Guides
Le Cyber Resilience Act, en termes simples
Écrits pour les petites équipes sans service conformité. Chaque guide cite les articles du règlement sur lesquels il s’appuie.
Bases · 7 min
Le CRA et NIS2 : qui fait quoi
Le Cyber Resilience Act vise les produits, NIS2 les organisations. Ce qui les distingue, où ils se rejoignent, et que faire quand les deux s’appliquent.
Bases · 7 min
Calendrier du Cyber Resilience Act : toutes les dates, de 2022 à 2028
Quand le Cyber Resilience Act a été adopté, ce qui s’applique depuis juin et septembre 2026, ce qui change le 11 décembre 2027, et ce qui reste à venir.
Bases · 8 min
Qu’est-ce que le Cyber Resilience Act ? Le résumé en clair
Le Cyber Resilience Act européen en une lecture : ce qu’il couvre, qui doit faire quoi, les exigences essentielles, le signalement à l’ENISA, les dates et les amendes.
Champ · 9 min
Produits importants et critiques du CRA : classes et conformité
La liste complète des produits de classe I, de classe II et critiques des annexes III et IV du Cyber Resilience Act, et la procédure d’évaluation de chacun.
Champ · 8 min
Le CRA et l’open source : mainteneurs, intendants et fabricants
Quand le CRA s’applique à l’open source, qui en est exempté, ce que doivent les intendants de logiciels ouverts, et ce que les fabricants doivent aux projets.
Champ · 6 min
Le CRA et le SaaS : quand le logiciel en ligne est concerné
Le SaaS pur échappe au Cyber Resilience Act, pas le serveur d’un produit. Le traitement de données à distance, avec des exemples, et où NIS2 prend le relais.
Champ · 8 min
Le Cyber Resilience Act s’applique-t-il à votre produit ?
Champ, exclusions et classes de produits du Cyber Resilience Act européen, expliqués aux petits éditeurs et fabricants, avec les dates qui comptent.
Signalement · 9 min
Signalements CRA : l’horloge de 24 h, 72 h et 14 jours expliquée
Ce qui déclenche l’horloge de l’article 14 du Cyber Resilience Act, ce que doit contenir chaque signalement à l’ENISA, et comment être prêt avant.
SBOM · 7 min
CycloneDX ou SPDX ? Choisir un format de SBOM
Les deux normes de SBOM comparées : origines, versions, ce que chacune décrit bien, VEX et licences, outils, et laquelle choisir pour le Cyber Resilience Act.
SBOM · 8 min
Qu’est-ce qu’un SBOM ? Définition, formats, exemple et outils
La nomenclature logicielle expliquée : ce qu’elle liste, les formats CycloneDX et SPDX, un court exemple, les champs minimaux et les outils qui la produisent.
SBOM · 7 min
Le SBOM pour le Cyber Resilience Act : quoi produire, comment le tenir
Ce que le Cyber Resilience Act attend d’une nomenclature logicielle (SBOM), quel format choisir, qui la voit, et comment la tenir à jour à chaque version.
Vulnérabilités · 8 min
Rédiger une politique de divulgation coordonnée des vulnérabilités
Ce que doit dire une politique de divulgation coordonnée, pourquoi le CRA l’exige, les délais et la non-poursuite à décider, et comment la publier.
Vulnérabilités · 8 min
CVSS, EPSS et KEV : quelle vulnérabilité corriger d’abord
Gravité, probabilité et preuve d’exploitation : ce que mesurent le CVSS, l’EPSS et le KEV, comment les combiner, et lequel lance l’horloge de signalement du CRA.
Vulnérabilités · 6 min
Le security.txt et le point de contact du CRA pour les vulnérabilités
Ce qu’est un fichier security.txt, les champs de la RFC 9116, un exemple, où le placer et comment le garder valide, et comment il répond au point de contact du CRA.
Vulnérabilités · 8 min
Qu’est-ce que le VEX ? Dire qu’une faille ne vous touche pas
Le VEX expliqué : les quatre statuts, les cinq justifications, les formats CSAF, CycloneDX et OpenVEX, un exemple, et sa place dans le Cyber Resilience Act.
Documentation · 7 min
Marquage CE et déclaration UE de conformité avec le CRA
Dès le 11 décembre 2027, un produit comportant des éléments numériques doit avoir sa déclaration UE de conformité et le marquage CE : contenu, et place sur un logiciel.
Méthode · 12 min
Annexe I du CRA : les exigences essentielles, une par une
Chaque exigence essentielle de l’annexe I du Cyber Resilience Act, pour le produit et la gestion des vulnérabilités : ce qu’elle demande et comment le montrer.
Écosystèmes · 7 min
SBOM pour Docker et les images de conteneur pour le CRA
Quand une image de conteneur fait partie d'un produit soumis au CRA, et comment la décrire : Syft, Trivy, attestations BuildKit, images de base et paquets système.
Écosystèmes · 6 min
SBOM pour les projets .NET et NuGet pour le CRA
Produire le SBOM d'un produit .NET pour le Cyber Resilience Act : fichiers de verrouillage NuGet, CycloneDX pour .NET, l'outil SBOM de Microsoft et le runtime livré.
Écosystèmes · 6 min
SBOM pour les modules et binaires Go pour le CRA
Produire le SBOM d'un produit Go pour le Cyber Resilience Act : go.mod, cyclonedx-gomod, les informations de build des binaires, la bibliothèque standard et govulncheck.
Écosystèmes · 7 min
SBOM pour Java : Maven et Gradle pour le CRA
Produire le SBOM d'un produit Java, Kotlin ou Scala pour le Cyber Resilience Act avec les plugins CycloneDX pour Maven et Gradle, Spring Boot et les fat jars.
Écosystèmes · 7 min
SBOM pour les projets npm, pnpm et Yarn pour le CRA
Le SBOM d'un produit JavaScript ou TypeScript pour le Cyber Resilience Act : fichier de verrouillage, npm sbom, pnpm sbom, dépendances de développement, bundles.
Écosystèmes · 7 min
SBOM pour les projets Python : pip, Poetry et uv pour le CRA
Produire le SBOM d'un produit Python pour le Cyber Resilience Act : fichiers de verrouillage, uv export, cyclonedx-py, bibliothèques C des wheels et PEP 770.
Écosystèmes · 6 min
SBOM pour les projets Rust et Cargo pour le CRA
Produire le SBOM d'un produit Rust pour le Cyber Resilience Act : Cargo.lock, cargo-cyclonedx, cargo-auditable, crates -sys qui embarquent du C, et RustSec.
Comparatifs · 6 min
Provetry ou sbomify : lequel pour le CRA ?
sbomify et Provetry comparés pour le Cyber Resilience Act : gestion des SBOM, VEX et CSAF, trust center, délais de signalement de l'article 14, hébergement et prix.
Comparatifs · 6 min
Provetry ou Verimu : lequel pour le CRA ?
Verimu et Provetry comparés pour le Cyber Resilience Act : SBOM, vulnérabilités exploitées, délais de signalement de l'article 14, VEX, documents, offres et prix.
Comparatifs · 6 min
Provetry ou Dependabot : GitHub suffit-il pour le CRA ?
Dependabot (GitHub) et Provetry comparés pour le Cyber Resilience Act : alertes, mises à jour, export du SBOM, et ce que le CRA demande en plus.
Comparatifs · 6 min
Provetry ou Dependency-Track : lequel pour le CRA ?
OWASP Dependency-Track et Provetry comparés pour le Cyber Resilience Act : SBOM, vulnérabilités exploitées, signalements à l'ENISA, hébergement, offres et coût.
Comparatifs · 6 min
Provetry ou Snyk : une alternative à Snyk pour le CRA ?
Snyk et Provetry comparés pour le Cyber Resilience Act : ce que couvre chacun, SBOM et atteignabilité, signalements à l'ENISA, offres et prix.