WisecLe CRA demande des preuves. Votre CI les produit déjà.
Pouvez-vous montrer, produit par produit, quels composants vous livrez et comment vous traitez leurs vulnérabilités ?
Le règlement (UE) 2024/2847 s'applique à tout produit comportant des éléments numériques mis sur le marché de l'Union. Wisec enregistre, signe et conserve à chaque build les preuves de la partie de l'annexe I qui touche votre chaîne de développement.
Une obligation déjà en vigueur, le reste en 2027.
Le signalement des vulnérabilités activement exploitées s'applique déjà. Les exigences essentielles, l'évaluation de conformité et le marquage CE suivent.
Entrée en vigueur
Publication au Journal officiel le 20 novembre 2024.
Article 14 applicable
Signalement des vulnérabilités activement exploitées et des incidents graves, avec une alerte précoce sous 24 heures.
Application générale
Exigences essentielles, évaluation de conformité, marquage CE, documentation technique.
Ce que le texte demande, ce que Wisec prouve.
Où Wisec apporte une preuve, exigence par exigence. Le rapport CRA reprend celles de l'annexe I, pour un produit à la fois.
| Référence | Ce qui est attendu | La preuve que Wisec produit |
|---|---|---|
| Annexe I, partie II (1) | Identifier et documenter les composants et les vulnérabilités, y compris par un SBOM lisible par machine. | Un SBOM CycloneDX signé à chaque build, et une recherche de composants dans tout l'historique. |
| Annexe I, partie II (2) | Traiter et corriger les vulnérabilités sans délai. | Le suivi de chaque vulnérabilité, de sa première détection à sa correction, avec ses dates. |
| Annexe I, partie II (3) | Tester et réexaminer régulièrement la sécurité du produit. | Les scanners exécutés à chaque build, et l'inventaire de ce qui a tourné sur chacun. |
| Annexe I, partie II (4) | Informer sur les vulnérabilités corrigées. | Un VEX OpenVEX signé qui déclare le statut de chaque CVE : non affecté, affecté, corrigé. |
| Article 14 | Signaler une vulnérabilité activement exploitée, avec une alerte précoce sous 24 heures. | Une recherche par CVE qui dit en minutes quels produits, branches et versions sont concernés, avec un rapport signé. |
| Annexe VII | Constituer la documentation technique du produit. | Un rapport par produit, au périmètre imprimé, et la provenance SLSA rattachée à l'artefact livré quand vous le déclarez. |
Une cartographie de preuves, pas une déclaration de conformité. Wisec couvre la partie de l'annexe I qui touche votre chaîne de développement. L'évaluation des risques du produit, les propriétés de sécurité de la partie I, la politique de divulgation coordonnée, l'évaluation de conformité et le marquage CE restent les vôtres. Le CRA s'applique à chaque produit : le rapport porte sur un produit et le dit quand il en couvre plusieurs.
Un PDF à remettre, avec son périmètre.
Couvert, partiel, à traiter.
Calculé sur la part des builds de la période qui portent la preuve : au moins 90 %, au moins 50 %, ou moins.
Imprimé sur le rapport.
Tous les projets par défaut, ou ceux que vous choisissez. Un rapport sans périmètre déclaré n'est pas exploitable en audit.
Vos dates.
Le rapport porte sur la période choisie, et dit à quelle date il a été produit.
Disponible avec les offres Business et Pro. Le rapport CRA se génère depuis la page Compliance, pour un ou plusieurs produits.
Sources : règlement (UE) 2024/2847 (JO L du 20 novembre 2024) et orientations de la Commission du 27 juillet 2026, C(2026) 5252, qui ont une valeur explicative. Les normes harmonisées de la demande M/606 sont en cours d'élaboration. Ces informations ne sont pas un avis juridique.