Sujet : regulation
-
Préparer la gestion des vulnérabilités CRA d’un fabricant : réception, preuves et délais de notification
Une proposition de protocole de préparation relie la réception des signalements de vulnérabilités et les dossiers de composants à la décision de notification au titre du CRA. Elle distingue l’obligation de notification déjà applicable en 2026 des exigences plus larges de gestion des vulnérabilités applicables en décembre 2027.
-
Notifications CRA depuis septembre 2026 : faits déclencheurs, délais et plateforme de notification unique
Le CRA impose aux fabricants de notifier les vulnérabilités de produits activement exploitées et les incidents graves de sécurité des produits. Les deux procédures comportent des étapes à 24 heures et à 72 heures, mais les délais des rapports finaux partent d’événements différents.
-
Signalement des cyberattaques en Suisse et CRA : des obligations distinctes pour les exploitants et les fabricants de produits
Le signalement suisse relatif aux infrastructures critiques concerne les cyberattaques répondant aux critères légaux qui touchent les exploitants assujettis. Le CRA concerne les fabricants de produits fournis sur le marché de l’UE, y compris les fabricants suisses ; la similitude des premiers délais ne rend pas les destinataires ni les faits déclencheurs interchangeables.
-
CRA et open source : distinguer contributeurs, fabricants et intendants de logiciels
Une licence open source ne suffit pas à déterminer les obligations au titre du CRA. Le règlement distingue la fourniture commerciale de produits, les contributions à des logiciels hors de la responsabilité du contributeur et le soutien durable assuré par les intendants de logiciels libres et ouverts, dont les obligations de l’article 24 débutent en décembre 2027.
Lisible par machine : JSON