référentiel · NIST SSDF et OWASP SAMM
Vos clients demandent avec quelle sécurité vous développez vos logiciels ? Complass vous guide à travers les 42 tâches du NIST SSDF, montre votre niveau de maturité selon OWASP SAMM et relie les deux au CRA.
Le Secure Software Development Framework (SSDF) est un cadre volontaire du National Institute of Standards and Technology américain (NIST SP 800-218). Il décrit, en quatre groupes et 42 tâches, comment les fabricants développent des logiciels de manière sécurisée et réagissent aux vulnérabilités. OWASP SAMM est un modèle de maturité ouvert pour la sécurité des logiciels, avec 15 pratiques et des niveaux de 0 à 3. Il n’existe de certificat ni pour l’un ni pour l’autre.
Complass n’a aucun lien avec le NIST ni avec l’OWASP Foundation. Les textes anglais des tâches proviennent de la NIST SP 800-218, une œuvre du gouvernement fédéral américain librement utilisable. OWASP SAMM (owaspsamm.org) est placé sous licence CC BY-SA 4.0 ; Complass ne cite que les noms des pratiques et décrit les niveaux dans ses propres mots.
État des contenus:
Le SSDF concerne les fabricants et développeurs de logiciels, y compris de micrologiciels et de logiciels embarqués dans des machines et des appareils : entreprises dont les clients veulent la preuve d’un développement sécurisé, fournisseurs d’administrations américaines et toutes celles qui veulent mettre en pratique les exigences de développement du Cyber Resilience Act.
Le SSDF n’est pas obligatoire et ne remplace ni le CRA ni IEC 62443-4-1. Il les complète comme liste de tâches pratique ; vous avez déjà mis en œuvre de nombreuses tâches si vous développez selon IEC 62443-4-1.
Cet aperçu ne remplace pas un conseil juridique. Le texte juridique ou normatif fait foi ; dans Complass, vous vérifiez l’applicabilité à l’aide de consignes fondées sur les références.
Il n’existe pas de délais légaux pour le SSDF. Si vous proposez dans l’UE des produits comportant des éléments numériques, gardez à l’esprit les échéances du Cyber Resilience Act ; le SSDF aide à mettre en œuvre à temps les exigences relatives au développement et au traitement des vulnérabilités. Nous recommandons de répéter l’évaluation SAMM chaque année.
Périmètre, préparer l’organisation, protéger le logiciel et le produire de manière sécurisée, réagir aux vulnérabilités, évaluer la maturité.
Chaque tâche avec son identifiant officiel, la formulation originale du NIST, les étapes, le périmètre minimal, les preuves typiques et les niveaux selon OWASP SAMM.
Politique de développement logiciel sécurisé, évaluation de la maturité SAMM et plan d’amélioration.
Complass vous propose de reprendre pour le SSDF les évaluations et preuves issues du CRA, d’IEC 62443-4-1 et d’ISO 27001.
Catalogue: NIST SSDF 1.1 – 42 tâches
If your customers require secure software development under the NIST SSDF, cette sélection couvre les exigences dans Complass.
Sélection minimale NIST SSDF / OWASP SAMM
199 € HT par mois
Recommandé
590 € HT par mois
Plus d’effet avec Gestion des actifs et zones, Supplier Management et Gestion de la continuité d’activité (BCM), de la place pour 10 utilisateurs et 2 référentiels.
En paiement annuel, durée minimale de 12 mois. Paiement mensuel avec une majoration de 15 %. Tous les prix hors TVA, état au 06/11/2026. Tous les forfaits et modules dans l’aperçu des tarifs
Vous pouvez aussi satisfaire aux exigences sans Complass. Complass aide à la mise en œuvre et à la preuve et ne remplace pas un conseil juridique. Mentions juridiques
Non. Ni le SSDF ni OWASP SAMM ne sont certifiables. Complass vous aide à décrire et à justifier votre état de mise en œuvre et votre niveau de maturité.
Pas automatiquement. Le SSDF couvre de nombreuses exigences relatives au développement et au traitement des vulnérabilités, et Complass montre la correspondance avec l’annexe I. L’évaluation de la conformité au titre du CRA reste une tâche à part.
Le SSDF dit ce qu’il faut faire ; SAMM montre le degré de maturité atteint. Avec les niveaux de 0 à 3, vous pouvez mesurer les progrès et fixer des objectifs.
Non. Grâce aux mesures communes, Complass vous propose de reprendre évaluations et preuves. Vous examinez chaque proposition avant de la confirmer.
Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.
