Des preuves CRA pour les produits connectés

D’une version livrée d’un produit connecté à des preuves vérifiables de manière indépendante de ce dont le fabricant avait connaissance, de ses décisions et de ses actions.

Rendez-vous à it-sa 2026 Fonctionnement

Un constat, une entrée KEV, un avis du fournisseur.
Évaluation interne du produit.
La déclaration du fabricant : moment réel, fondement, auteur. Le décompte commence à ce moment-là.le décompte part du moment réel, pas de la consignation
À notifier / à ne pas notifier, avec le motif indiqué ; consigné par une personne nommément désignée.
24 halerte précoce
72 hnotification de vulnérabiliténotification
mesure de correction ou d’atténuation disponiblemesure disponible
14 joursrapport final, dès la disponibilité d’une mesure de correction ou d’atténuationrapport final, dès la disponibilité de la mesureun mois pour les incidents, à compter de la notification d’incident sous 72 hincidents : un mois dès la notification d’incident sous 72 h
Brouillon → transmission consignée.

Signal Un constat, une entrée KEV, un avis du fournisseur.
Évaluation Évaluation interne du produit.
Avoir connaissance La déclaration du fabricant : moment réel, fondement, auteur. Le décompte commence à ce moment-là.
Décision À notifier / à ne pas notifier, avec le motif indiqué ; consigné par une personne nommément désignée.
Rapport Brouillon → transmission consignée.

Registre de preuves : qui avait connaissance de quoi, quandUne consignation tardive indique le temps déjà écoulé.Sélectionnez une étape pour les détails

Pour: Fabricants de produits comportant des éléments numériques 
Sources: OSV, GitHub Advisories, NVD, CISA KEV et EPSS
Exports: PDF et JSON
Dates CRA: 11 septembre 2026 · obligations de signalement applicables11 décembre 2027 · CRA intégralement applicable

Deux dates. Elles vont ensemble.

Le règlement sur la cyberrésilience (CRA) prévoit une obligation de signalement et, à partir d’une date ultérieure, des amendes administratives. Toute affirmation concernant l’une de ces dates est incomplète sans l’autre.

11 septembre 2026
Obligation de signalement applicable : article 14 du CRA
- 24 halerte précoce
- 72 hnotification de vulnérabilité
- 14 joursrapport final, dès la disponibilité d’une mesure de correction ou d’atténuation
- un moisà compter de la notification d’incident à 72 h
À partir de cette date, les fabricants doivent signaler toute vulnérabilité activement exploitée dans leur produit ou tout incident grave ayant des répercussions sur la sécurité du produit : une alerte précoce sans retard injustifié et, en tout état de cause, au plus tard 24 heures après en avoir eu connaissance, une notification de vulnérabilité ou une notification d’incident dans les 72 heures, puis un rapport final au plus tard 14 jours après la mise à disposition d’une mesure de correction ou d’atténuation (un mois après la notification d’incident pour les incidents). Cette obligation s’applique aussi aux produits déjà sur le marché qui entrent dans le champ d’application.
11 décembre 2027
Amendes administratives applicables : article 64 du CRA
À partir de cette date, les violations des articles 13 et 14 et de l’annexe I peuvent faire l’objet d’amendes administratives allant jusqu’à 15 millions EUR ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

Ce qu’un fabricant devrait pouvoir montrer sur demande à partir du 11 septembre 2026

Quand il a eu connaissance des faits, sur quelle base, ce qu’il a décidé, qui a pris la décision et ce qui a été signalé à quel moment, avec les preuves à l’appui de chaque étape.

Comment ça marche

Quatre étapes, d’une version livrée à un dossier que vous pouvez transmettre. De vrais écrans. Ni données fictives ni données clients.

1
Étape 1 : Générer
Générez la SBOM localement. Téléversez les preuves, pas votre code source.
Établissez la nomenclature des logiciels (SBOM) dans votre propre infrastructure avec l’outil open source crAcken SBOM, ou téléversez un fichier SPDX / CycloneDX issu de votre pipeline. Chaque version est conservée séparément.
./cracken-sbom generate --target-type rootfs --target /work/firmware/rootfs --target-id firmware-2026.10.04 --output /work/evidence/firmware-2026.10.04
sbom.cdx.jsoninventaire CycloneDX minimisé, le fichier que vous téléversez
provenance.jsoncomment et quand il a été généré, conservé localement
quality.jsonnombre de paquets et lacunes identifiées, conservés localement
L’outil SBOM open source de crAcken : une commande, trois fichiers
Téléversements acceptésSPDXCycloneDX
Intégré
votre propre infrastructure
Téléversé
les preuves, pas votre code source
crAcken SBOM sur GitHub (s’ouvre dans un nouvel onglet)
Étape 2 : Surveiller
Sachez quelle version livrée est concernée lorsque les informations sur les vulnérabilités évoluent.
Constats issus d’OSV, de GitHub Advisories, de NVD, de CISA KEV et d’EPSS, associés aux versions livrées. Une inscription au KEV apparaît comme un signal d’exploitation : la vulnérabilité est connue pour être exploitée ailleurs, évaluez votre produit. EPSS apparaît comme une probabilité. Ni l’un ni l’autre ne déclenche le décompte. La comparaison entre versions montre ce qui a changé entre les versions que vous avez livrées.
Écran
Les constats par composant : log4j-core avec le signal d’exploitation et la date de sa première détection dans le produit.
3
Étape 3 : Décider
Transformez un signal en décision au titre du CRA, avec un responsable identifié et une consignation par une personne nommément désignée.
Un constat est un signal, jamais le fait d’avoir connaissance. Un dossier de signalement s’ouvre avec un délai d’examen interne, indiqué comme interne. Le fabricant consigne quand il a eu connaissance des faits et sur quelle base. Le décompte prévu par le CRA commence à cet instant réel, et non au moment de la consignation ; une consignation tardive affiche le temps déjà écoulé.
- Signal : ne signifie pas avoir connaissance
- Consigné par une personne nommément désignée
Écran
Un dossier de signalement : le décompte d’examen interne avec ses délais d’examen interne de 24 h et 72 h. Examen interne uniquement, aucune transmission.
Étape 4 : Preuves
Préparez le processus de signalement requis à partir du même registre de preuves.
Des projets d’alerte précoce, de notification de vulnérabilité ou de notification d’incident et de rapport final, exportés en PDF et JSON. La transmission est consignée, jamais présumée. L’historique du dossier conserve ce qui était connu à chaque instant, afin qu’une personne qui n’était pas présente puisse vérifier les éléments consignés.
Écran
L’aperçu du rapport : les traces de transmission de l’alerte précoce, de la notification de vulnérabilité et du rapport final, chacune non consignée. crAcken ne transmet pas de notifications.

Ce qui distingue crAcken

Ce qui était connu à l’époque
Que savait l’organisation à l’instant T ? crAcken consigne la date de première détection de chaque constat dans votre produit et chaque décision du dossier avec son horodatage. Vous pouvez ainsi montrer ce qui était connu à ce moment-là, pas ce que le système sait aujourd’hui.
Des preuves, pas des tableaux de bord
Le résultat est un dossier destiné à un auditeur, un client ou une autorité : qui savait quoi, qui a décidé quoi et quand.
Avoir connaissance : un modèle ancré dans le CRA
Le fait d’avoir connaissance déclenche le décompte, pas la publication d’une CVE, un score CVSS ou une inscription au KEV. crAcken distingue la détection, le fait d’avoir connaissance et la consignation. Consigner plus tard le fait d’avoir connaissance ne décale pas le décompte.
Une IA aux limites définies
La note de l’IA retrouve les preuves, explique et rédige des projets. Elle peut formuler des recommandations. Elle ne décide jamais du moment où le fabricant a eu connaissance des faits, des délais, de la nécessité d’un signalement ni du respect des exigences du CRA. Une personne nommément désignée consigne chaque détermination.

Pour qui

Fabricants de produits comportant des éléments numériques : appareils embarqués, industriels et connectés.

L’ingénieur qui tient à jour la SBOM, évalue les constats et doit savoir quelle version livrée est concernée.
Le responsable produit qui décide de ce qu’un signal signifie pour un produit sur le marché et prend en charge le dossier de signalement.
La personne qui signe qui approuve le rapport et doit pouvoir montrer sur quelle base il a été établi.

Qui est derrière crAcken

Derrière crAcken se trouve une équipe européenne d’ingénieurs de terrain en systèmes embarqués, cybersécurité et sécurité post-quantique. crAcken est né lorsque nous avons dû répondre aux exigences du CRA pour nos propres produits connectés. Nous l’utilisons au quotidien, et chaque dossier traité l’améliore, car nous voulons protéger les produits connectés et le monde qui les entoure contre les cybermenaces.

Alex Varabyou
Cofondateur, crAcken
“Nous avons créé crAcken parce que nous devions répondre aux exigences du CRA pour nos développements. Je ne voulais pas d’un outil limité au respect formel des exigences. Je voulais un outil qui nous aide à créer un produit réellement sûr.”
- 22 ans de management dans la logistique, l’informatique, le matériel et les logiciels, ainsi que dans les affaires internationales.
- Directeur général, Promwad GmbH (s’ouvre dans un nouvel onglet)
- LinkedIn (s’ouvre dans un nouvel onglet)
Jacques Cesbron
Cofondateur, crAcken
“Après 25 ans dans les semi-conducteurs, je sais à quel point la sécurité compte et combien il devient plus difficile de suivre le rythme chaque année. crAcken aide les équipes à garder la maîtrise de ces enjeux.”
- 25 ans à des postes de direction dans l’industrie des semi-conducteurs : Intel, Altera, Silicon Valley
- Fondateur, Lumeatec (s’ouvre dans un nouvel onglet)
- LinkedIn (s’ouvre dans un nouvel onglet)

Où nous rencontrer

À venir27–29 octobre 2026
it-sa Expo&Congress, Nuremberg
Apportez une version livrée et un constat sur lequel vous avez un doute. Nous parcourons le cas ensemble : signal, avoir connaissance, décision, rapport.
Équipe crAcken
Rendez-vous à it-sa 2026 Message LinkedIn (s’ouvre dans un nouvel onglet)
PassésMai 2026
NXP Tech Days Stuttgart
crAcken a été présenté aux NXP Tech Days Stuttgart en mai 2026, sur le stand Avnet, à l’invitation de NXP et d’Avnet.