CRA et Open Source : la version 2.1 du guide CNLL × inno³ est disponible !
Ce 11 septembre 2026, les obligations de notification des vulnérabilités activement exploitées et des incidents graves affectant la sécurité des produits deviennent applicables aux fabricants concernés. L’application générale du règlement reste fixée au 11 décembre 2027. Pour accompagner cette étape, nous publions avec le CNLL une nouvelle version du guide « Être prêt pour intégrer le Cyber Resilience Act dans sa pratique Open Source », dans le prolongement du travail collectif engagé en 2024.
Cette révision intègre les orientations publiées par la Commission européenne en juillet 2026 et prolonge nos analyses récentes sur leur portée et sur la qualité des nomenclatures logicielles (SBOM).
L’objectif : aider chaque organisation à traduire les exigences du CRA dans ses pratiques, en tenant compte de son rôle et de ses activités.
→ Se situer : qualifier les produits et leurs modalités de fourniture, distinguer les responsabilités des fabricants, des distributeurs et des intendants de logiciels ouverts, sans assimiler toute contribution Open Source à une activité commerciale.
→ Organiser les notifications : identifier les événements à signaler, les destinataires et les délais, préparer le dépôt sur la plateforme européenne et l’information des utilisateurs. → Construire une conformité vérifiable : relier les SBOM aux produits effectivement livrés, évaluer les risques et structurer les processus et les preuves, avec une méthode de travail en six étapes.
Le fil conducteur reste le même : la conformité ne se résume pas à produire des documents. Il s’agit de s’appuyer sur les pratiques existantes, de rapprocher cybersécurité et gouvernance Open Source, et de pouvoir démontrer ce qui a réellement été mis en œuvre.
L’enjeu est aussi collectif : renforcer la sécurité des produits tout en soutenant les projets dont ils dépendent, sans reporter indistinctement les obligations des fabricants sur les communautés et les mainteneurs.
📄 Consulter le guide et ses ressources : https://code.inno3.eu/commons-studies/guide-cra/
Le guide est diffusé sous licence CC BY-SA 4.0. N’hésitez à le commenter. Il est conçu pour être partagé, réutilisé et amélioré : vos retours d’expérience et vos contributions nourriront ses prochaines évolutions.
Merci au CNLL et à l’ensemble des personnes qui contribuent à ce travail collectif.
