Pour qui, concrètement
Trois situations où la preuve est demandée avant l’incident.
L’éditeur de logiciel installable avec un distributeur allemand
Le distributeur demande, avant le renouvellement, la preuve d’un processus de gestion des vulnérabilités et de notification. Le CTO répond aujourd’hui par un document Word et une semaine de travail. Avec PREVORN : un pack CRA Readiness scellé, que le distributeur vérifie lui-même depuis la page Vérifier une preuve.
Le fabricant d’un appareil connecté industriel
Plusieurs familles de produits, des firmwares tiers, un SBOM incomplet. Les CVE tombent sur des composants embarqués que personne ne surveille. Avec PREVORN : inventaire produits, SBOM CycloneDX re-scanné chaque jour, alerte sur les vulnérabilités activement exploitées, chronologie scellée si l’une d’elles touche un produit.
L’éditeur hybride, avec un agent installé chez le client
Le composant installé dépend du back-end : la Commission considère l’ensemble comme un produit avec éléments numériques. Avec PREVORN : qualification documentée du périmètre, workflow de notification prêt avant la première alerte, preuve datée de la préparation.
Enquête ENISA auprès des PME européennes, 2026 : 42 % disent peiner sur la documentation, 13 % se disent confiantes sur la documentation technique, une entreprise sur cinq ignore si le règlement s’applique à elle.
SBOM en continu
Inventaire logiciel (CycloneDX) généré puis re-scanné quotidiennement contre les bases de vulnérabilités, avec priorité aux vulnérabilités activement exploitées (catalogue KEV).
Workflow Art. 14 guidé
Machine à états avec timers et escalades : qualification assistée, documents de notification pré-formatés, personne ne réinvente la procédure la nuit de l’incident.
Chaque étape scellée
T0, alerte, notification, rapport : horodatés et scellés. Le pack « CRA Incident » prouve au régulateur que les délais ont été tenus.
Pack « CRA Readiness »
Inventaire produits, SBOM à date, politique CVD, processus documenté · la preuve datée que vous étiez en ordre de marche avant l’échéance.
Deux façons de commencer
Le Sprint qualifie. La Chaîne de signalement tient les délais.
Le Sprint est la porte d’entrée : il qualifie votre exposition et livre la preuve datée que vous étiez en ordre de marche. La Chaîne de signalement installe le dispositif qui tient les deux délais · OFCS et ENISA · depuis le même instant de découverte.
Mission ponctuelle · porte d’entrée
Sprint CRA Readiness
dès CHF 14’900 hors TVA · prix ferme après cadrage
Qualification du périmètre CRA, cartographie des écarts, revue des SBOM, préparation du workflow de notification, Evidence Pack de readiness.
Cadrage puis dispositif continu
Chaîne de signalement CRA + LSI
Sur cadrage · proposition ferme selon votre périmètre
Qualification de votre assujettissement, chaîne unique vers les deux destinataires, modèles de notification pré-formatés, exercices à blanc, chaque étape horodatée et scellée.
Avant l’échéance
Inventaire des produits, premier SBOM, politique CVD, rôles de notification nommés : le pack « Readiness » date ce qui est en place.
11.09.2026
L’obligation s’applique. Vous notifiez dans les délais · et vous pouvez le prouver.
11.12.2027
Les exigences principales du règlement s’appliquent : SBOM, gestion des vulnérabilités, cycle de vie. Chaque obligation devient une preuve datée.

