Fonctionnalités
Notifications CRA, PSIRT et SBOM
Un chercheur signale une faille dans votre produit. À partir de là, chacun sait où se trouve le signalement, quelle échéance court et ce que vos clients apprendront.
Les signalements de vulnérabilités arrivent par e-mail dans une boîte quelconque, et la nécessité de notifier l’autorité se décide sous la pression du temps.
Comment Complass vous aide
Recevoir les signalements au même endroit
Un formulaire de signalement propre à votre entreprise, ainsi que security.txt selon la RFC 9116 et un projet de politique de divulgation coordonnée que vous vérifiez et adaptez.
Une évaluation avec un statut clair
Reçu, en cours d’évaluation, confirmé, corrigé, publié : chaque signalement a son statut et ses notes. Si la réception n’est pas confirmée au bout de 5 jours ouvrés, Complass vous le rappelle.
L’obligation de notification de l’art. 14 du CRA en vue
Si la vulnérabilité est activement exploitée, vous créez directement à partir du signalement un incident CRA : alerte précoce, notification, rapport final, rapport intermédiaire sur demande et information des utilisateurs, chacun avec une échéance calculée et le contenu requis.
Ne pas oublier les fournisseurs
Si la vulnérabilité se trouve dans un composant intégré, Complass vous rappelle d’informer le fabricant de ce composant.
Avis de sécurité pour vos clients
Le signalement donne lieu à un avis de sécurité au format CSAF, au besoin validé par une seconde personne, publié sur votre page d’avis et envoyé par e-mail à vos abonnés, avec preuve d’envoi.
Bases juridiques et normatives
- Art. 13 CRAArticle 13 Règlement sur la cyberrésilience Obligations incombant aux fabricants1. Lorsqu’ils mettent sur le marché un produit comportant des éléments numériques, les fabricants s’assurent que ce produit a été conçu, développé et fabriqué conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I. 2. Aux fins du respect du paragraphe 1, les fabricants procèdent à une évaluation des risques de cybersécurité associés à un produit comportant des éléments numériques et …Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗
- Art. 14 CRAArticle 14 Règlement sur la cyberrésilience Obligations en matière de communication d’informations incombant aux fabricants1. Un fabricant notifie toute vulnérabilité activement exploitée contenue dans le produit comportant des éléments numériques dont il prend connaissance simultanément au CSIRT désigné comme coordinateur conformément au paragraphe 7 du présent article, et à l’ENISA. Le fabricant notifie cette vulnérabilité activement exploitée par l’intermédiaire de la plateforme unique de signalement établie en vertu de l’article 16. …Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗
- CRA annexe I partie II
- BSI TR-03183-2
- RFC 9116
Calculer gratuitement les délais de notification du CRA, sans inscription
Cette page décrit les fonctionnalités de Complass et ne constitue pas un conseil juridique.
SBOM : savoir ce que contient le produit à partir de Professional: SBOM, comparer les offres
SBOM par produit et par version
Import depuis CycloneDX 1.4 à 1.6 et SPDX 2.2 et 2.3, depuis Excel ou par script de collecte. « Enregistrer la version » crée une version immuable avec somme de contrôle.
Ce qui a changé
Comparer deux versions : composants ajoutés, supprimés et modifiés en un coup d’œil.
Export selon BSI TR-03183-2
CycloneDX 1.6, SPDX 2.3 et SPDX 3.0.1 ainsi que VEX, contrôlés avant la sortie par rapport aux champs obligatoires.
Dossier cyber CE, CSAF et VEX sur la page Conformité produit
Questions fréquentes
Complass transmet-il la notification à l’ENISA ?
Non. Complass calcule les échéances et prépare le contenu de chaque étape de notification. Vous déposez la notification sur la plateforme de signalement et saisissez l’heure et le numéro de dossier.
De quoi ai-je besoin pour cela ?
Les signalements de vulnérabilités, les incidents CRA et les avis de sécurité relèvent du référentiel CRA. La SBOM et le dossier cyber CE relèvent du module de gestion des vulnérabilités.
La politique de divulgation est-elle prête à l’emploi ?
Il s’agit d’un projet établi à partir de vos informations. Vérifiez-le et adaptez-le avant de le publier.
Testez Complass avec vos propres données
Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.