Cyber Resilience Act et Open Source : quelles obligations pour vos dépôts ?
Distinguez l'activité bénévole des obligations commerciales, auditez vos dépendances et structurez votre gouvernance cyber sans freiner l'innovation.
Le Cyber Resilience Act (CRA) s'applique aux composants open source dès lors qu'ils sont intégrés dans une activité commerciale régulière, comme le support payant ou les éditions entreprise. Les développeurs bénévoles, sans contrepartie financière, restent hors du champ d'application du règlement UE 2024/2847. Les organisations structurées, agissant comme intendants de logiciels libres, doivent désormais formaliser leur politique de gestion des vulnérabilités.
La frontière entre contribution bénévole et activité commerciale sous le CRA
Entré en vigueur le 10 décembre 2024, le CRA instaure un cadre de sécurité pour la chaîne d'approvisionnement logicielle. Pour les mainteneurs, la distinction repose sur le modèle économique : une bibliothèque publiée sous licence permissive sans modèle monétisé associé échappe aux sanctions de conformité.
Dès qu'une structure juridique commercialise du support, propose une double licence ou perçoit des financements contractuels pour la maintenance, elle entre dans le champ du règlement. Les mainteneurs doivent anticiper deux échéances clés : le reporting des vulnérabilités exploitées dès le 11 septembre 2026, et l'application intégrale des exigences de sécurité le 11 décembre 2027.
Un outillage adapté aux exigences du code libre
CRAcheck automatise vos audits de dépendances et la génération de dossiers documentaires sans perturber votre workflow GitHub.
SBOM CycloneDX automatisé
Générez un inventaire logiciel conforme pour 9 écosystèmes : npm, PyPI, Go, Rust, .NET, PHP, Ruby, Java et CycloneDX natif.
Fichier SECURITY.md standardisé
Formalisez votre politique de réception et de traitement des failles selon les standards de cybersécurité exigés par l'Union européenne.
Surveillance proactive des failles
Recevez des alertes immédiates dès qu'une vulnérabilité est détectée dans vos dépendances directes ou transitives.
Score d'auto-évaluation CRA
Mesurez l'alignement technique de votre projet avec l'Annexe I du règlement avant toute intégration industrielle.
Sécuriser l'usage industriel sans alourdir le développement
Les entreprises intégrant des bibliothèques open source dans leurs produits connectés s'exposent à des sanctions allant jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial. Elles exigent désormais une traçabilité rigoureuse et une réactivité accrue sur la sécurité des composants.
- Génération automatique d'un SBOM vérifiable
- Processus de divulgation coordonnée des vulnérabilités
- Documentation technique conforme à l'Annexe VII
- Transparence sur les correctifs et alertes de sécurité
Les statuts open source reconnus par le Cyber Resilience Act
Le règlement UE 2024/2847 définit trois rôles principaux sur le marché intérieur :
- Mainteneur bénévole : exempté d'obligations tant qu'aucune activité commerciale n'est liée au logiciel.
- Intendant de logiciels libres (Open Source Steward) : entité soutenant la maintenance sans vendre le produit final, soumise à une obligation de diligence.
- Éditeur commercial : structure distribuant des solutions sous modèle payant, considérée comme fabricant et soumise au marquage CE.
Obligations de reporting ENISA : calendrier et délais
Dès le 11 septembre 2026, les entités soumises devront notifier les incidents graves selon une procédure stricte :
- Alerte précoce sous 24 heures auprès du CSIRT et de l'ENISA en cas d'exploitation active.
- Notification détaillée sous 72 heures incluant l'analyse technique et les mesures d'atténuation.
- Rapport final sous 14 jours détaillant l'impact et les correctifs déployés pour les utilisateurs.
L'ensemble des exigences de sécurité (Annexe I) et de documentation (Annexe VII) sera obligatoire au 11 décembre 2027.
Évaluez la préparation de votre projet GitHub
Analysez vos manifestes de paquets et obtenez une synthèse des vulnérabilités de vos dépendances en moins de deux minutes.
Quatre étapes pour structurer la posture cyber de votre projet
- 1
Définir votre modèle de distribution
Identifiez si votre projet relève de la contribution bénévole, du rôle d'intendant ou d'une activité commerciale.
- 2
Connecter votre dépôt à CRAcheck
Autorisez l'analyse de votre code source pour cartographier vos bibliothèques sans déploiement complexe.
- 3
Générer le SBOM et la documentation
Exportez votre inventaire au format CycloneDX et préparez vos modèles d'auto-évaluation pour l'Annexe VII.
- 4
Activer la surveillance continue
Configurez vos alertes automatiques et préparez vos modèles de reporting pour répondre aux exigences de l'ENISA.
Transformer la conformité en avantage compétitif
Fournir un SBOM et un canal de divulgation des vulnérabilités renforce la confiance des entreprises utilisatrices. CRAcheck facilite cette démarche en automatisant les tâches administratives répétitives.
Utilisez nos modèles pré-remplis pour la déclaration de conformité et les rapports d'incidents afin de gagner du temps tout en clarifiant la responsabilité de votre chaîne logicielle.
Foire aux questions : CRA et Open Source
Un mainteneur bénévole risque-t-il une amende ?+
Non. Le CRA exclut explicitement les logiciels libres développés en dehors d'une activité commerciale.
Le sponsoring qualifie-t-il un projet de commercial ?+
Les dons non conditionnels ne constituent généralement pas une activité commerciale. L'analyse dépend de l'existence d'accords contractuels formalisés.
Quelles sont les obligations d'un intendant de logiciel libre ?+
L'intendant doit documenter sa politique de cybersécurité, gérer les signalements de failles et coopérer avec les autorités, sans obligation de marquage CE.
CRAcheck remplace-t-il un organisme certificateur ?+
Non. CRAcheck est un outil d'assistance technique et d'auto-évaluation facilitant votre mise en conformité, sans valeur de certification officielle.
Préparez vos logiciels aux exigences européennes
Connectez vos dépôts, inspectez vos dépendances et exportez vos livrables de conformité avec CRAcheck.
Sur le même thème — Par type de produit
Nouveau sur le Cyber Resilience Act ? Commence par le guide complet.
Le guide CRADepuis le blog
Vérifie ta conformité CRA en 1 minute
Gratuit, sans inscription. Scanne ton dépôt et obtiens ton score de conformité + tes documents pré-remplis.