Cyber Resilience Act : nouveaux guides de l'ENISA sur les SBOM et les mises à jour sécurisées
L'ENISA a publié des avis techniques sur les nomenclatures logicielles (22 octobre) et les mécanismes de mise à jour sécurisés (4 novembre) pour le CRA.
L'Agence de l'Union européenne pour la cybersécurité (ENISA) a publié un Technical Advisory for Software Bill of Materials le 22 octobre 2026 et un Technical Advisory on Secure Update Mechanisms le 4 novembre 2026. Tous deux s'adressent aux fabricants soumis au Cyber Resilience Act (CRA), en particulier aux PME. Ce sont des orientations, pas une loi, et ils ne donnent aucune présomption de conformité.
Ce qui change
Le CRA exige une SBOM dans un format courant et lisible par machine, couvrant au minimum les dépendances de premier niveau, qu'une autorité de surveillance du marché peut demander (annexe I, partie II, et annexe VII). Les mises à jour de sécurité doivent être diffusées de manière sécurisée, sans délai et gratuitement, si possible séparément des mises à jour fonctionnelles. L'ENISA montre désormais comment s'y prendre :
- SBOM : utiliser CycloneDX ou SPDX, générer une SBOM à chaque build, puis la valider, la signer, la stocker et la maintenir. Conserver des preuves pour les audits et les demandes des autorités, et consigner les lacunes de couverture.
- Mises à jour : signer les métadonnées et protéger les clés, n'accepter que des sources de confiance via des connexions chiffrées et rejeter les métadonnées obsolètes ou rejouées. Installer automatiquement les mises à jour de sécurité par défaut lorsque c'est possible et publier un avis clair avec chaque correctif.
Dates clés
- 11 septembre 2026 : la notification des vulnérabilités activement exploitées et des incidents graves via la plateforme unique de signalement de l'ENISA s'applique déjà. Des déclarations conjointes de l'UE sur des vulnérabilités critiques de PHP (21 octobre) et sur des incidents touchant des systèmes de réfrigération (4 novembre) l'ont rappelé aux fabricants.
- 11 décembre 2027 : le CRA s'applique pleinement, y compris les SBOM, les mises à jour sécurisées et une période d'assistance d'au moins cinq ans, sauf si le produit doit être utilisé moins longtemps (article 13, paragraphe 8).
En savoir plus : Cyber Resilience Act : la notification est en place.
Que faire maintenant
Recensez vos produits concernés, produisez une SBOM pour chaque version et vérifiez qui peut signer une mise à jour et comment les appareils la vérifient. Dazr Compliance réunit tout cela dans un module CRA : classification des produits, import de SBOM en CycloneDX ou SPDX JSON avec contrôle des vulnérabilités connues, délais de notification de l'article 14 et documentation technique de l'annexe VII.
Sources
- ENISA: Technical Advisory for Software Bill of Materials (22 October 2026)
- ENISA: Technical Advisory on Secure Update Mechanisms (4 November 2026)
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 13 and 71, Annexes I and VII
- European Commission: Joint statement on critical PHP vulnerabilities (21 October 2026)
- European Commission: Joint statement on cyber incidents in refrigeration systems across the EU (4 November 2026)
À titre d’information, ne constitue pas un conseil juridique. Dernière mise à jour le 7 novembre 2026.
Également disponible en: English, Nederlands, Italiano, Deutsch, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål