Ce guide transforme les exigences réglementaires complexes en une série d'étapes pratiques que les organisations peuvent intégrer à leurs processus de développement logiciel et de sécurité. Il les aide à évaluer leur niveau de préparation, à identifier les composants logiciels libres utilisés dans leurs produits, à gérer les vulnérabilités et à documenter la manière dont les risques de sécurité sont traités.

Cette annonce intervient alors que les premières obligations imposées par le CRA sont mises en œuvre. À compter du 11 septembre 2026, les fabricants devront signaler activement les vulnérabilités exploitées et les incidents de sécurité graves affectant les produits intégrant des éléments numériques et commercialisés dans l'Union européenne. Ces exigences du CRA seront prolongées jusqu'au 11 décembre 2027.

Le déploiement initial de la plateforme d'auto-évaluation OCCTET a mis en évidence un problème répandu : de nombreuses PME mettent en œuvre des mesures de sécurité, mais manquent de visibilité, de documentation et de processus cohérents pour démontrer comment elles gèrent les risques logiciels.

« Les organisations disposant de ressources limitées en matière de conformité sont confrontées à des difficultés importantes pour se préparer à la mise en œuvre du CRA », a déclaré Mike Milinkovich, directeur exécutif de la Fondation Eclipse. OCCTET simplifie le processus en fournissant des outils qui aident les entreprises à comprendre leurs obligations, à identifier et corriger les vulnérabilités, et à conserver les documents nécessaires à la conformité.

Une solution pratique, de l'évaluation à la mise en œuvre :
la suite d'outils OCCTET regroupe plusieurs services qui accompagnent les organisations, de l'évaluation initiale à la gestion des vulnérabilités et à la documentation.

Les PME et les projets de logiciels libres peuvent désormais accéder aux services suivants et les tester :
Évaluation de la préparation : le portail d'évaluation CRA aide les PME à comprendre comment la CRA s'applique à elles, à évaluer leur niveau de préparation actuel et à identifier les axes d'amélioration. Cette évaluation guidée et gratuite traduit les clauses de la CRA en questions structurées, scores et recommandations pratiques.
Identification des composants logiciels : Eclipse Apoapsis (une instance OCCTET) identifie les composants logiciels libres, leurs dépendances et leurs licences à l'aide de l'OSS Review Toolkit et des vulnérabilités connues. Il peut également générer divers rapports et documents de conformité CRA, tels que les nomenclatures logicielles (SBOM), qui fournissent un inventaire standardisé des composants logiciels intégrés à un produit.
Analysez les résultats et agissez : Bitsea Curator (une instance OCCTET) combine analyse automatisée et vérification humaine pour aider les utilisateurs à vérifier les informations logicielles, évaluer l’impact des vulnérabilités sur leurs produits, prioriser les problèmes et documenter leurs décisions. Il permet également la création de rapports VEX (Vulnerability Exploitability Exchange), qui indiquent si un produit est affecté par une vulnérabilité connue.
Réutilisez les informations logicielles partagées : la base de données fédérée d’évaluation des logiciels libres, vulnerablecode.io, fournit des informations sur les logiciels libres, notamment leur origine, leurs licences, les alertes de sécurité, les vulnérabilités et les nomenclatures de logiciels libres (SBOM) de référence. Sa version de démonstration PurlDB permet de générer des SBOM de référence pour plus de 20 millions de logiciels, tandis que son intégration avec VulnerableCode relie les informations sur les vulnérabilités aux logiciels correspondants.

La validité de cet outil a été testée dans des scénarios complexes de dépendances logicielles, au sein de dix écosystèmes technologiques différents. Des tests ont été menés sur des projets logiciels libres largement utilisés et par le biais d'une analyse à grande échelle de l'ensemble du portefeuille de projets de la Fondation Eclipse, ainsi que sur un nombre croissant de cas d'utilisation concrets au sein de PME. Ces tests exhaustifs démontrent la capacité de la boîte à outils à fonctionner avec diverses technologies, tailles de projets et chaînes d'approvisionnement logicielles.

Ils ont également montré qu'elle peut analyser des structures de dépendances complexes, identifier les vulnérabilités, faciliter les revues humaines et assurer un suivi de la sécurité dans le temps.

Accès à OCCTET :
Le projet OCCTET (Open Source Compliance : Comprehensive Techniques and Essential Tools) rassemble des leaders de l’industrie, des experts en cybersécurité, des représentants de PME et des organisations open source afin de rendre la sécurité logicielle et la conformité aux exigences réglementaires plus accessibles, transparentes et économiques.

Les PME et les projets open source peuvent tester la boîte à outils et les ressources disponibles sur occtet.eu. Les organisations souhaitant tester les services avec des produits et des flux de travail de développement réels, et fournir des commentaires pour de futures améliorations, peuvent consulter la page web OCCTET.

OCCTET complète le travail important de la Fondation Eclipse pour aider les organisations et les communautés open source à se préparer aux exigences réglementaires. Les participants élaborent, par le biais du groupe de travail ORC (Open Regulatory Compliance), des spécifications communautaires, ainsi que des lignes directrices, des formations et d’autres ressources facilitant la mise en œuvre des exigences réglementaires dans l’écosystème open source.

Parmi ces ressources figure le centre de formation gratuit ORC Learning Hub, qui propose des formations pratiques et adaptées aux rôles des développeurs, mainteneurs, chefs de projet, équipes produit et professionnels de la sécurité et de la conformité open source. Ces formations visent à les aider à comprendre comment la loi sur la conformité aux réglementations (CRA) s'applique à leur travail et comment se conformer concrètement à ses exigences.

La communauté se réunit également lors de Code & Compliance, l'événement phare d'ORC destiné aux développeurs, chefs de projet, juristes, professionnels de la conformité, représentants des pouvoirs publics et leaders du secteur open source. La prochaine édition, qui se tiendra le 27 octobre 2026 à Bruxelles, offrira un espace d'échange d'expériences et de bonnes pratiques, et permettra d'explorer l'impact de la CRA et des autres réglementations numériques émergentes sur l'écosystème open source. Inscrivez-vous dès maintenant.