Cyber Resilience Act · Règlement (UE) 2024/2847
Quand une faille est exploitée, sachez quels clients sont touchés.
Vulnward relie chaque faille exploitée aux versions installées chez vos clients, prépare l'alerte ENISA dans les délais du Cyber Resilience Act, prévient uniquement les clients concernés et prouve chaque étape par un horodatage qualifié eIDAS.
Exécution de code à distance dans parsekit 2.4.1
Atlas Desktop 5.0 → 5.2 · 17 clients touchés sur 52 · FR, BE, LU, DE
Prise de connaissance confirmée le jeu. 12 nov., 08:50 (Paris) et horodatée par un prestataire qualifié. Avis prêt pour les 17 clients concernés.
Aperçu du produit en construction · données fictives
Le calendrier
L'obligation de signalement est déjà en vigueur.
Depuis le 11 septembre 2026, y compris pour les produits vendus avant cette date. La conformité totale suit le 11 décembre 2027.
Tout produit logiciel ou matériel connecté vendu dans l'UE.
Alerte précoce 24 h, notification 72 h, rapport final.
Sans conformité, un produit ne peut plus être mis sur le marché européen.
Notre différence
Les autres outils vous parlent de CVE. Vulnward vous parle de vos clients.
Générer un SBOM et surveiller les CVE, beaucoup d'outils le font. Le jour où une faille est exploitée, la vraie question est ailleurs : qui est exposé, l'avez-vous prévenu, et pouvez-vous le prouver ?
Qui est touché
Votre parc installé, importé depuis vos systèmes : « 17 clients touchés sur 52 », avec leurs versions et leurs pays.
Clients prévenus
Un avis relu par vous, envoyé aux seuls clients concernés, dans leur langue. Vous voyez qui l'a lu et qui a appliqué le correctif.
Preuve opposable
L'heure de votre prise de connaissance et chaque envoi sont horodatés par un prestataire qualifié eIDAS, avec une présomption d'exactitude dans toute l'UE.
Exercice CRA
On simule une faille exploitée un vendredi à 18 h. Vous mesurez vos temps de réaction et gardez un rapport horodaté.
Comment ça marche
Quatre étapes, aucune équipe à recruter.
Connecter
Votre CI envoie un SBOM à chaque release. Votre parc client s'importe depuis votre serveur de licences, votre CRM ou un simple tableur.
Relier
Chaque faille exploitée est rapprochée des versions installées : vous voyez quels clients sont touchés, pas une liste de CVE.
Notifier
Alerte précoce, notification et rapport final préparés avec comptes à rebours. Avis envoyé aux seuls clients concernés, dans leur langue.
Prouver
Prise de connaissance, décisions et envois horodatés par un prestataire qualifié eIDAS. Tout est archivé pour votre dossier 2027.
Une étape dans votre workflow.
L'action Vulnward génère le SBOM dans votre CI avec des outils éprouvés (Syft, cdxgen) ou reprend le vôtre, puis l'envoie avec le jeton OIDC de GitHub. Seuls le SBOM et les manifestes sortent ; jamais votre code.
Obligations
Ce que le CRA exige, ce que Vulnward prend en charge.
Chaque fonctionnalité répond à un article ou une annexe du règlement. Rien de plus.
| Obligation CRA | Réponse Vulnward |
|---|---|
| Inventaire des composants (SBOM) | Un SBOM CycloneDX ou SPDX à chaque release, depuis votre CI, avec les outils que vous utilisez déjà. |
| Gestion des vulnérabilités | Veille continue sur EUVD, OSV, NVD et le catalogue KEV, pour chaque version encore installée chez vos clients. |
| Signalement 24 h · 72 h · rapport final | Alerte dès qu'une faille exploitée touche une version installée ; notifications pré-remplies pour la plateforme de l'ENISA, États membres proposés depuis votre parc. |
| Information des utilisateurs (art. 14(8)) | Avis envoyé aux seuls clients concernés, dans leur langue, avec suivi de lecture et d'application du correctif. |
| Priorisation des failles | Triage assisté : la faille est-elle atteignable dans votre code ? Statut VEX justifié, validé par vos équipes. |
| Documentation technique (annexe VII) | Un dossier de conformité qui se constitue release après release. |
Nos engagements
Nous garderons la liste de vos failles. Nous la traiterons comme telle.
Hébergement en France
Le produit sera hébergé chez Scaleway, à Paris. Sous-traitants listés publiquement.
Votre liste de clients protégée
Mode pseudonyme possible ; noms et contacts chiffrés, jamais envoyés à l'IA.
Code chez vous
Seuls les manifestes et le SBOM quittent votre CI.
IA sous contrôle
L'IA propose, vos équipes décident. Chaque proposition est tracée.
Programme pionnier · 10 éditeurs
Rejoignez les éditeurs pionniers.
Vulnward se construit avec un groupe restreint d'éditeurs de logiciels. Premiers accès : début 2027.
- Diagnostic CRA de 30 minutes offert : on simule une faille exploitée un vendredi à 18 h, vous repartez avec un plan d'action écrit
- Accès anticipé et tarif fondateur garanti
- Ligne directe avec le fondateur pour orienter la feuille de route
Réponse sous 24 h ouvrées
Questions fréquentes
Vulnward outille ; il ne remplace pas un conseil juridique.
Mon produit est-il concerné par le CRA ?
Le CRA vise les produits comportant des éléments numériques mis sur le marché européen : logiciels installés, applications desktop et mobiles, logiciels embarqués, objets connectés. Un service purement SaaS relève principalement de la directive NIS2. Le diagnostic sert justement à trancher produit par produit.
Est-ce que Vulnward lit mon code source ?
Non. Le SBOM est généré dans votre propre CI ; seuls le SBOM, les manifestes de dépendances et les métadonnées de release sont envoyés. Votre code ne quitte jamais votre infrastructure.
Faut-il installer quelque chose chez mes clients ?
Non. Votre parc installé s'importe depuis ce que vous avez déjà : serveur de licences ou de mises à jour, CRM, tableur. Vous pouvez même n'utiliser que des références internes (mode pseudonyme).
Qu'est-ce qu'un horodatage qualifié ?
Un horodatage délivré par un prestataire de confiance qualifié au sens du règlement européen eIDAS. Il bénéficie d'une présomption d'exactitude de la date et de l'heure dans toute l'UE. Vulnward ne lui transmet qu'une empreinte de vos documents, jamais leur contenu.
Vulnward soumet-il les notifications à ma place ?
Non. Vulnward prépare chaque notification (champs pré-remplis, contrôle de complétude, export), puis vous la soumettez vous-même sur la plateforme unique de signalement de l'ENISA. Nous archivons la preuve. Aucun envoi à une autorité ne se fait sans vous.
Que se passe-t-il si je suis une petite entreprise ?
Les micro et petites entreprises ne sont pas sanctionnées pour le seul non-respect du délai de 24 heures de l'alerte précoce, mais elles restent tenues de signaler. Les entreprises moyennes et grandes relèvent du régime complet.
Quand le produit sera-t-il disponible ?
Vulnward se construit avec un groupe restreint d'éditeurs pionniers. Les premiers accès sont prévus début 2027, bien avant l'échéance du 11 décembre 2027.
Où seront hébergées mes données ?
Le produit sera hébergé en France, chez Scaleway à Paris. Le détail de nos sous-traitants est publié sur la page Sécurité.