Une faille exploitée dans votre produit ? Vous avez désormais 24 heures pour la signaler.

Depuis le 11 septembre 2026, le Cyber Resilience Act oblige tout fabricant de logiciel, d'application ou d'objet connecté vendu dans l'Union à signaler les vulnérabilités activement exploitées : alerte sous 24 heures, notification sous 72 heures, rapport final sous 14 jours. Le 11 décembre 2027, le reste suit : inventaire des composants, gestion des vulnérabilités, mises à jour de sécurité, marquage CE. Reprisa installe la chaîne technique qui vous permet de tenir ces délais.

Votre produit est-il concerné ? Voir l'offre

Tenir 24 heures suppose de savoir ce qu'il y a dans votre produit

On ne signale pas une faille dans une bibliothèque qu'on ne sait pas embarquer. Le CRA se joue dans la chaîne de build, pas dans un document.

La situation la plus courante

Personne ne sait lister les dépendances de la version livrée il y a six mois
Les alertes de sécurité arrivent par hasard, ou pas du tout
Aucune adresse publique pour signaler une faille
Aucune procédure écrite pour alerter le CERT-FR via la plateforme de l'ENISA

Ce que Reprisa met en place

Un SBOM généré à chaque build (CycloneDX ou SPDX) et archivé par version
Une surveillance continue des failles connues dans vos dépendances, avec alertes triées
Une politique de divulgation et un point de contact public (security.txt)
La procédure de signalement 24 h / 72 h / 14 jours, prête à déclencher

Diagnostic gratuit : où en êtes-vous face au CRA ?

Dix questions. Rien n'est envoyé, rien n'est enregistré. Le résultat distingue ce qui s'applique déjà de ce qui arrive en décembre 2027.

Le pipeline CRA, à prix fixe par produit

Intégré à votre CI/CD existante : GitHub Actions, GitLab CI, Jenkins, Azure DevOps. Outils ouverts et standards, rien de propriétaire à racheter ensuite.

Signalement

2 900 € HT par produit

SBOM généré à chaque build et archivé
Surveillance des failles des dépendances
Procédure 24 h / 72 h / 14 jours et modèles de signalement

Prêt pour 2027

5 900 € HT par produit

Tout le Signalement
Processus de gestion des vulnérabilités écrit et outillé
Politique de divulgation et security.txt
Durée de support et mécanisme de mise à jour documentés
Trame de la documentation technique pour le marquage CE

Veille mensuelle

290 € HT par mois

Tri des nouvelles failles qui touchent vos produits
Alerte immédiate si une faille est activement exploitée
Aide à la rédaction du signalement

Comment ça se passe

Semaine 1 : inventaire. Accès en lecture au dépôt et à la CI. Premier SBOM, première liste des failles connues, cartographie des versions encore en circulation.
Semaine 2 : pipeline. Génération et archivage du SBOM à chaque build, surveillance branchée, alertes routées vers la bonne personne. Tout part en pull request chez vous.
Semaine 3 : procédures. Signalement, divulgation, gestion des vulnérabilités. Un exercice à blanc du signalement 24 heures, chronométré.

Ce que Reprisa n'est pas

Reprisa met en place la chaîne technique et les procédures. Ce n'est ni un organisme notifié ni un cabinet d'avocats : pour les produits classés importants ou critiques, l'évaluation de conformité reste à faire avec l'organisme compétent, et le dossier préparé sert de base.

Questions fréquentes

Qui est concerné par le Cyber Resilience Act ?

Tout fabricant qui met sur le marché européen un produit comportant des éléments numériques : logiciel, application mobile ou de bureau, firmware, objet connecté, équipement réseau, y compris les produits déjà commercialisés pour les obligations de signalement.

Quels sont les délais de signalement du CRA ?

Pour une vulnérabilité activement exploitée : alerte précoce sous 24 heures, notification sous 72 heures et rapport final au plus tard 14 jours après la mise à disposition d'un correctif, via la plateforme unique de l'ENISA.

Le SBOM est-il obligatoire avec le CRA ?

Oui, à partir du 11 décembre 2027 : le fabricant doit identifier et documenter les composants de son produit, notamment au moyen d'une nomenclature logicielle (SBOM) dans un format couramment utilisé et lisible par machine.

Que se passe-t-il à partir du 11 décembre 2027 ?

Toutes les exigences essentielles s'appliquent : sécurité dès la conception, gestion des vulnérabilités, mises à jour de sécurité pendant la durée de support, documentation technique et marquage CE.

Parler d'un produit

Réponse écrite sous un jour ouvré, avec un prix ferme. Aucun appel commercial non sollicité.

Demande envoyée. Vous recevez une réponse écrite avec un prix ferme sous un jour ouvré.