Ce que le CRA exige du SBOM
Le texte
Annexe I, partie II, point 1 — Les fabricants de produits comportant des éléments numériques recensent et documentent les vulnérabilités et les composants contenus dans ces produits, notamment en établissant une nomenclature logicielle dans un format couramment utilisé et lisible par machine, couvrant au minimum les dépendances de premier niveau des produits.
Le décryptage
« format couramment utilisé »
En pratique, deux formats répondent au critère : CycloneDX et SPDX. Tous deux sont normalisés, largement outillés et interopérables.
Un tableur, une liste dans un document, un export propriétaire d’une plateforme ne sont pas des formats couramment utilisés au sens de l’exigence.
« lisible par machine »
JSON, XML, YAML, tag-value. Un PDF n’est pas lisible par machine, même s’il contient un tableau. Le critère n’est pas la lisibilité par un humain mais la capacité d’un programme à en extraire des données structurées sans heuristique.
« au minimum les dépendances de premier niveau »
C’est un plancher légal, pas une cible.
Les dépendances de premier niveau sont celles que vous déclarez explicitement. Les dépendances transitives — celles que vos dépendances entraînent avec elles — sont généralement dix à cent fois plus nombreuses, et c’est par elles que passent la plupart des incidents de chaîne d’approvisionnement.
Un SBOM limité au premier niveau satisfait la lettre de l’exigence et manque son objet. La position à tenir est la profondeur complète, avec la distinction explicite entre direct et transitif — voir Qualité et complétude.
Faut-il publier le SBOM ?
Non. Le règlement n’impose pas la publication du SBOM. Il impose qu’il figure dans le dossier technique, tenu à la disposition des autorités de surveillance du marché.
Sa communication aux clients relève d’une décision commerciale et contractuelle, traitée dans Diffusion et confidentialité.
L’annexe II prévoit en revanche que les informations à l’utilisateur indiquent, le cas échéant, où le SBOM peut être obtenu — ce qui suppose d’avoir tranché la question.
Ce que la Commission peut encore préciser
Le règlement habilite la Commission à spécifier, par acte d’exécution, le format et les éléments de la nomenclature logicielle. Un tel acte fixerait un socle commun et réduirait l’incertitude actuelle sur le niveau de détail attendu.
Conséquence sur vos choix. Produire dès aujourd’hui un SBOM riche — profondeur complète, licences, empreintes, relations — est la position robuste : un acte d’exécution ultérieur ne demandera jamais moins que ce que les formats standards permettent déjà d’exprimer.
La chaîne à retenir
SBOM → dossier technique (annexe VII) → déclaration UE de conformité (annexe V) → marquage CE → droit de commercialiser dans l’Union.
C’est la formulation à employer côté Juridique. Elle transforme le SBOM d’un sujet d’ingénierie en un prérequis d’accès au marché.
Ce qui accompagne nécessairement le SBOM
Le point 1 de l’annexe I, partie II, ne vit pas seul. Un SBOM sans les points 2 à 8 ne démontre rien : il faut aussi traiter les vulnérabilités identifiées, publier les avis, tenir une politique CVD et diffuser les correctifs. Voir Traitement des vulnérabilités.