Votre SBOM doit être surveillée après la livraison

Une SBOM livrée avec votre produit décrit un instant précis. Le risque, lui, continue d'évoluer après coup.

Une liste figée à un instant donné

L’annexe I, partie II, point 1 du règlement demande une SBOM qui couvre au moins les dépendances de premier niveau. Ce point entre en vigueur avec le reste du règlement, le 11 décembre 2027, et pas avant.

Mais l’article 14, lui, s’applique déjà depuis le 11 septembre 2026. Si une de vos dépendances devient activement exploitée, la date d’obligation arrive avant la date de l’annexe I. Une SBOM à jour aide à voir venir ce moment, même sans y être encore obligé.

Ce que l’article 14 regarde

L’article 14 ne vise pas toutes les failles. Il vise celles activement exploitées, au sens de l’article 3, point 42 : des éléments fiables montrent qu’un acteur malveillant a exploité la vulnérabilité dans un système, sans l’autorisation du propriétaire.

Depuis le 11 septembre 2026, si l’une de vos dépendances entre dans ce cas, le compte à rebours démarre à la connaissance, pas à la publication d’un correctif. 24 heures pour l’alerte précoce, 72 heures pour la notification complète, au CSIRT coordinateur et à l’ENISA. Aucune amende n’est attachée à cette obligation avant le 11 décembre 2027, date à laquelle l’article 64 s’applique pleinement.

Un exemple concret

Imaginons Marc, qui a livré son application de facturation en self-hébergé, installée chez ses clients, avec une SBOM à jour ce jour-là. Quelques mois plus tard, une bibliothèque de parsing PDF qu’il utilise entre au catalogue KEV de la CISA : exploitation confirmée, publiquement, avec une date.

Marc n’a pas rouvert sa SBOM depuis la livraison. Il découvre la faille par hasard, des semaines plus tard, en lisant un article. Son compte à rebours de 24 heures démarre ce jour-là, des semaines après la confirmation publique de l’exploitation.

Ce que ça change pour vous

Une liste de dépendances sert à quelque chose seulement si elle est relue après la livraison, pas seulement écrite avant. Le catalogue KEV donne la date où l’exploitation a été confirmée publiquement. La date qui compte pour l’article 14, c’est celle où vous en avez personnellement connaissance, et rien ne garantit qu’elle tombe le même jour.

Avant de s’organiser autour de cette échéance, reste une question plus simple : êtes-vous fabricant au sens du règlement ? Le test de périmètre y répond en deux minutes, avec les articles cités à chaque réponse : https://crakit.eu/fr/champ-d-application/

Ce n’est pas un conseil juridique.

Ce n’est pas un conseil juridique.