Glossaire, les mots du dossier
20 termes, chacun avec sa référence et la page qui l'explique. Les mots du règlement sont ceux du Journal officiel ; ceux d'euvex disent ce que fait le produit.
Le logiciel et ses sources
- SBOMCRA, annexe I, partie II, point 1 · applicable au 11.12.2027
La nomenclature logicielle d'un produit : la liste de ses composants, avec leur version et leur identifiant. Le CRA demande de l'établir, dans un format couramment utilisé et lisible par machine.
- CycloneDXCycloneDX 1.5 à l'export · 1.2 à 1.6 à l'import
Le format de SBOM porté par l'OWASP. euvex l'exporte en version 1.5, de façon déterministe : le même inventaire donne toujours le même fichier. Il en importe les versions 1.2 à 1.6, en JSON.
- purlpkg:type/nom@version
Package URL, l'identifiant d'un paquet, écosystème compris :
pkg:npm/lodash@4.17.21. C'est par lui qu'OSV est interrogé, sans confondre deux paquets homonymes.- CPEcpe:2.3:a:éditeur:produit
L'autre identifiant de composant, celui qui sait nommer un logiciel qui n'est le paquet d'aucun écosystème. La NVD s'interroge par lui ; quand votre SBOM en déclare un, c'est le vôtre qui est interrogé.
- OSVapi.osv.dev
Open Source Vulnerabilities, la base ouverte des vulnérabilités des composants open source, maintenue par Google et alimentée par les écosystèmes eux-mêmes. euvex l'interroge par purl, au dépôt et à chaque revérification.
- NVDNIST, États-Unis
National Vulnerability Database, la base de vulnérabilités du NIST, l'institut de standardisation américain. euvex ne l'interroge que pour les composants qu'OSV ne sait pas résoudre, par CPE, pendant la surveillance programmée.
- EUVDEUVD-2021-34768
La base de vulnérabilités de l'ENISA, l'agence de l'Union européenne pour la cybersécurité. euvex en cite l'identifiant européen à côté de l'identifiant CVE ; il ne s'en sert pas pour trouver les failles d'un composant.
- KEVCISA · copie rafraîchie toutes les six heures
Known Exploited Vulnerabilities, le catalogue de la CISA des vulnérabilités dont une exploitation réelle a été constatée. C'est lui, et non la sévérité, qui ouvre un dossier art. 14 dans euvex : le texte dit « activement exploitée », pas « grave ».
- CouvertureN sur M
La part des composants qu'une source a pu interroger, affichée « N sur M ». Tant qu'un seul composant n'a pas pu l'être, euvex ne conclut pas à l'absence de vulnérabilité.
- Non analysépkg:generic
Un composant qu'aucune source n'a pu interroger : un
pkg:genericsans CPE ni version exacte, par exemple. Il n'est jamais compté comme sain.
Le produit et son dossier
- GammeConditions d'utilisation, art. 8
Le produit tel que vous le mettez sur le marché, celui qui porte le marquage CE et une déclaration. Elle se reconnaît à son nom : deux versions de même nom forment une seule gamme. C'est l'unité de facturation, pas la version.
- RévisionCRA, art. 31 et 13(13)
Une vérification datée d'un scan : son inventaire et les vulnérabilités connues ce jour-là. Les révisions s'ajoutent sans jamais se réécrire, et s'exportent ensemble en un fichier autonome, chacune en CycloneDX.
- Documentation techniqueCRA, art. 31 et art. 13(13)
Le dossier qui démontre la conformité : la description du produit, la façon dont chaque exigence essentielle applicable est satisfaite, et les preuves. Il ne se publie pas ; il se tient à la disposition des autorités, mis à jour en continu le cas échéant, au moins pendant la période de support.
- Déclaration UE de conformitéRèglement (UE) 2023/1230, annexe V · CRA, art. 28(3)
Le document court par lequel le fabricant affirme que le produit est conforme, et énumère les textes auxquels il l'est. Une seule pour tous les textes qui en imposent une. Elle est établie sous la seule responsabilité du fabricant : euvex l'assemble, vous la signez.
- Période de supportCRA, art. 13(13)
La durée pendant laquelle le fabricant gère les vulnérabilités de son produit. Elle compte aussi pour la conservation : la documentation technique et la déclaration restent à disposition au moins dix ans après la mise sur le marché, ou pendant la période de support si elle est plus longue.
- Organisme notifiéCRA, chapitre IV (art. 35 à 51)
Un organisme d'évaluation de la conformité, notifié par un État membre, qui intervient quand le texte l'exige, selon la catégorie du produit et les normes appliquées. euvex n'en est pas un, et ne remplace pas son intervention.
- EN 18031EN 18031-1, -2, -3:2024 · décision d'exécution (UE) 2025/138
Les trois normes harmonisées des exigences cyber de la directive RED : le réseau, la vie privée, la fraude. Les appliquer donne une présomption de conformité, sauf sur les points que leur publication au Journal officiel a restreints. Elles sont payantes ; les questionnaires d'euvex en reprennent la structure, pas le texte.
Les trois échéances de l'art. 14
- Alerte précoceCRA, art. 14(2)(a) et 14(4)(a) · 24 heures
Le premier des trois signalements de l'art. 14 du CRA : vingt-quatre heures après la prise de connaissance d'une vulnérabilité activement exploitée ou d'un incident grave.
- NotificationCRA, art. 14(2)(b) et 14(4)(b) · 72 heures
Le deuxième signalement de l'art. 14 : soixante-douze heures après la prise de connaissance.
- Rapport finalCRA, art. 14(2)(c) · 14 jours ; art. 14(4)(c) · 1 mois
Le troisième. Pour une vulnérabilité, quatorze jours après la mise à disposition d'une mesure de correction ou d'atténuation ; pour un incident, un mois après le dépôt de la notification. Jamais compté depuis la prise de connaissance.
Les questions fréquentes · Les premiers pas · Les échéances, lues au texte