SBOM et CRA : ce que le Cyber Resilience Act exige vraiment
À partir du 11 décembre 2027, chaque produit comportant des éléments numériques mis sur le marché de l’UE doit avoir une nomenclature logicielle (SBOM). Voici ce que le Cyber Resilience Act exige, ce qu’il n’exige pas, et comment tenir un SBOM par version sans travail en plus.
Ce que dit le texte
L’annexe I, partie II, point 1 demande aux fabricants de recenser et de documenter les composants de leur produit, notamment en établissant une nomenclature des logiciels (SBOM) dans un format couramment utilisé et lisible par machine, couvrant au minimum les dépendances de premier niveau.
Le SBOM fait partie de votre documentation technique (annexe VII). Vous le remettez à une autorité de surveillance du marché sur demande motivée. Le CRA ne vous demande pas de le publier.
Quel format
Le texte n’impose aucun format. En pratique, CycloneDX et SPDX sont les deux formats courants, et la plupart des outils de build produisent l’un ou l’autre en JSON. Choisissez-en un et gardez-le, pour que chaque version se cherche de la même façon.
Ce qui marche en pratique
- Un SBOM par version publiée. Générez-le dans le build qui produit la version, pas à la main après coup.
- Allez au-delà du minimum quand vous le pouvez. Les dépendances de premier niveau sont le plancher légal, mais la plupart des failles exploitées se cachent plus loin dans l’arbre.
- Gardez-le aussi longtemps que la documentation. La documentation technique se conserve au moins dix ans, ou pendant la période de support si elle est plus longue.
- Rendez-le cherchable. Le jour où une bibliothèque est signalée comme exploitée, il faut savoir quelles versions l’embarquent, dans les 24 heures de l’alerte précoce du CRA.
Ce que fait Clearlane CRA
Clearlane CRA garde un fichier JSON CycloneDX ou SPDX pour chaque version de chaque produit dans Jira. Cherchez un nom de composant, une plage de versions ou une URL de paquet dans tous les SBOM, et ouvrez un seul dossier pour toutes les versions trouvées. Le registre montre les versions sur le marché qui n’ont pas encore de SBOM. Seuls votre équipe sécurité et les administrateurs Jira voient les SBOM.
Source : règlement (UE) 2024/2847, annexe I partie II et annexe VII. Vérifié le 16 octobre 2026.