normakte / Gestion des vulnérabilités
Le CRA n'exige pas seulement un produit sûr au moment de la vente, mais un processus pendant toute la période de support.
Recenser les composants dans une SBOM, corriger les vulnérabilités sans délai, fournir gratuitement des mises à jour de sécurité, séparées des mises à jour fonctionnelles si possible, tester régulièrement et publier les vulnérabilités corrigées.
Le fabricant adopte une politique de divulgation coordonnée des vulnérabilités et indique une adresse de contact par laquelle des tiers peuvent les signaler. Ces informations figurent aussi dans les informations destinées aux utilisateurs.
Les obligations de signalement s'appliquent : alerte précoce sous 24 heures, notification sous 72 heures, rapport final, via la plateforme de l'ENISA.
Registre avec toutes les exigences du CRA, classification, SBOM, signalements avec délais, période de support et page cible pour les informations aux utilisateurs : un dossier d'essai gratuit jusqu'au 20.01.2027.
Source. Règlement (UE) 2024/2847, JO L, 2024/2847 du 20.11.2024. Résumé ; seul le texte officiel fait foi. normakte ne remplace pas un conseil juridique.