Le Cyber Resilience Act (CRA), entré en vigueur en décembre 2024, fixe des exigences de cybersécurité pour tous les produits comportant des éléments numériques vendus dans l’Union européenne : logiciels, objets connectés, équipements. Depuis le 11 septembre 2026, les fabricants signalent les vulnérabilités activement exploitées et les incidents graves. L’ensemble des exigences s’appliquera à partir de décembre 2027.
Ce que le texte demande
- la sécurité dès la conception et par défaut ;
- une gestion des vulnérabilités tout au long du cycle de vie, avec des mises à jour de sécurité ;
- une nomenclature logicielle (SBOM) recensant les composants utilisés ;
- le signalement rapide des vulnérabilités exploitées et des incidents ;
- une documentation technique et une évaluation de conformité, renforcée pour les produits les plus critiques.
Un sujet pour toute la chaîne de valeur
Les fournisseurs démontrent désormais la sécurité de leurs produits, ce qui renforce la confiance de leurs clients. Et les équipes qui livrent des logiciels à des tiers peuvent entrer dans le champ du texte : c’est l’occasion de moderniser leurs pratiques.
La réponse est technique : le DevSecOps
Le CRA se respecte naturellement avec une chaîne CI/CD automatisée :
- la génération du SBOM à chaque build ;
- l’analyse des dépendances et des images de conteneurs ;
- la signature des artefacts et la traçabilité de leur origine ;
- un processus de gestion des vulnérabilités clair : détection, priorisation, correction, communication.
Ce que nous faisons chez nos clients
- Nous évaluons l’exposition au CRA et définissons le plan de mise en conformité.
- Nous intégrons SBOM, analyse de dépendances et signature des artefacts dans les chaînes CI/CD.
- Nous mettons en place le processus de gestion et de signalement des vulnérabilités.