Pourquoi sous forme de code ?

Parce que le dossier doit évoluer à chaque version. Sous forme de code, il reste à jour et vérifiable, au lieu d'être un document qui vieillit.

Notre SaaS relève-t-il du CRA ?

Un SaaS pur ne relève en principe pas du CRA. Cela change lorsque votre service est le traitement de données à distance sans lequel un produit comportant des éléments numériques (une application, un appareil, un logiciel que vous livrez) ne peut pas remplir l'une de ses fonctions : ce service fait alors partie de ce produit. Lors du premier entretien, je confronte vos produits à cette définition.

Disponible à partir du premier trimestre 2027

Dossier technique CRA

Le dossier technique que le Cyber Resilience Act exige pour chaque produit, construit sous forme de code.

Pour qui

Les fabricants et importateurs de produits comportant des éléments numériques : matériel avec logiciel, applications, objets connectés.

Pourquoi maintenant

Depuis le 11 septembre 2026, l'obligation de notifier les vulnérabilités activement exploitées s'applique ; à partir du 11 décembre 2027, le règlement s'applique pleinement.
Le dossier technique, la politique de gestion des vulnérabilités et la nomenclature logicielle (SBOM) doivent alors exister pour chaque produit.

Ce que vous recevez

Un dossier technique conforme à l'annexe VII du règlement, maintenable sous forme de code.
Un processus pour la nomenclature logicielle (SBOM) et son intégration à votre build.
Une politique de divulgation coordonnée des vulnérabilités et la procédure de notification.
Un projet de déclaration UE de conformité pour les produits qui peuvent faire l'objet d'une auto-évaluation.

Ce qui n'est pas compris

L'évaluation de la conformité par un organisme notifié (pour les produits importants et critiques).
Les tests d'intrusion et le durcissement technique.

Questions fréquentes

Pourquoi sous forme de code ?: Parce que le dossier doit évoluer à chaque version. Sous forme de code, il reste à jour et vérifiable, au lieu d'être un document qui vieillit.
Notre SaaS relève-t-il du CRA ?: Un SaaS pur ne relève en principe pas du CRA. Cela change lorsque votre service est le traitement de données à distance sans lequel un produit comportant des éléments numériques (une application, un appareil, un logiciel que vous livrez) ne peut pas remplir l'une de ses fonctions : ce service fait alors partie de ce produit. Lors du premier entretien, je confronte vos produits à cette définition.