurs, systèmes d'exploitation, serrures et caméras de sécurité connectées | Auto-évaluation si vous appliquez entièrement une norme harmonisée, sinon un organisme notifié |
| Important, classe II | Pare-feu, systèmes de détection d'intrusion, hyperviseurs, puces résistantes aux manipulations | Évaluation par un organisme notifié |
| Critique | Passerelles de compteurs intelligents, cartes à puce, boîtiers matériels de sécurité | Peut exiger une certification européenne de cybersécurité |
Quelle que soit la voie, vous obtenez un dossier technique, une déclaration UE de conformité et le marquage CE. Environ 90 % des produits devraient relever de la catégorie par défaut, où vous évaluez le produit vous-même.
Chaque texte vise une cible différente. Le CRA est celui qui concerne les produits que vous vendez.
| Texte | Qui ou quoi il couvre | Applicable depuis |
|---|---|---|
| Cyber Resilience Act (CRA) | Produits comportant des éléments numériques vendus dans l'UE | De 2026 à 2027, par étapes |
| Directive NIS2 | Organisations des secteurs essentiels et importants, comme l'énergie, la santé, les transports et les services numériques | Octobre 2024, via les lois nationales |
| DORA | Banques, assureurs et autres entités financières, ainsi que leurs principaux prestataires informatiques | Janvier 2025 |
| Cybersecurity Act | Le mandat de l'ENISA et les schémas européens de certification de cybersécurité | Juin 2019 |
| Directive sur les équipements radioélectriques, volet cybersécurité | Appareils sans fil et connectés à internet | Août 2025, jusqu'à la prise de relais par le CRA |
| RGPD | Sécurité des données personnelles | Mai 2018 |
L'ensemble des règles s'applique en décembre 2027. Configurez votre premier produit dès aujourd'hui et sachez exactement ce que contient tout ce que vous vendez.
Des questions ? Écrivez à hello@crasbom.com et une vraie personne vous répondra.