# CRA et NIS2 : ce qu'ils exigent sur vos dépendances, et ce que LibWatch vous apporte.

Source : https://libwatch.com/fonctionnalites/conformite-cra-nis2

Conformité · Cyber Resilience Act et NIS2

Signaler une faille exploitée sous 24 heures, tenir un SBOM lisible par machine, maîtriser sa chaîne d'approvisionnement : voici les obligations, leurs dates, et la part que LibWatch peut prendre.

[Préparer mes SBOM](https://app.libwatch.com/users/sign_up)

Calendrier

## Trois dates à retenir pour le CRA

10/12/2024

### Entrée en vigueur

Le règlement (UE) 2024/2847, publié au Journal officiel de l'UE le 20/11/2024, entre en vigueur.

11/09/2026

### Signalement sous 24 heures

Depuis cette date, toute faille activement exploitée dans un produit doit être signalée à l'ENISA et au CSIRT national.

11/12/2027

### Application complète

Exigences essentielles, SBOM et marquage CE pour les produits mis sur le marché.

Ce que disent les textes

## Les obligations qui touchent vos dépendances

CRA · article 14

### Signaler une faille exploitée sous 24 heures

Alerte précoce sous 24 heures, notification détaillée sous 72 heures. Impossible sans savoir, chaque jour, quelles versions vous embarquez.

CRA · annexe I, partie II

### Tenir une nomenclature logicielle (SBOM)

Dans un format courant et lisible par machine, couvrant au moins les dépendances de premier niveau, conservée avec la documentation technique.

NIS2 · article 21

### Maîtriser la sécurité de la chaîne d'approvisionnement

Les entités concernées doivent gérer les vulnérabilités de leurs fournisseurs et de leurs logiciels. Leurs prestataires, agences et ESN, le ressentent dans leurs contrats.

La part de LibWatch

## Ce que LibWatch fournit, ce qui reste à vous

LibWatch outille la veille et la documentation. Il ne remplace ni votre analyse de risques, ni votre déclaration.

| Exigence | Ce que LibWatch fournit | Ce qui reste à vous |
| --- | --- | --- |
| Savoir vite si une faille exploitée vous touche | Veille nocturne, catalogue KEV de la CISA et alertes CERT-FR sur votre version de PHP | Qualifier l'impact sur votre produit |
| SBOM lisible par machine | Export CycloneDX 1.5 et SPDX 2.3, validé contre les schémas officiels | Le joindre à la documentation technique et le conserver |
| Signalement à l'ENISA et au CSIRT | La liste des projets et versions concernés | La déclaration elle-même |
| Composants en fin de support | Fin de support des langages et frameworks suivie | Planifier les migrations |

Cette page n'est pas un avis juridique

Elle résume des textes publics (EUR-Lex, ANSSI). Pour savoir si votre produit ou votre organisation est concerné, faites-vous accompagner.

Questions fréquentes

## CRA, NIS2 et dépendances

### Mon SBOM doit-il être public ?

 Non. Le CRA demande de pouvoir le fournir aux autorités sur demande ; vos clients peuvent aussi l'exiger par contrat.

### Une agence web est-elle concernée par NIS2 ?

 Rarement en direct : NIS2 vise des secteurs et des tailles d'entreprise précis, comme les fournisseurs de services informatiques gérés à partir d'une entreprise moyenne. Une agence la rencontre surtout chez ses clients concernés, qui reportent leurs exigences de sécurité dans les contrats.

### Un SBOM Excel suffit-il ?

 Mieux vaut éviter. Le CRA demande un format courant et lisible par machine : dans la pratique, CycloneDX ou SPDX, que LibWatch exporte. Un tableur ne se traite pas automatiquement par les outils de vos clients ou des autorités.

## Votre premier SBOM, en deux clics.

[Essayer 14 jours](https://app.libwatch.com/users/sign_up)