Le Cyber Resilience Act s'applique à partir du 11 décembre 2027. Les obligations de signalement, dès le 11 septembre 2026.
Si vous fabriquez un logiciel ou un objet connecté vendu dans l'Union européenne, le règlement (UE) 2024/2847 vous impose de connaître les composants de vos produits, de surveiller leurs vulnérabilités, et de signaler une faille activement exploitée sous 24 heures. Cet outil tient l'inventaire, surveille, prévient, et conserve les preuves.
30 jours, sans carte bancaire.
Les trois échéances de l'article 14
- 24 heures
- alerte précoce après la prise de connaissance
- 72 heures
- notification de la vulnérabilité ou de l'incident
- 1 mois
- rapport final
Elles courent à partir du moment où le fabricant a connaissance du problème — pas de sa découverte par un outil. C'est vous qui déclarez cette date, elle est horodatée et auditée, et l'écart avec la détection figure dans le dossier : c'est la première question d'un auditeur.
Ce que fait l'outil
L'inventaire reste à jour tout seul
Déposez votre SBOM depuis votre chaîne d'intégration — GitHub, GitLab ou l'API. Le document est conservé octet pour octet : c'est celui-là que vous produirez à une autorité, pas une version reformatée.
La veille tourne toutes les nuits
OSV, le catalogue CISA des failles activement exploitées, et les scores CVSS du NVD. Seuls les paquets que vous avez réellement déclarés sont interrogés, et une comparaison de versions indécidable lève une alerte marquée incertaine plutôt que d'être classée sans suite.
Vos décisions deviennent un document
Chaque alerte se tranche avec sa justification : concerné, non concerné, corrigé en version X. L'ensemble s'exporte en VEX CycloneDX 1.6, signé de votre organisation, à destination de vos clients.
Les délais de l'article 14 sont pilotés
Quand une faille exploitée touche une version encore sur le marché, un incident s'ouvre. Vous déclarez quand vous en avez pris connaissance — et c'est de là, pas de la détection, que les chronomètres partent.
Les preuves sont rassemblées et vérifiables
Une archive contenant la liste de contrôle, les SBOM reçus, les déclarations VEX, les dossiers d'incident et le journal d'audit. Chaque fichier porte son empreinte SHA-256 : un lecteur contrôle le tout sans revenir vers nous.
Le journal d'audit ne se réécrit pas
Chaque entrée est chaînée par empreinte à la précédente. Une modification se voit. C'est ce qui sépare un relevé d'activité d'un élément de preuve.
Ce qu'il ne fait pas
- Il ne vous rend pas conforme. La qualification de vos produits, le contenu de vos déclarations et vos choix techniques restent les vôtres.
- Il ne dépose rien à votre place. La transmission se fait sur la plateforme unique prévue à l'article 16. Nous enregistrons ce que vous avez envoyé et quand.
- Il ne donne pas d'avis juridique. Les délais et les formulaires sont transcrits du règlement, article par article, et destinés à être relus.
- L'absence d'alerte ne vaut pas absence de vulnérabilité. Les sources publiques ne sont ni exhaustives ni instantanées, et un composant sans identifiant de paquet est signalé comme non surveillable plutôt que compté comme sain.
Tarifs
Par organisation, hors taxes, sans engagement. Tout ce que la loi exige est dans toutes les offres : elles ne se distinguent que par le volume.
- ✓ Surveillance et alertes
- ✓ Procédure d'incident complète
- ✓ Journal d'audit inaltérable
- ✓ Export du dossier de contrôle
- ✓ Déclarations VEX
- ✓ Dix ans de conservation
- ✓ Dépôt de SBOM depuis votre CI
Vos données
Nos équipes ne voient que des compteurs : offre, nombre de produits, dates. Lire le contenu de votre organisation exige que vous accordiez vous-même un accès nominatif, limité à 72 heures, révocable, et inscrit à votre journal d'audit. Vos nomenclatures restent les vôtres et s'exportent à tout moment, dans une archive lisible sans cet outil. Le détail figure dans la politique de confidentialité.
Commencer
Vérifiez d'abord si le règlement vous concerne — quatre questions, rien n'est enregistré.