Le CRA demande de savoir de quoi est fait votre produit.
Pour qui fabrique, importe ou intègre des produits comportant des éléments numériques : HodeiShield ingère le SBOM des fournisseurs ou d’un actif propre, le croise avec les CVE et vous alerte par composant. Il ne remplace ni votre documentation technique ni votre notification.
- SBOM uniquement en JSON (CycloneDX ou SPDX), avec téléversement authentifié
- Données dans l’UE (OVH, Gravelines) ; Cloudflare (États-Unis) sur le chemin de la requête
Ce qu’exige le CRA, en bref
Le CRA fixe des exigences de cybersécurité pour les produits comportant des éléments numériques pendant tout leur cycle de vie.
Résumé informatif, pas de conseil juridique. Savoir si votre produit entre dans le champ d’application et dans quelle catégorie dépend du texte officiel.
- Savoir de quoi il est fait
- Le fabricant identifie et documente les vulnérabilités et les composants du produit, y compris une nomenclature logicielle (SBOM) dans un format couramment utilisé et lisible par machine (annexe I, partie II).
- Diligence à l’égard des composants tiers
- Celui qui intègre des composants de tiers doit faire preuve de la diligence requise pour qu’ils ne compromettent pas la cybersécurité du produit (article 13).
- Corriger et notifier
- Les vulnérabilités sont corrigées sans retard, y compris par des mises à jour de sécurité (annexe I, partie II). Les vulnérabilités activement exploitées et les incidents graves qui affectent la sécurité du produit sont notifiés simultanément au CSIRT coordinateur et à l’ENISA par la plateforme unique de signalement, avec une alerte précoce dans les 24 heures (article 14).
- Documenter et marquer
- Documentation technique, évaluation de la conformité et marquage CE selon la catégorie du produit. Un service en nuage à lui seul (SaaS) reste en principe hors de son champ d’application, mais le traitement des données à distance dont un produit a besoin pour fonctionner fait partie de ce produit (article 3, point 2, et considérants 11 et 12).
Du SBOM aux preuves sur les composants
Les étapes que couvre la plateforme et celles qui restent les vôtres.
1
Non couvertObtenir le SBOM
Il est généré par votre build ou fourni par le fournisseur. HodeiShield ne le génère pas à partir du code.
2
DirectTéléversement authentifié
SBOM en JSON CycloneDX ou SPDX, associé à un fournisseur ou à un actif propre.
3
DirectCroisement avec les CVE
Les composants sont confrontés à OSV.dev et à la synchronisation quotidienne des CVE et de CISA KEV.
4
DirectAlerte par composant
La CVE qui affecte un composant devient une alerte liée au fournisseur, acheminée vers vos destinations.
5
DirectInventaire et téléchargement
Les composants et leur état face aux CVE sont consultables par fournisseur, et le SBOM d’origine peut être téléchargé.
6
Non couvertCe qui reste de votre côté
Documentation technique et notification CRA : corriger, notifier l’ENISA ou le CSIRT et tenir le dossier.
Le SBOM n’est pas attesté : le Trust Center ne signe pas son contenu.
De chaque obligation du CRA à une capacité de HodeiShield
Avec la phase du cycle et le périmètre réel de chacune.
Direct : la plateforme le fait. Partiel : elle apporte des preuves ou une partie, le reste vous incombe. Non couvert : hors du périmètre de HodeiShield.
- Obligation:
Identifier et documenter les composants, y compris un SBOM
Annexe I, partie II
Ce que fait HodeiShield:Ingère et analyse le SBOM d’un fournisseur ou d’un actif propre. Il ne le génère pas à partir du code source.
Docs · Chaîne SBOM, CVE et alerte (s’ouvre dans un nouvel onglet)PhaseSENSEPérimètrePartiel - Obligation:
Traiter les vulnérabilités sans retard
Annexe I, partie II
Ce que fait HodeiShield:Alertes par composant avec CVE, KEV, probabilité d’exploitation (EPSS) et rayon d’impact. Les alertes sont acheminées vers 9 destinations et notifient ou créent un ticket dans votre système selon votre règle. Ce n’est pas de la remédiation.
Docs · Connecteurs (s’ouvre dans un nouvel onglet)PhasePREDICTACTPérimètrePartiel - Obligation:
Savoir si une vulnérabilité est activement exploitée
Art. 14
Ce que fait HodeiShield:Marque les composants dont les CVE figurent dans le catalogue CISA KEV. La notification à l’ENISA et au CSIRT vous incombe.
Docs · Moteur de risque (s’ouvre dans un nouvel onglet)PhaseSENSEPérimètrePartiel - Obligation:
Diligence raisonnable à l’égard des composants tiers
Art. 13
Ce que fait HodeiShield:Questionnaires aux fournisseurs, analyse externe périodique et SBOM dans le même graphe de dépendances déclarées.
Docs · Chaîne SBOM, CVE et alerte (s’ouvre dans un nouvel onglet)PhaseSENSEPREDICTPérimètrePartiel - Obligation:
Rassembler les preuves sur les composants
Annexe VII
Ce que fait HodeiShield:Inventaire des composants de chaque SBOM avec son état face aux CVE, et téléchargement du SBOM d’origine. Ce n’est ni la documentation technique ni la déclaration UE de conformité.
Docs · Chaîne SBOM, CVE et alerte (s’ouvre dans un nouvel onglet)PhaseSENSEPérimètrePartiel - Obligation:
Politique de divulgation coordonnée des vulnérabilités
Annexe I, partie II
Ce que fait HodeiShield:Hors de HodeiShield.
PhaseHors du cyclePérimètreNon couvert - Obligation:
Évaluation de la conformité, déclaration UE et marquage CE
Chap. III
Ce que fait HodeiShield:Hors de HodeiShield.
PhaseHors du cyclePérimètreNon couvert
Ce que HodeiShield ne fait pas avec le CRA
Ce qu’il faut attendre et ce qu’il ne faut pas attendre.
Il ne génère pas votre SBOM
Il ingère des SBOM en JSON CycloneDX ou SPDX. Il ne les construit pas à partir de votre dépôt ni de votre compilation.
Il ne notifie ni l’ENISA ni le CSIRT
Il vous dit quels composants ont des CVE et lesquels sont dans KEV. La notification des vulnérabilités exploitées et des incidents graves, c’est vous qui la faites.
Il ne remplace ni la documentation technique ni le marquage CE
L’inventaire rassemble des preuves sur les composants. L’évaluation de la conformité et la déclaration UE restent celles du fabricant.
Il ne surveille pas en continu
La synchronisation des CVE est quotidienne et le croisement se fait avec le SBOM que vous avez téléversé. Un SBOM périmé donne un résultat périmé.
Questions sur le CRA
Pour les fabricants, les importateurs et les intégrateurs.
HodeiShield génère-t-il le SBOM de mon produit ?
Non. Il ingère des SBOM en JSON CycloneDX ou SPDX que vous téléversez ou que vous fournit un fournisseur, les croise avec les CVE et alerte par composant.
Quelles preuves sur les composants fournit-il ?
L’inventaire des composants de chaque SBOM avec son état face aux CVE, et le téléchargement du SBOM d’origine. Ce n’est ni votre documentation technique ni la déclaration UE de conformité.
Quand le CRA s’applique-t-il ?
Le règlement (UE) 2024/2847 est entré en vigueur le 10 décembre 2024. Les règles sur les organismes d’évaluation de la conformité (chapitre IV) s’appliquent à partir du 11 juin 2026, les obligations de notification des fabricants (article 14) à partir du 11 septembre 2026, y compris aux produits mis sur le marché avant le 11 décembre 2027, et le reste à partir du 11 décembre 2027 (articles 69 et 71).
J’utilise uniquement des logiciels tiers. Suis-je concerné ?
Le CRA s’adresse aux fabricants, importateurs et distributeurs de produits comportant des éléments numériques. Si vous ne faites qu’utiliser des logiciels, il vous atteint par vos fournisseurs et par vos obligations de chaîne d’approvisionnement, par exemple dans NIS2.
Le SBOM est-il attesté ?
Non. Le SBOM sert à détecter les CVE et à alerter, mais le Trust Center ne signe pas son contenu.
Téléversez un SBOM et voyez quels composants vous exposent
Lors de la démo, nous ingérons un SBOM d’exemple, le croisons avec les CVE et arrivons à l’inventaire des composants.
Sans engagement. Données d’exemple.