Aller au contenu
← Services

Conformité CRA, intégrée à votre développement

Depuis la Suisse, nous auditons vos produits, outillons votre CI/CD et corrigeons votre code : pas un rapport de plus, le travail fait dans votre dépôt.

Vérifier mon produit en 3 min Réserver une première lecture

Ce que nous faisons, et combien

Quatre offres : vous entrez par celle qui correspond à votre cas.

  1. Point de départ

    Auditer

    « Où en sommes-nous ? »

    Analyse de risque, écarts de votre CI et de votre code : votre feuille de route CRA, chiffrée.

    Non facturé si votre produit est hors périmètre, déduit de la suite si vous continuez.

    CHF 6'000

    forfait

  2. Outiller

    « Il nous faut le SBOM et la surveillance. »

    SBOM à chaque build, Dependency-Track chez vous, procédure de signalement testée.

    dès CHF 12'000 pour SBOM + Dependency-Track

    Sur devis

    selon votre chaîne

  3. Surveiller

    « Personne n'a le temps de lire les alertes. »

    Chaque nouvelle CVE qualifiée par un ingénieur : vous concerne-t-elle, et que faire ?

    Sur devis

    par mois et par produit

  4. Corriger

    « Il faut maintenant corriger. »

    Mécanismes de sécurité et corrections livrés dans votre code, jusqu'à l'intégration.

    CHF 1'600

    par jour, budget fixé par vous

Pas prêt pour un audit ?

Une version livrée de votre produit : ses composants et les CVE connues qui la touchent. Déduit de l'audit si vous continuez.

CHF 900 hors baremetal

Une heure, gratuite et sans engagement, pour savoir par quelle offre commencer.

Réserver une première lecture
Le détail des offres
Auditer : Analyse de risque et écarts
Nous établissons votre périmètre CRA et l'analyse de risque de cybersécurité exigée par l'article 13, puis mesurons les écarts de votre CI et de votre code face à l'annexe I. Vous repartez avec une feuille de route priorisée et chiffrée, écrite pour que votre équipe puisse l'exécuter seule.
Outiller : CI/CD, SBOM, Dependency-Track et signalement
SBOM à chaque build, scan CVE dans votre pipeline, Dependency-Track chez vous, procédure de signalement testée. Chaque version livrée est inventoriée et surveillée, et votre équipe sait comment signaler.
Surveiller : Qualification des nouvelles CVE
Chaque mois, un ingénieur qualifie les nouvelles CVE de votre produit : vous concernent-elles, et que faire ? Vous ne lisez plus les alertes : vous recevez des décisions.
Corriger : Mise en conformité du code
Mécanismes de sécurité, correction des CVE et des écarts, jusqu'à l'intégration dans votre code. Nous ne nous arrêtons pas au constat : nous livrons la correction, et revoyons votre conception et vos merge requests au regard de l'annexe I.
Ce que couvre l'audit

Avec votre équipe technique, nous établissons :

  • votre périmètre et vos obligations : produit concerné ou non, votre rôle (fabricant, importateur, distributeur), votre classe, le calendrier ;
  • l’analyse de risque de cybersécurité (article 13), réutilisable dans votre documentation technique ;
  • les écarts de votre chaîne (build, CI/CD, releases) : ce qui se raccorde tel quel, ce qui manque ;
  • les écarts de votre code face aux exigences essentielles de l’annexe I ;
  • la feuille de route priorisée, chiffrée point par point, que votre équipe peut exécuter seule.

Plusieurs produits ? Nous partons du produit pilote de votre choix, et l'audit estime l'effort et le budget des suivants.

Qui fait quoi Le CRA engage le fabricant. Nous faisons le travail technique ; les décisions et les signatures restent chez vous.

Analyse de risque

ADNT · Nous la menons avec votre équipe et la rédigeons.

Vous, le fabricant · Vous la validez et l'intégrez à votre documentation technique.

Inventaire (SBOM)

ADNT · Nous intégrons sa génération à chaque build.

Vous, le fabricant · Vous le conservez dans votre documentation technique.

Vulnérabilités

ADNT · Nous mettons en place la surveillance et qualifions les nouvelles CVE.

Vous, le fabricant · Vous décidez des correctifs à livrer et de leur calendrier.

Code

ADNT · Nous livrons les corrections dans votre code et votre CI/CD.

Vous, le fabricant · Vous validez et publiez les mises à jour.

Signalement à l'ENISA

ADNT · Nous préparons la procédure et les modèles, et sommes à vos côtés le jour J.

Vous, le fabricant · Vous envoyez l'alerte de 24 h et la notification de 72 h : l'obligation reste la vôtre.

Conformité

ADNT · Nous constituons les preuves techniques.

Vous, le fabricant · Vous signez la déclaration UE de conformité et apposez le marquage CE.

Êtes-vous concerné ?

  1. 11.09.2026

    En vigueur

    Signalement des vulnérabilités

    Une vulnérabilité activement exploitée se signale à l'ENISA : alerte sous 24 h, notification sous 72 h, rapport final sous 14 jours. Produits déjà livrés compris.

  2. 11.12.2027

    Application complète

    Inventaire logiciel (SBOM), conception sécurisée, mises à jour de sécurité pendant la durée de support, marquage CE.

  • Tous vos produits sur le marché, même livrés il y a des années
  • 0 exemption pour les PME, suisses ou non
  • 15 M€ ou 2,5 % du CA mondial : la sanction maximale

Pas sûr que votre produit soit concerné ? Vérifier mon produit en 3 min Le diagnostic prend 3 minutes, sans e-mail.

Vous fabriquez en Suisse ? Lisez ce que le CRA change pour une PME suisse : vos obligations selon votre cas et le projet de loi fédéral.

Florian Mahon
Florian MahonFondateur, ingénieur logiciel et firmware

Nous appliquons d'abord la méthode à nos propres produits.

Pour votre équipe technique

Nous partons de vos produits, de votre code et de votre chaîne de compilation, pas d'un questionnaire. Tout se branche sur votre flux existant, sans chaîne parallèle.

  1. Commit

    Votre code, poussé

  2. CI/CD

    Build et tests

  3. SBOM

    Inventaire CycloneDX, généré à chaque build

  4. Dependency-Track

    Surveille chaque version livrée

    • zephyr3.7.0Aucune CVE
    • mbedtls 3.5.2 Corrigé
    • littlefs2.9.1Aucune CVE

    Correctif livré : nouveau build, nouveau SBOM.

Chaque correction repart dans la chaîne : SBOM régénéré, surveillance à jour. Le cycle continue.
Voir les 5 questions et notre chaîne, étape par étape

Pouvez-vous répondre oui à ces cinq questions ?

  1. 1.Savez-vous exactement ce qui est dans chaque produit livré ?
  2. 2.Pouvez-vous identifier les versions affectées lorsqu'une nouvelle CVE apparaît ?
  3. 3.Pouvez-vous les relier aux produits déployés et à vos clients ?
  4. 4.Disposez-vous d'un processus écrit de traitement des vulnérabilités ?
  5. 5.Pouvez-vous produire les preuves exigées en continu, sans travail manuel ?

Là où ça coince, et ce que nous y faisons

SBOM

CycloneDX ou SPDX, produit par votre build.

Le piège : les SDK constructeur et le code C/C++ copié dans le dépôt, invisibles pour les scanners. Nous les inventorions aussi.

Scan CVE

Dans votre pipeline, avec un seuil qui bloque le build.

Le piège : des centaines d'alertes, dont la plupart hors sujet. Nous vérifions si le code vulnérable est réellement appelé dans votre firmware.

VEX

Les faux positifs documentés en format standard.

Le piège : un tri qui n'est pas tenu et se dégrade en quelques mois. Nous l'installons comme une routine de l'équipe.

Dependency-Track

La surveillance continue des versions livrées.

Le piège : savoir qu'une version est vulnérable sans savoir chez quels clients elle tourne. Nous relions chaque version aux produits déployés.

security.txt

Un canal de divulgation publié.

Le piège : une adresse que personne ne lit. Nous la raccordons au processus de traitement.

PSIRT

Le processus de traitement des vulnérabilités.

Le piège : une procédure qui n'a jamais servi et cale un vendredi à 23 h. Nous l'écrivons avec votre équipe et la testons par un exercice à blanc.

À chaque build, les preuves (inventaire, analyses, décisions, résultats de test) sont archivées automatiquement : prêtes le jour où un auditeur les demande.

Parlons de votre produit

Une heure, gratuite et sans engagement. Nous lisons votre situation ensemble et vous repartez avec une première idée : périmètre probable, classe probable, prochains pas.

Réserver une première lecture +41 76 639 30 70

ADNT Sàrl

Rue du Pont 8, 1er étage, 2400 Le Locle, Suisse

Nous nous déplaçons dans toute la Suisse romande : Neuchâtel, Vaud, Jura, Berne, Fribourg, Genève.

info@adnt.io

Références