Ce qu'euvex fournit, volet par volet
Pour chaque volet : ce que c'est, pourquoi ça compte, ce qu'euvex fait, et ce qu'euvex ne fait pas. Chaque échéance citée ici vient du texte réglementaire, pas d'un article de blog.
formats d'entrée
6
npm, pnpm, yarn, CycloneDX, SPDX 2 et 3
règlements couverts
3
CRA, RED, Machines
de conservation
10 ans
le plancher légal, par défaut illimitée
Du lockfile à la déclaration · survolez une étapetouchez une étape
CRA · 11.12.2027
Le SBOM
Lockfiles npm, pnpm et yarn lus directement, SBOM CycloneDX ou SPDX existant importé tel quel ; export CycloneDX 1.5 déterministe.
Lire le voletLe scan
Croisé avec OSV à chaque dépôt ; la passe quotidienne ajoute la NVD, interrogée par CPE.
Lire le voletLa surveillance
Revérifié tous les jours ; un email uniquement sur CVE nouvelle, à partir de la sévérité choisie.
Lire le voletLe signalement
Croisement avec CISA KEV, décompte des échéances : 24 h, 72 h, rapport final.
Lire le voletHistorique et archive
Journal horodaté append-only, jamais réécrit ; archive complète en un fichier autonome.
Lire le voletRED
Questionnaire structuré des exigences, rapport imprimable, verdict CVE du scan lié réutilisé.
Lire le voletMachines
Le mécanisme déclaratif de RED sur le périmètre cyber du texte, rapport imprimable.
Lire le voletLa déclaration UE
Assemblée depuis vos volets (CRA, RED, Machines). euvex assemble, vous signez.
Lire le voletLe SBOM : l'inventaire de votre logiciel
CRA, annexe I partie II · applicable au 11.12.2027
Ce que c'est.
La liste complète des composants logiciels d'un produit (noms, versions exactes, empreintes d'intégrité, et licences quand le lockfile les porte : npm oui, pnpm et yarn non) dans le format standard CycloneDX 1.5, lisible par les machines : outils de scan, auditeurs, acquéreurs.
Pourquoi ça compte.
Le Cyber Resilience Act en fait une exigence essentielle pour vendre un produit numérique dans l'UE. Et sans inventaire, impossible de répondre à la seule question qui compte le jour d'une faille : suis-je concerné ? C'est l'épisode log4j : la panique venait de ce que personne ne savait où la bibliothèque se cachait.
Ce qu'euvex fait.
Six formats d'entrée : les lockfiles npm, pnpm et yarn sont lus directement, et un SBOM CycloneDX ou SPDX (2.2, 2.3 ou 3.0) produit par une autre chaîne s'importe tel quel. L'export est déterministe : le même inventaire produit toujours le même fichier, ce qui rend les comparaisons et l'archivage fiables. Le lockfile est lu puis jeté, jamais conservé.
Illustration · du lockfile au SBOM
Le scan : quelles failles vous touchent
CVE connues · OSV et NVD
Ce que c'est.
Les composants de l'inventaire sont croisés avec les avis de vulnérabilité publics : quelles CVE touchent quelles dépendances, à quelle sévérité.
Pourquoi ça compte.
C'est le premier réflexe d'un auditeur ou d'un acquéreur devant votre SBOM. Autant l'avoir fait avant eux.
Ce qu'euvex fait.
Le scan tourne à chaque dépôt, gratuitement, et le verdict est détaillé composant par composant. Il interroge OSV, puis la passe quotidienne ajoute une seconde source pour ce qu'OSV ne sait pas résoudre : la NVD, interrogée par CPE. Un CPE déclaré dans le SBOM est utilisé tel quel ; à défaut, le nom et la version exacte. C'est exactement le cas des composants en pkg:generic, que produisent par défaut Yocto, Buildroot et conan.
Illustration · 96 composants d'un firmware
euvex refuse de conclure : 3 composant(s) non analysé(s)
Ce qu'euvex ne fait pas
La surveillance : parce que la CVE tombe après votre release
CRA, art. 31 · « continuously updated »
Ce que c'est.
Chaque scan est revérifié tous les jours, automatiquement. Un SBOM est vrai le jour où on le génère ; la vulnérabilité qui vous concerne sera publiée un autre jour.
Pourquoi ça compte.
La documentation technique doit être mise à jour en continu, le cas échéant, au moins pendant la période de support (art. 31) : un dossier exact au moment de la mise sur le marché et plus jamais retouché est un dossier en infraction, même si personne ne le remarque.
Ce qu'euvex fait.
Un email part uniquement quand une CVE nouvelle touche une de vos dépendances, pas de rapport hebdomadaire à trier, pas de bruit. Vous choisissez à partir de quelle sévérité : toutes, élevée et plus, ou critique seulement. Ce réglage filtre les emails, jamais la détection : une vulnérabilité trouvée est enregistrée et visible dans la console quoi qu'il arrive, et une sévérité non évaluée passe tous les seuils, parce qu'elle n'est pas une sévérité basse. Désabonnement en un clic. L'adresse est optionnelle et sert à ça seulement.
Exemple · seuil d'alerte email
| Vulnérabilité nouvelle | Détectée | |
|---|---|---|
| critiqueminimistCVE-2021-44906 | oui | envoyé |
| élevéelodashCVE-2021-23337 | oui | envoyé |
| moyennesemverCVE-2022-25883 | oui | envoyé |
| non évaluéepaquet-internesans score | oui | envoyé · passe tous les seuils |
Ce réglage filtre les emails, jamais la détection.
4 vulnérabilités détectées, 4 emails envoyés.
Le signalement : l'art. 14, chronométré
CRA, art. 14 · applicable au 11 septembre 2026
Ce que c'est.
L'obligation de signaler à votre CSIRT coordinateur et à l'ENISA toute vulnérabilité activement exploitée contenue dans votre produit, et tout incident grave.
Pourquoi ça compte.
Les délais sont courts et s'empilent : alerte précoce sous 24 heures, notification sous 72 heures, rapport final ensuite : 14 jours après la mise à disposition d'une mesure de correction ou d'atténuation pour une vulnérabilité, un mois après la notification pour un incident. Ces horloges se découvrent toujours au pire moment.
Ce qu'euvex fait.
Vos composants sont croisés avec le catalogue CISA KEV : le critère du texte est « activement exploitée », pas « grave », et c'est ce catalogue qui le recense. euvex ouvre le dossier, décompte chaque échéance, prépare le contenu du signalement, et cite la révision de scan qui a produit la date de prise de connaissance, pour qu'elle soit recoupable, pas seulement affirmée.
Alerte précoce : échéance dépassée. Notification : encore dans le délai.
Ce qu'euvex ne fait pas
CRA, art. 13(13) · au moins dix ans
L'historique et l'archive : prouver ce que vous saviez, et quand
Ce que c'est. Chaque vérification est horodatée et conservée : un journal append-only, jamais réécrit.
Pourquoi ça compte. La documentation technique et la déclaration de conformité doivent rester à la disposition des autorités de surveillance du marché au moins dix ans après la mise sur le marché, ou toute la période de support si elle est plus longue. Et l'art. 14 fait courir ses deux premiers délais depuis la prise de connaissance : il faut pouvoir dire quand vous avez su.
Ce qu'euvex fait. L'historique nomme ses interruptions : « rien n'a changé » et « on ne regardait pas » n'y sont jamais confondus. La conservation par défaut est illimitée : aucune durée sous le plancher légal n'est même proposée. Et l'archive complète se télécharge en un fichier autonome, chaque révision en CycloneDX standard, datée de sa capture : vos preuves ne dépendent pas de la survie d'euvex.
RED, règlement délégué 2022/30 · applicable au 01.08.2025
RED : les équipements radio, déjà concernés
Ce que c'est. Les exigences de cybersécurité de la directive équipements radioélectriques, pour les équipements radio connectés à l'internet, ceux qui traitent des données personnelles et ceux qui transfèrent de l'argent. Applicable au 01.08.2025, c'est la plus ancienne des obligations de cette page.
Pourquoi ça compte. La douleur est présente, pas future. Et le dossier RED bascule vers le CRA en décembre 2027 : même produit, même client, même dossier à faire vivre.
Ce qu'euvex fait. Un questionnaire structuré des exigences qu'un fabricant peut réellement déclarer, un rapport imprimable, et la réutilisation du verdict CVE du scan lié, pas de double saisie.
Le champ exact, les normes EN 18031 et leurs restrictions, lus au Journal officiel.
Ne fait pas · euvex ne teste pas votre appareil. Les exigences techniques (EN 18031) portent sur le comportement de l'équipement : mise à jour sécurisée, authentification, trafic réseau. euvex structure votre déclaration ; il ne la mesure pas.
Règlement Machines 2023/1230 · applicable au 20.01.2027
Machines : la cyber devient une exigence de sécurité
Ce que c'est. Le nouveau règlement Machines fait de la cybersécurité une exigence essentielle de santé et de sécurité (annexe III, points 1.1.9 et 1.2.1) : une machine corruptible est une machine dangereuse.
Pourquoi ça compte. C'est la prochaine échéance des fabricants de machines : jusqu'au 20.01.2027, c'est la directive 2006/42/CE qui s'applique. Et le texte demande un inventaire logiciel sans le nommer : la machine identifie les logiciels installés dont elle a besoin pour fonctionner en toute sécurité, et est « en mesure de fournir ces informations à tout moment sous une forme aisément accessible » (1.1.9, paragraphe 4). Le point 1.2.1 f) ajoute un journal des interventions et des versions de logiciels de sécurité téléchargés après la mise sur le marché, activé pendant cinq ans.
Ce qu'euvex fait. Le même mécanisme déclaratif que RED (volet par produit, rapport imprimable) sur le périmètre cyber du texte. Une exigence se mesure au lieu de se déclarer : l'inventaire du paragraphe 4 de 1.1.9 est lu dans le scan logiciel lié au produit.
Le champ, les passages cyber de l'annexe III et le calendrier, lus au Journal officiel.
Ne fait pas · euvex ne vérifie pas la protection contre la corruption, les journaux de la machine ni la sécurité fonctionnelle de ses commandes : ce sont des comportements, qui se déclarent et se prouvent par des essais. La norme harmonisée attendue, prEN 50742, est encore un projet : les références du volet sont des identifiants euvex, pas des numéros de clause.
Règlement Machines, annexe V
La déclaration UE unique : un dossier, pas cinq
Ce que c'est. La pièce finale du marquage CE : la déclaration de conformité, qui énumère toutes les législations d'harmonisation applicables au produit. La loi prévoit un document unique, pas une déclaration par règlement.
Pourquoi ça compte. C'est ce que les fabricants assemblent aujourd'hui à la main, texte par texte. La consolidation n'est pas une commodité qu'euvex invente : elle est déjà dans la loi.
Ce qu'euvex fait. Il assemble la déclaration depuis vos volets (CRA, RED, Machines) avec la référence de chaque texte.
Le dossier technique et la déclaration, en clair, pour qui les signe.
Ne fait pas · euvex ne la signe pas. La déclaration est « établie sous la seule responsabilité du fabricant » (annexe V, point 4) : euvex assemble, vous signez.
Impression en PDF
Les dossiers imprimables : l'artefact qu'on tend à l'auditeur
Ce que c'est. Chaque volet produit un document imprimable et autonome : le dossier de scan (SBOM, vulnérabilités, historique daté), le rapport CRA (ce qu'euvex mesure, puis ce que vous déclarez), le rapport RED, le rapport Machines, le dossier de signalement art. 14.
Pourquoi ça compte. Un contrôle, une revue client ou un audit se passent sur pièces. L'écran ne se transmet pas ; le document, si.
Questions fréquentes
Avant de commencer
- Faut-il un organisme notifié ?
Cela dépend du texte, de la catégorie du produit et des normes que vous appliquez. euvex n'est pas un organisme notifié et ne remplace pas son intervention quand elle est requise. Sur RED, certaines restrictions des normes EN 18031 retirent la présomption de conformité : lesquelles.
- euvex donne-t-il un avis juridique ?
Non. euvex structure, date et assemble votre dossier ; il ne qualifie pas votre produit à votre place, et ne signe rien. Les repères publient chaque échéance avec sa source au Journal officiel, pour que vous puissiez la vérifier vous-même.
- Que deviennent mes données si euvex disparaît ?
Ce que vous avez téléchargé ne dépend plus de nous. L'archive de chaque scan contient toutes ses révisions en CycloneDX standard, datées de leur capture. L'export du compte, dans vos réglages, rassemble en un fichier JSON vos produits, vos questionnaires CRA, RED et Machines, vos dossiers art. 14 et vos alertes. Les deux se téléchargent à tout moment, sans demande. Gardez-en une copie avec votre documentation technique, qui doit rester disponible au moins dix ans.
- Mon SBOM vient d'une chaîne de firmware, Yocto par exemple. Est-il lu ?
Oui, s'il est en CycloneDX JSON (versions 1.2 à 1.6) ou en SPDX (2.2 et 2.3 en JSON ou tag-value, 3.0 en JSON-LD) : il s'importe tel quel. Le SPDX de Yocto 5.1 et suivants se dépose directement, l'archive .spdx.tar.zst de Yocto 5.0 non. Les composants en
pkg:generic, ce que ces chaînes produisent souvent, sont interrogés à la NVD par CPE ; ceux qui n'offrent ni CPE ni version exacte restent « non analysé », jamais comptés comme sains.
Toutes les questions, dont ce qu'euvex ne fait pas.
Par où commencer
Tout est gratuit pendant la bêta et demande un compte, y compris le scan. Le compte est ce qui permet de vous prévenir quand une nouvelle faille touche un de vos produits. Voir un dossier complet, sur un produit fictif, ou préparer le premier avec nous.