CRA Evidence

CRA Evidence accompagne les fabricants, importateurs et distributeurs dans leur mise en conformité avec le règlement européen sur la cyberrésilience (CRA). Celui-ci s’appliquera intégralement à compter de décembre 2027. Les produits comportant des éléments numériques mis sur le marché de l’UE devront alors disposer d’un dossier technique conforme à l’annexe VII et d’une déclaration UE de conformité. L’article 13 impose de conserver la documentation pendant dix ans, tandis que l’article 14 prévoit la notification des incidents à l’ENISA. Les sanctions peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial. 🔹 Gestion des SBOM. Importez les formats CycloneDX 1.4+ et SPDX 2.3+, évaluez-les selon BSI TR-03183 et prenez en charge les HBOM des systèmes embarqués. 🔹 Référentiel des vulnérabilités. Disposez de votre propre base, actualisée toutes les 15 minutes à partir de NVD, OSV.dev, GitHub Advisories et CISA KEV. Un scanner indépendant ajoute une couche de détection. 🔹 Priorisation selon l’exploitation réelle. Enrichissez les résultats avec EPSS de FIRST.org et CISA KEV afin de traiter les risques selon la probabilité d’exploitation sur le terrain, et pas uniquement selon les scores CVSS. 🔹 Automatisation VEX. Produisez une déclaration VEX pour chaque résultat, consignez les CVE non exploitables et transmettez ces informations aux acteurs en aval dans un format lisible par machine. 🔹 Génération du dossier technique. Créez des dossiers conformes à l’annexe VII, des déclarations UE de conformité, des fiches de données de sécurité de l’annexe II et des justificatifs de marquage CE au format PDF signé. 🔹 Processus de notification à l’ENISA. Suivez les échéances structurées de 24 heures, 72 heures et 14 jours, gérez les délais et conservez les accusés de réception. 🔹 Portail fournisseurs et importateurs. Recueillez les SBOM et les déclarations de conformité auprès des fournisseurs en amont, afin que les importateurs et distributeurs vérifient les exigences avant la mise sur le marché européen. 🔹 Intégration CI/CD. La CLI open source publie SBOM et métadonnées de version directement depuis votre pipeline de build. 🔹 Passeports numériques de produit. Associez des passeports via QR code à l’étiquetage des produits physiques. Fabricants, importateurs et distributeurs s’appuient sur CRA Evidence pour remplir leurs obligations au titre du CRA et rester en phase avec NIS2, RED et le règlement Machines.