Questions fréquentes

Le règlement

Le CRA s'applique-t-il à moi ?

Si vous mettez sur le marché de l'Union européenne un logiciel ou un produit comportant des éléments numériques, dans le cadre d'une activité commerciale, probablement oui. Le questionnaire d'éligibilité pose les quatre questions du règlement et cite l'article dont chacune découle. Il ne vaut pas avis juridique.

À partir de quand ?

Les obligations de signalement de l'article 14 s'appliquent depuis le 11 septembre 2026. Le reste du règlement s'applique le 11 décembre 2027.

Que dois-je signaler, et en combien de temps ?

Une vulnérabilité activement exploitée dans votre produit, ou un incident grave ayant une incidence sur sa sécurité. Trois étapes : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous 14 jours après la mise à disposition d'un correctif — ou un mois après la notification pour un incident grave.

D'où partent ces 24 heures ?

De la prise de connaissance par le fabricant, pas de la découverte par un outil. C'est vous qui déclarez cette date dans Craetics ; elle est horodatée, attribuée et auditée, et l'écart avec la détection automatique figure dans le dossier d'incident. C'est la première question d'un auditeur.

L'outil

Craetics me rend-il conforme ?

Non, et aucun outil ne le peut. Il tient l'inventaire, surveille les failles publiées, calcule les échéances et conserve les preuves. La qualification de vos produits, le contenu de vos déclarations et leur dépôt auprès de l'autorité restent les vôtres.

Déposez-vous les signalements à ma place ?

Non. La transmission se fait sur la plateforme unique prévue à l'article 16. Craetics enregistre ce que vous avez envoyé et quand, et le rappelle sur chaque formulaire.

Pourquoi certaines alertes sont-elles « incertaines » ?

Parce qu'on ne sait pas situer votre version dans les bornes de l'avis. Une question ouverte présentée comme « non affecté » serait exactement la défaillance que ce produit existe pour empêcher, donc elle lève une alerte, marquée comme telle.

L'absence d'alerte signifie-t-elle que je n'ai rien ?

Non. Les sources publiques ne sont ni exhaustives ni instantanées, et un composant sans identifiant de paquet est signalé non surveillable plutôt que compté comme sain.

Quels formats de SBOM acceptez-vous ?

CycloneDX et SPDX, en JSON. Le document est conservé octet pour octet : une re-sérialisation invaliderait son empreinte, et c'est ce document-là que vous produirez à une autorité.

Comment déposer un SBOM automatiquement ?

Depuis votre chaîne d'intégration. Des modèles prêts à l'emploi sont fournis pour GitHub Actions et GitLab CI, et l'API accepte un dépôt authentifié par jeton.

Vos données

Voyez-vous le contenu de mes nomenclatures ?

Non. Un opérateur de la plateforme ne voit que des métadonnées : offre, compteurs, dates. Lire le contenu d'une organisation exige que vous accordiez vous-même un accès nominatif, motivé, limité à 72 heures, révocable, et inscrit à votre journal d'audit. Nous ne pouvons pas nous l'octroyer.

Où sont hébergées mes données ?

Chez Infomaniak. Le détail des traitements, des sous-traitants et des transferts figure dans la politique de confidentialité.

Puis-je récupérer mes données ?

À tout moment et sans nous le demander. L'export du dossier de contrôle produit une archive dont chaque fichier porte son empreinte SHA-256 ; les SBOM y figurent tels que vous les avez déposés. Elle se lit sans cet outil.

Que se passe-t-il si je supprime mon organisation ?

Elle est immédiatement retirée du service, puis définitivement effacée trente jours plus tard — produits, SBOM, constats, incidents et journal d'audit compris. Exportez votre dossier avant : il devient inatteignable dès le retrait.

Offres et facturation

Les offres se distinguent-elles par la conformité ?

Jamais. Tout ce que la loi exige est dans toutes les offres : surveillance, procédure d'incident complète, journal d'audit, dossier de contrôle, VEX, conservation dix ans, dépôt depuis votre CI. Elles se distinguent par le volume et le confort.

Que se passe-t-il si je change d'offre à la baisse ?

Rien n'est supprimé et rien ne s'éteint le jour même. Vous avez quatorze jours pour choisir quels produits restent surveillés et qui garde un siège. Les produits mis de côté sont archivés : leurs données restent lisibles et exportables, mais ils ne sont plus surveillés.

Et si je cesse de payer ?

Vos données restent accessibles en lecture et votre dossier reste exportable pendant trente jours. Ce qui s'arrête, c'est l'ajout de produits et de collaborateurs. Transformer un incident de facturation en incident réglementaire n'est pas un levier que nous actionnons.

Mes coordonnées bancaires transitent-elles par Craetics ?

Non. Aucun champ de carte n'existe dans l'application : le paiement se fait sur les serveurs de notre prestataire, et nous ne voyons jamais votre numéro.