Comparer, par catégorie d'outil
Ce qui sert déjà à tenir le dossier d'un produit, rangé par catégorie et non par vendeur : la question à laquelle chacun répond, son unité, sa continuité, l'art. 14 et la déclaration UE. Puis où euvex s'arrête. Aucun nom d'éditeur commercial, aucun prix.
Relevé du
Cinq catégories, cinq questions
En ligne, ce que fait chaque catégorie. En colonne, qui répond à quoi. La dernière ligne est euvex, aux mêmes critères.
| Catégorie | La question à laquelle il répond | L'unitéorganisation, logiciel, produit et version | La continuitéCRA, art. 31 et 13(13) | L'art. 14CRA · applicable au 11.09.2026 | La déclaration UE de conformitéCRA, art. 28(3) · Machines, art. 21(3) |
|---|---|---|---|---|---|
| Le dossier tenu à la main | Celle que vous lui posez : il contient ce que vous y avez mis, à la date où vous l'y avez mis. | Celle que vous choisissez, souvent un document par produit, parfois un par texte. | Autant que la personne qui le tient. Chaque mise à jour est un geste, et une vulnérabilité publiée après la dernière relecture n'y figure pas tant que personne n'est allé la chercher. | Possible à la main : apprendre qu'un composant du produit porte une vulnérabilité activement exploitée, puis tenir trois échéances, dont la première à 24 heures. | Rédigée à la main. Une seule pour tous les textes qui en imposent une, comme la loi le prévoit, ce qui oblige à réconcilier des documents tenus séparément. |
| Les générateurs de SBOM open source | « De quoi ce logiciel est-il fait aujourd'hui ? » Certains, comme Trivy, confrontent aussi la liste aux vulnérabilités connues le jour où ils tournent. | Le logiciel, l'image ou le dossier qu'on leur donne, au moment où ils tournent. | Une photographie. Pour suivre un produit dans le temps, il faut les relancer, dans l'intégration continue par exemple, et garder chaque résultat. | Hors de leur objet. | Hors de leur objet. |
| Les plateformes open source d'analyse de SBOM | « Quels composants de mon portefeuille logiciel sont touchés par une vulnérabilité connue ? » | L'application et chacune de ses versions, à partir du SBOM qu'on lui envoie. | Oui, sur les SBOM qu'on lui envoie : c'est son objet. Le serveur est à installer, à alimenter et à tenir à jour vous-même. | Ce n'est pas son objet : sa documentation, au jour du relevé, ne parle ni de dossier de signalement ni des échéances de l'art. 14. | Hors de son objet. |
| Les plateformes de conformité d'organisation | « Mon entreprise est-elle en ordre ? » Des politiques, des contrôles et des preuves, pour une entité. | L'organisation : une entité, ses équipes, ses systèmes. | Pensée pour durer, à l'échelle de l'organisation : des contrôles revus dans le temps. | Le signalement de l'art. 14 part d'un composant d'un produit précis. Une plateforme dont l'unité est l'organisation n'a pas pour objet la nomenclature de chaque version. | Hors de son objet : une déclaration UE porte sur un produit, pas sur une entreprise. |
| Le laboratoire, l'organisme notifié, le conseil | « Ce produit satisfait-il aux exigences, essais à l'appui ? » et « Quels textes s'appliquent, par quelle procédure ? » | Le produit, le temps d'une mission : un essai, un examen, un avis. | Datée par nature : un rapport d'essai, une attestation ou un avis portent la date de leur mission. Certaines procédures prévoient des audits périodiques de l'organisme notifié, sur le système de qualité du fabricant. | Un conseil peut aider à qualifier un cas et à rédiger le signalement. Voir, jour après jour, qu'un composant du produit est exploité est un autre travail. | Ils ne la signent pas. Quand un organisme notifié intervient, la déclaration cite son attestation ; elle reste établie sous la seule responsabilité du fabricant. |
| euvex | « Ce produit, dans cette version, que dit son dossier ? » | La gamme de produit et chacune de ses versions. | Chaque scan revérifié une fois par jour, un email sur une vulnérabilité nouvelle au-dessus du seuil choisi, et un historique daté qui ne se réécrit pas. | Ouvre un dossier quand un composant distribué porte une vulnérabilité du catalogue CISA KEV, tient les trois échéances et prépare le contenu. Ne dépose rien. | L'assemble depuis les volets CRA, RED et Machines, et signale ce qui manque. Ne la signe pas. |
Comment chacun s'articule avec euvex
Complémentarité
Aucune de ces catégories n'est un concurrent à remplacer. Chacune répond à sa question ; voici ce qu'elle garde, et ce qu'euvex ajoute.
Le dossier tenu à la main
Un tableur, des documents, un dossier partagé, et la personne qui les tient à jour.
Il ne disparaît pas : les essais, l'analyse de risques et les pièces signées restent les vôtres. euvex tient la partie qui change chaque jour, la nomenclature et ses vulnérabilités, et ses documents imprimés rejoignent ce dossier.
Les générateurs de SBOM open source
Des outils libres qui lisent un logiciel, une image ou un système de fichiers et en écrivent la nomenclature.
Par exemple : Syft (Apache-2.0), Trivy (Apache-2.0), cdxgen (Apache-2.0), cyclonedx-npm (Apache-2.0).
Gardez-les : leur SBOM, exporté en CycloneDX JSON, versions 1.2 à 1.6, s'importe dans euvex tel quel. Ils sont l'entrée du dossier, pas son concurrent.
Les plateformes open source d'analyse de SBOM
Des serveurs libres qui reçoivent des SBOM et suivent dans la durée les composants de chaque application.
Par exemple : OWASP Dependency-Track (Apache-2.0).
Si vous l'utilisez déjà, elle couvre une partie de ce qu'euvex fait sur le logiciel. euvex y ajoute ce qui relève du dossier : les volets déclarés CRA, RED et Machines, l'art. 14 et la déclaration UE, tenus par produit.
Les plateformes de conformité d'organisation
Des services qui suivent les politiques, les contrôles et les preuves d'une entreprise, au regard de référentiels de sécurité de l'information.
Les deux ne se remplacent pas : la conformité d'une organisation ne tient pas lieu de dossier pour chacun de ses produits, et un dossier produit ne dit rien de l'organisation.
Le laboratoire, l'organisme notifié, le conseil
Des personnes qui essaient le produit, évaluent sa conformité quand un texte l'exige, ou disent quels textes s'appliquent.
euvex ne remplace aucun d'eux : il n'essaie rien, n'évalue pas la conformité et ne qualifie pas votre produit. Il leur remet un dossier daté, qui se lit sans lui.
Où euvex s'arrête
Avec la même netteté que ce qu'il fait
Ce qu'euvex ne fait pas
- Il lit les lockfiles npm, pnpm et yarn et les SBOM CycloneDX JSON et SPDX, rien d'autre : ni CycloneDX XML, ni dépôt de code.
- Il ne teste aucun appareil et ne mesure pas les exigences déclarées, CRA hors SBOM, RED et Machines : il recueille vos réponses, exigence par exigence.
- Il ne qualifie pas votre produit, ne dit pas quels textes s'appliquent, et n'est pas un organisme notifié.
- Il ne dépose aucun signalement et ne signe aucune déclaration.
- Un compte a un titulaire : les comptes d'équipe ne sont pas construits.
Comment ce relevé a été fait
Relevé du 27.10.2026
Une catégorie se décrit par ce qui la définit, pas par l'examen de chacun de ses produits : un outil donné peut faire plus, ou moins, que sa ligne. Les outils open source sont nommés avec leur dépôt et leur licence, lus le 27 octobre 2026. Aucun éditeur commercial n'est nommé : ce qu'il fait change sans que nous le sachions, et une affirmation datée sur un produit tiers finit par être fausse.
Ce que la ligne d'euvex affirme est lu dans son code, et les textes cités le sont au Journal officiel : le dossier et la déclaration, les échéances, nos sources.
Une ligne vous paraît fausse, ou datée ? Écrivez à contact@euvex.eu.
Voir un dossier produit
Un produit fictif, sa nomenclature, ses volets RED et Machines, son dossier art. 14 et sa déclaration UE, tels qu'euvex les imprime.