Le CRA ne crée pas seulement une échéance.
Il change la durée de la responsabilité cyber du produit.
Pour un fabricant, le Cyber Resilience Act ne se résume pas à une liste d'exigences à cocher avant la mise sur le marché. Il demande de comprendre le produit, d'évaluer ses risques, de gérer les vulnérabilités, de maintenir les informations pendant la période de support et de pouvoir réagir lorsque le contexte change. VAST aide à structurer cette continuité autour du produit et de ses versions.
Les premières obligations arrivent avant l'application générale du règlement.
Les obligations CRA de notification concernant notamment les vulnérabilités activement exploitées et les incidents graves commencent à s'appliquer.
Les principales dispositions du Cyber Resilience Act deviennent applicables.
Le point de départ du CRA est aussi le point de départ de VAST : connaître précisément le produit.
Avant de traiter une vulnérabilité, maintenir une analyse de risque ou produire une documentation technique, le fabricant doit pouvoir identifier ses produits, leurs versions et les composants qui les constituent. Cette connaissance devient particulièrement importante lorsque plusieurs générations ou variantes partagent les mêmes dépendances.
Dans VAST, les Projects et Assets structurent ce périmètre. L'Asset Inventory rassemble la composition Hardware et Software/SBOM, mais aussi les applications, comptes, données, interconnexions, outils et mécanismes d'update utiles pour comprendre le produit. Le versioning conserve ensuite le lien entre cette connaissance et l'état réellement livré.
Cette base permet d'aborder les obligations de suivi, de vulnerability handling, de Risk Assessment et de documentation avec un produit déjà identifié et contextualisé.
à intégrer
Le Risk Assessment doit rester compréhensible lorsque le produit évolue.
Une analyse de risque utile ne contient pas seulement un niveau de risque final. Elle doit permettre de retrouver le contexte produit, les événements redoutés, les scénarios examinés, les hypothèses, les décisions et les traitements qui expliquent le résultat.
VAST structure et versionne cette analyse autour de l'Asset. Lorsqu'une version change, qu'une vulnérabilité modifie l'exposition ou qu'une information de menace devient pertinente, les équipes peuvent identifier ce qui mérite une nouvelle revue sans perdre l'historique des décisions précédentes.
La plateforme aide ainsi à maintenir l'analyse dans le temps tout en laissant les décisions de risque aux personnes responsables.
à intégrer
Le CRA demande de gérer les vulnérabilités pendant la vie du produit, pas seulement de les détecter.
Recevoir une CVE n'est que le début. Il faut savoir quels produits sont concernés, analyser l'applicabilité, décider de la réponse, suivre le traitement et conserver la justification. Pour un portefeuille de plusieurs produits et versions, cette chaîne devient rapidement difficile à piloter si chaque étape vit dans un outil différent.
VAST relie la vulnérabilité au produit et à sa version, centralise l'investigation et la décision VEX, puis suit le traitement et son historique. Les équipes peuvent ainsi revenir sur une décision, comprendre le contexte qui l'a produite et réexaminer la situation si le produit évolue.
à intégrer
Lorsque le délai compte, la première question est toujours la même : quels produits sont réellement concernés ?
Une vulnérabilité activement exploitée, un incident grave ou un problème supply-chain peut exiger une réaction rapide. Avant de préparer une notification ou une communication, l'organisation doit être capable d'identifier son périmètre : produits, versions, composants et clients potentiellement concernés.
La recherche transverse VAST aide à explorer ce périmètre depuis une bibliothèque, une CVE, un composant ou une technologie. Les résultats restent reliés au contexte produit, ce qui permet d'engager immédiatement l'investigation au lieu de consacrer les premières heures à retrouver les bonnes équipes et les bons fichiers.
VAST ne remplace pas la responsabilité réglementaire du fabricant et ne doit pas être présenté comme réalisant automatiquement la notification. Il aide à réunir et structurer l'information nécessaire pour agir.
à intégrer
La mise sur le marché n'est plus la fin de l'histoire cyber.
Pendant la période de support, le produit continue à recevoir des versions, les dépendances continuent à évoluer et de nouvelles vulnérabilités continuent à être publiées. La connaissance cyber doit donc rester exploitable après la livraison initiale.
VAST conserve l'évolution de l'Asset, des vulnérabilités, des Risk Assessments, des traitements et des décisions. Lorsqu'un élément du contexte change, les équipes peuvent retrouver ce que cela affecte et maintenir une continuité de décision au lieu de reconstruire l'historique du produit à chaque incident.
à intégrer
La documentation est plus facile à produire quand les preuves ont été maintenues pendant le travail réel.
La documentation technique CRA s'appuie sur des informations qui existent déjà dans le fonctionnement de la cybersécurité produit : description et version du produit, composants, analyse de risque, vulnerability handling, mesures mises en place, essais et autres éléments de preuve.
VAST aide à structurer et conserver une partie de cette information au fil du cycle de vie. Les rapports peuvent ensuite être produits depuis un état connu et traçable, plutôt que depuis une collecte urgente répartie entre plusieurs équipes.
L'objectif n'est pas de transformer VAST en « générateur magique de conformité ». L'objectif est que les informations nécessaires soient plus faciles à retrouver, à justifier et à maintenir.
à intégrer
Ce qu'on nous demande
sur le CRA et VAST
VAST génère des rapports structurés et versionnés (SBOM, analyse de risque, décisions, VEX) qui constituent une base solide pour les livrables CRA. La forme finale peut être adaptée selon le contexte réglementaire de chaque fabricant.
Non. VAST accompagne aussi bien les équipes qui démarrent leur démarche que celles qui souhaitent structurer ou consolider une démarche existante. Le point de départ peut être un simple inventaire de composants.
VAST applique une logique de partage contrôlé : les rapports destinés aux auditeurs ou régulateurs sont générés avec un niveau de détail configurable — informations de conformité et de décision partagées, détails d'architecture interne préservés.
Le CRA s'applique aux produits comportant des éléments numériques mis sur le marché de l'UE — logiciels et matériels connectés. Les obligations varient selon la criticité du produit. Nous pouvons échanger sur votre périmètre spécifique lors d'une démonstration.
VAST accompagne la démarche. Il ne certifie pas le produit.
VAST aide les fabricants à structurer la connaissance produit, maintenir les Risk Assessments, gérer les vulnérabilités, suivre les traitements, analyser l'impact dans le portefeuille et produire des vues et preuves utiles.
La conformité d'un produit dépend toutefois de l'architecture, des mesures techniques et organisationnelles, des tests, de la documentation, des obligations applicables et de la procédure d'évaluation de conformité correspondante. Ces responsabilités restent celles du fabricant et, selon le cas, des organismes compétents.
Cette distinction doit rester visible : VAST rend le travail plus pilotable et plus traçable ; il ne transforme pas une plateforme logicielle en certificat de conformité.
Prêt à structurer votre démarche CRA ?
Discutons de votre périmètre produit et de comment VAST peut vous aider à être prêt — et à le prouver.