normakte / SBOM et CRA
Le Cyber Resilience Act rend la nomenclature logicielle obligatoire pour tous les produits comportant des éléments numériques. Sans elle, ni gestion des vulnérabilités ni signalement dans les délais ne sont possibles.
Le fabricant recense les composants du produit dans une SBOM, dans un format courant lisible par machine, couvrant au moins les dépendances de premier niveau. La SBOM fait partie de la documentation technique et est fournie sur demande aux autorités de surveillance du marché ; elle n'a pas à être publiée.
Pour le logiciel, les outils de compilation et les gestionnaires de paquets produisent l'essentiel de la liste automatiquement ; pour le firmware et les modules achetés, il faut les données des fournisseurs. L'essentiel est de conserver une SBOM correspondante pour chaque version livrée.
Avec la SBOM, le fabricant confronte les nouvelles vulnérabilités à ses produits. Si une vulnérabilité est activement exploitée, elle montre en quelques heures quels produits et versions sont concernés : la base de l'alerte précoce sous 24 heures.
| Contenu | Exemple |
|---|---|
| Composant et version | openssl 3.0.13 |
| Fournisseur | éditeur de la bibliothèque ou du module |
| Identifiant unique | p. ex. package URL ou CPE |
| Dépendances | quel composant intègre quel autre |
| Format | CycloneDX ou SPDX, lisible par machine |
| État | date et version du produit correspondante |
Registre avec toutes les exigences du CRA, classification, SBOM, signalements avec délais, période de support et page cible pour les informations aux utilisateurs : un dossier d'essai gratuit jusqu'au 20.01.2027.
Source. Règlement (UE) 2024/2847, JO L, 2024/2847 du 20.11.2024. Résumé ; seul le texte officiel fait foi. normakte ne remplace pas un conseil juridique.