Fonctionnement
Six étapes, presque toutes automatiques
Comment fonctionne Provetry : ce qui tourne tout seul, ce qu’un expert en sécurité certifié relit, et ce qui reste votre décision.
- Art. 14(2)(b)Notificationreste 2 j 18 h
- Art. 14(2)(c)Rapport finalDémarre à la sortie du correctif
Brouillon · alerte précoce
# Early warning: actively exploited vulnerability
Regulation (EU) 2024/2847, Article 14(2)(a)
Product: Gateway firmware 4.2 (connected device)
Affected component: libwebp 1.3.1 (fixed in 1.3.2)
Member States where the product is available: FR, IE- 1
Ajouter un produit et vérifier son champ
Nommez le produit, répondez aux questions de champ et choisissez sa catégorie. Provetry enregistre sa classe, la procédure de conformité et la période d’assistance sur laquelle vous vous engagez, avec sa date de fin.
- 2
Établir la nomenclature logicielle
Reliez votre dépôt Git (en lecture seule) ou envoyez un fichier de verrouillage, une image de conteneur ou un SBOM existant. Provetry produit une nomenclature CycloneDX et SPDX pour chaque version, dépendances transitives comprises, et garde le SBOM de chaque version dans votre documentation technique.
- 3
Surveiller chaque composant, chaque jour
Chaque composant est comparé aux données publiques de vulnérabilités (OSV) et surtout aux catalogues de vulnérabilités activement exploitées : CISA KEV et la base européenne des vulnérabilités (EUVD). Vous pouvez indiquer qu’une vulnérabilité n’est pas exploitable dans votre produit, avec votre raison : cette trace est conservée.
- 4
Quand un composant est exploité, l’horloge démarre
Vous êtes alerté tout de suite, par e-mail et dans le tableau de bord. L’alerte précoce est déjà rédigée avec les données de votre produit : versions touchées, États membres où il est vendu, contacts. Vous décidez si elle s’applique, et vous la soumettez sur la plateforme unique de signalement de l’ENISA.
- 5
Notification, rapport final et avis aux utilisateurs
La notification à 72 heures et le rapport final suivent de la même façon, avec des rappels avant chaque échéance, et un avis pour vos utilisateurs que vous pouvez adapter et envoyer.
- 6
Tenir votre dossier prêt pour décembre 2027
Documentation technique guidée, politique de divulgation coordonnée des vulnérabilités et fichier security.txt, déclaration UE de conformité : rédigées à partir de ce que Provetry sait déjà du produit.
Beaucoup de ces vulnérabilités se trouvent dans du code que votre produit n’exécute jamais. Votre CI vous dit lesquelles, preuve à l’appui : voir l’atteignabilité.
Relecture experte
Qui lit quoi, avant que cela vous parvienne
| Document | Produit | Relu par un expert | Décidé par vous |
|---|---|---|---|
| SBOM, correspondances de vulnérabilités, alertes | Automatiquement, tout de suite | Non, pour que rien n’attende | Quelles failles s’appliquent |
| Rapport d’audit de conformité CRA | Automatiquement | Toujours, avant livraison | Le plan d’action |
| Documentation technique, politique de divulgation | Rédigées à partir de vos données | Toujours, avant livraison | La rédaction finale |
| Alerte précoce, notification et rapport final à l’ENISA | Rédigés tout de suite | Avec l’option « Signalements relus » | S’il faut signaler, et ce que vous envoyez |
Le relecteur est un professionnel de la sécurité certifié CISSP, OSCP et CEH. Provetry ne donne pas de conseil juridique.