Prêt pour le Cyber Resilience Act en un après-midi.

Le SaaS pur, les sites web et les services en ligne ne sont pas des « produits comportant des éléments numériques » (considérant 12). C'est plutôt NIS2 qui peut s'appliquer. Mais si vous livrez un client (application mobile, desktop, agent, SDK, appareil) et que votre back-end, conçu par vous, est nécessaire à l'une de ses fonctions, ce « traitement de données à distance » entre dans le champ avec le produit. Le test gratuit explique le raisonnement.

Le logiciel libre fourni hors activité commerciale est hors champ (considérant 18). La monétisation vous y fait entrer : support payant, double licence, ou entreprise qui contrôle le projet et vend autour. Les fondations et les gestionnaires de paquets ont un régime allégé (article 24). Le kit prévoit un parcours « gestionnaire de logiciels libres ».

L'article 14 devient applicable. Si vous apprenez qu'une vulnérabilité de votre produit est activement exploitée, ou qu'un incident grave affecte sa sécurité, vous déposez une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final, via la plateforme unique de signalement de l'ENISA. Vous informez aussi les utilisateurs concernés. S'il ne se passe rien, vous n'avez rien à déposer. Mais le compte, les rôles, la procédure et les modèles doivent être prêts avant. Le reste du règlement s'applique le 11 décembre 2027.

L'article 64 s'applique à partir du 11 décembre 2027. Les micro et petites entreprises sont dans le champ, avec des sanctions proportionnées. Elles ne peuvent pas être sanctionnées pour le seul dépassement des 24 h de l'alerte précoce (article 64, §10), mais la notification sous 72 h et le rapport final s'imposent à elles. Les éditeurs hors UE qui vendent en Europe sont concernés aussi. Les montants exacts sont dans le guide.

Le déclencheur du CRA est « activement exploitée ». Le catalogue Known Exploited Vulnerabilities est la liste publique de référence des vulnérabilités dont l'exploitation est confirmée. Une vulnérabilité KEV dans un composant que vous livrez n'est pas notifiable d'office. Il faut d'abord vérifier que votre produit l'expose. C'est en revanche le signal pour lancer l'arbre de décision tout de suite.

Non, dans les deux cas. CRA Kit génère des documents de travail à partir du texte du règlement et de vos réponses. Chaque document cite ses articles pour que vous puissiez tout vérifier. La conformité vient ensuite de ce que vous en faites : publier, désigner un responsable, tenir le journal, corriger, notifier. Pour un produit important ou critique (annexes III/IV), ou dès qu'il y a une exposition juridique réelle, faites relire par un avocat.

Nulle part. L'analyseur lit vos fichiers dans le navigateur et n'envoie à OSV.dev que des noms et versions de paquets. Le formulaire du kit reste dans le stockage local de votre navigateur, et la génération se fait sur votre machine. Seules les clés de licence sont vérifiées auprès de Lemon Squeezy. Nous n'avons pas de base de données.

Vous pouvez prévisualiser trois documents en entier et le début des autres avant de payer, et les outils gratuits restent gratuits. Tant que vous n'avez pas débloqué, vous pouvez vous rétracter sous 14 jours. Le déblocage exige que vous demandiez expressément la fourniture immédiate du contenu numérique et reconnaissiez perdre votre droit de rétractation (article L221-28 13° du code de la consommation). Le plan généré conserve la trace de cet accord. Si quelque chose ne fonctionne pas, écrivez-nous. Nous corrigeons ou nous remboursons.