À qui s'applique le Cyber Resilience Act ?

Aux fabricants, importateurs et distributeurs qui mettent sur le marché de l'UE des produits comportant des éléments numériques — matériel et logiciel pouvant se connecter à un appareil ou à un réseau, ce qui inclut la plupart des produits embarqués et IoT.

Quand le CRA entre-t-il en vigueur ?

Il est entré en vigueur en 2024. Les obligations de signalement des vulnérabilités et incidents s'appliquent à partir du 11 septembre 2026, et toutes les exigences essentielles à partir du 11 décembre 2027.

Le CRA exige-t-il un SBOM ?

Oui. Les fabricants doivent identifier et documenter les composants de leurs produits dans une nomenclature logicielle. La commande sbom de Yocman vérifie le SBOM SPDX produit par votre build Yocto, et cra report l'inclut.

Yocman rend-il mon produit conforme au CRA ?

Non, et aucun outil ne le peut à lui seul. La conformité est une évaluation juridique de l'ensemble de votre produit et de vos processus. Yocman fournit les preuves côté build — CVE, SBOM, secrets, durcissement — sur lesquelles une évaluation s'appuie, et signale clairement ce qui est hors périmètre du build.

Le CRA s'applique-t-il aux logiciels open source ?

Les logiciels open source développés ou fournis hors d'une activité commerciale sont largement hors périmètre, mais un fabricant qui met sur le marché un produit contenant des composants open source est responsable de ce produit. Utiliser le Yocto Project ne change pas vos obligations.

Cyber Resilience Act

Le Cyber Resilience Act pour votre Linux embarqué, en un rapport

Le Cyber Resilience Act européen rend obligatoires la gestion des vulnérabilités, un SBOM et les mises à jour de sécurité pour les produits comportant des éléments numériques. Yocman transforme votre build Yocto en preuves côté build — CVE non corrigées, secrets embarqués, SBOM, durcissement — avec une seule commande.

Commencer gratuitement Lire le guide cra report

Les échéances approchent

11 sept. 2026
Début du signalement des vulnérabilités activement exploitées et des incidents graves.
11 déc. 2027
Toutes les exigences essentielles s'appliquent aux produits mis sur le marché de l'UE.

yocman cra report

$ yocman cra report --format md -o cra.md

Build-side readiness 4/6 provable areas with no gap, 1 gap, 1 to review

Gap Known vulnerabilities CVE-2099-0101 (CVSS 9.8) in openssl

Review SBOM SPDX present, 2 components unmatched

No gap Confidentiality no embedded secret

No gap Minimal attack surface no telnet, no empty password

Manual Update mechanism · Disclosure document your policy (out of build scope)

✓ wrote cra.md

Build de démonstration ; les identifiants de CVE sont fictifs.

Ce qu'impose le CRA

Le CRA (règlement (UE) 2024/2847) couvre presque tout produit comportant des éléments numériques vendu dans l'UE — y compris les dispositifs embarqués et IoT. Les fabricants doivent livrer des produits sans vulnérabilité exploitable connue, tenir une nomenclature logicielle (SBOM), fournir des mises à jour de sécurité, et gérer et divulguer les vulnérabilités tout au long de la vie du produit.

Pas de vulnérabilité exploitable connue à la mise sur le marché
Une nomenclature logicielle (SBOM)
Des mises à jour de sécurité, sécurisé par défaut, surface d'attaque minimale
Gestion des vulnérabilités, divulgation coordonnée et documentation

Chaque exigence, reliée à une preuve issue de votre build

yocman cra report réutilise les analyses que vous lancez déjà et réorganise leurs constats par domaine d'exigence du CRA, avec un statut, la preuve et la commande qui l'atteste.

Exigence du CRA (Annexe I)	Ce que Yocman prouve depuis votre build	Commande
Vulnérabilités connues	CVE non corrigées dans l'image livrée, par CVSS	yocman cve
Nomenclature logicielle	SBOM SPDX présent et cohérent avec l'image	yocman sbom
Confidentialité des données	Aucune clé privée, jeton ou mot de passe embarqué dans le rootfs	yocman secrets
Surface d'attaque minimale	Pas de service non sûr, de mot de passe vide ni de compte root en trop	yocman services · users
Durcissement	Le .config du noyau face à une liste de durcissement	yocman kernel-audit
Documentation des composants	Licences et obligations de fourniture des sources	yocman licenses

Ce que Yocman ne prétend pas

Yocman fournit les preuves côté build. Il ne certifie pas la conformité, et certaines obligations du CRA ne se prouvent pas depuis un build — le rapport les signale clairement au lieu de faire semblant.

C'est une preuve pour un audit, pas une évaluation de conformité ni un marquage CE
Votre mécanisme de mise à jour (signature, rollback, distribution) reste de votre ressort
La politique de divulgation, le point de contact et la documentation utilisateur sont à votre charge

Générez votre rapport de preuves CRA

Plan gratuit inclus, sans carte bancaire. Pointez-le vers votre build et obtenez un rapport Markdown à joindre à votre dossier.

$pipx install yocman

Commencer gratuitement

FAQ Cyber Resilience Act

À qui s'applique le Cyber Resilience Act ?: Aux fabricants, importateurs et distributeurs qui mettent sur le marché de l'UE des produits comportant des éléments numériques — matériel et logiciel pouvant se connecter à un appareil ou à un réseau, ce qui inclut la plupart des produits embarqués et IoT.
Quand le CRA entre-t-il en vigueur ?: Il est entré en vigueur en 2024. Les obligations de signalement des vulnérabilités et incidents s'appliquent à partir du 11 septembre 2026, et toutes les exigences essentielles à partir du 11 décembre 2027.
Le CRA exige-t-il un SBOM ?: Oui. Les fabricants doivent identifier et documenter les composants de leurs produits dans une nomenclature logicielle. La commande sbom de Yocman vérifie le SBOM SPDX produit par votre build Yocto, et cra report l'inclut.
Yocman rend-il mon produit conforme au CRA ?: Non, et aucun outil ne le peut à lui seul. La conformité est une évaluation juridique de l'ensemble de votre produit et de vos processus. Yocman fournit les preuves côté build — CVE, SBOM, secrets, durcissement — sur lesquelles une évaluation s'appuie, et signale clairement ce qui est hors périmètre du build.
Le CRA s'applique-t-il aux logiciels open source ?: Les logiciels open source développés ou fournis hors d'une activité commerciale sont largement hors périmètre, mais un fabricant qui met sur le marché un produit contenant des composants open source est responsable de ce produit. Utiliser le Yocto Project ne change pas vos obligations.

Références officielles

Cette page est une information générale, pas un conseil juridique. Yocman est un outil indépendant, non affilié à l'Union européenne, à l'ENISA, au Yocto Project ni à la Linux Foundation, et non approuvé par eux. Yocto Project® est une marque de The Linux Foundation.