CRA · article 14
Signaler une faille exploitée sous 24 heures
Alerte précoce sous 24 heures, notification détaillée sous 72 heures. Impossible sans savoir, chaque jour, quelles versions vous embarquez.
Conformité · Cyber Resilience Act et NIS2
CRA et NIS2 : ce qu'ils exigent sur vos dépendances, et ce que LibWatch vous apporte.
Signaler une faille exploitée sous 24 heures, tenir un SBOM lisible par machine, maîtriser sa chaîne d'approvisionnement : voici les obligations, leurs dates, et la part que LibWatch peut prendre.
Calendrier
Trois dates à retenir pour le CRA
10/12/2024
Entrée en vigueur
Le règlement (UE) 2024/2847, publié au Journal officiel de l'UE le 20/11/2024, entre en vigueur.
11/09/2026
Signalement sous 24 heures
Depuis cette date, toute faille activement exploitée dans un produit doit être signalée à l'ENISA et au CSIRT national.
11/12/2027
Application complète
Exigences essentielles, SBOM et marquage CE pour les produits mis sur le marché.
Ce que disent les textes
Les obligations qui touchent vos dépendances
CRA · annexe I, partie II
Tenir une nomenclature logicielle (SBOM)
Dans un format courant et lisible par machine, couvrant au moins les dépendances de premier niveau, conservée avec la documentation technique.
NIS2 · article 21
Maîtriser la sécurité de la chaîne d'approvisionnement
Les entités concernées doivent gérer les vulnérabilités de leurs fournisseurs et de leurs logiciels. Leurs prestataires, agences et ESN, le ressentent dans leurs contrats.
La part de LibWatch
Ce que LibWatch fournit, ce qui reste à vous
LibWatch outille la veille et la documentation. Il ne remplace ni votre analyse de risques, ni votre déclaration.
| Exigence | Ce que LibWatch fournit | Ce qui reste à vous |
|---|---|---|
| Savoir vite si une faille exploitée vous touche | Veille nocturne, catalogue KEV de la CISA et alertes CERT-FR sur votre version de PHP | Qualifier l'impact sur votre produit |
| SBOM lisible par machine | Export CycloneDX 1.5 et SPDX 2.3, validé contre les schémas officiels | Le joindre à la documentation technique et le conserver |
| Signalement à l'ENISA et au CSIRT | La liste des projets et versions concernés | La déclaration elle-même |
| Composants en fin de support | Fin de support des langages et frameworks suivie | Planifier les migrations |
Cette page n'est pas un avis juridique
Elle résume des textes publics (EUR-Lex, ANSSI). Pour savoir si votre produit ou votre organisation est concerné, faites-vous accompagner.
Questions fréquentes
CRA, NIS2 et dépendances
Mon SBOM doit-il être public ?
Non. Le CRA demande de pouvoir le fournir aux autorités sur demande ; vos clients peuvent aussi l'exiger par contrat.
Une agence web est-elle concernée par NIS2 ?
Rarement en direct : NIS2 vise des secteurs et des tailles d'entreprise précis, comme les fournisseurs de services informatiques gérés à partir d'une entreprise moyenne. Une agence la rencontre surtout chez ses clients concernés, qui reportent leurs exigences de sécurité dans les contrats.
Un SBOM Excel suffit-il ?
Mieux vaut éviter. Le CRA demande un format courant et lisible par machine : dans la pratique, CycloneDX ou SPDX, que LibWatch exporte. Un tableur ne se traite pas automatiquement par les outils de vos clients ou des autorités.