Organisation

La conformité au CRA n’échoue presque jamais sur la technique. Elle échoue sur l’organisation : personne n’est propriétaire de la décision de signaler, le dossier technique est constitué après la mise sur le marché, et les SBOM sont générés mais jamais agrégés.

Cette section fixe qui fait quoi, avec quel outillage et selon quel calendrier.

Le point de départ

Une seule page conditionne la compréhension du reste : Générer et piloter. Elle distingue la génération technique du SBOM au niveau de l’application — dans la chaîne CI/CD, à chaque build — et la centralisation pour le pilotage au niveau de l’organisation, dans une plateforme qui réévalue le portefeuille en continu.

Le CRA exige les deux. L’annexe I, partie II, point 1 impose l’inventaire ; les points 2, 3, 4 et 7 imposent un processus continu, qu’un fichier posé à côté d’un artefact ne peut pas démontrer.

Les trois arbitrages à trancher explicitement

Ils relèvent du comité, pas d’une équipe :

1. Qui décide de signaler sous 24 heures ? Et qui décide en son absence, un dimanche ?
2. Qui a le droit de veto sur la mise sur le marché lorsque le dossier technique est incomplet ?
3. Qui arbitre entre « corriger » et « documenter en VEX » lorsque les deux sont défendables ?

Tant que ces trois réponses ne sont pas écrites, la conformité repose sur des personnes, pas sur un processus — et ne survivra pas au premier départ.

Les pages de cette section

Elles se lisent dans l’ordre : le principe d’outillage, l’architecture qui en découle, la répartition des rôles, les instances qui décident, le contrat d’interface entre les deux équipes, les indicateurs qui mesurent, et la feuille de route qui séquence.