CRA SBOM Fondamentaux

À qui cela s'adresse

Chefs de produit, ingénieurs logiciels, responsables sécurité et responsables conformité dans les entreprises qui fabriquent ou distribuent des produits comportant des éléments numériques dans l'UE. Toute équipe qui doit satisfaire aux obligations SBOM de l'annexe I, partie II, point 1, du CRA ou aux exigences de notification des vulnérabilités de l'article 14.

Ce que vous saurez faire

Expliquer l'obligation SBOM de l'annexe I, partie II, point 1, du CRA, identifier les champs requis dans une entrée de composant d'un SBOM, distinguer les dépendances de premier niveau des dépendances transitives et pourquoi les bonnes pratiques couvrent les deux, choisir entre CycloneDX et SPDX selon votre cas d'usage, générer un SBOM à partir d'un pipeline CI/CD, exécuter une surveillance automatisée des vulnérabilités sur un SBOM et documenter les décisions de notification de l'article 14 avec des déclarations VEX. Structuré en 5 modules :

Pourquoi est-ce gratuit ?

L'obligation SBOM du CRA concerne chaque fabricant de produits comportant des éléments numériques vendus dans l'UE. La plupart des orientations sont enfouies dans des textes réglementaires et des projets de normes. Nous avons construit ce cours afin que chaque équipe produit puisse comprendre et mettre en œuvre ses obligations au titre de l'annexe I, partie II, point 1, du CRA sans payer de consultant.

Ce cours et son certificat restent gratuits, tout comme le wiki et l'auto-hébergement : le même code source (AGPL-3.0) sur vos propres serveurs. Le parcours guidé NIS 2 sur nisd2.eu, qui vous guide pas à pas dans la mise en œuvre, coûte 4 800 € HT par an.