Depuis le 11 septembre 2026, les fabricants doivent signaler les vuln\u00e9rabilit\u00e9s activement exploit\u00e9es et les incidents graves affectant la s\u00e9curit\u00e9 des produits comportant des \u00e9l\u00e9ments num\u00e9riques mis sur le march\u00e9 de l\u2019Union europ\u00e9enne, premi\u00e8re obligation applicable du R\u00e8glement sur la cyberr\u00e9silience (CRA, Cyber Resilience Act). Les exigences plus g\u00e9n\u00e9rales du texte s\u2019appliqueront \u00e0 partir du 11 d\u00e9cembre 2027. C\u2019est dans ce calendrier que la Fondation Eclipse a annonc\u00e9, le 10 septembre 2026 \u00e0 Bruxelles, la mise \u00e0 disposition d\u2019une bo\u00eete \u00e0 outils gratuite et open source d\u00e9velopp\u00e9e dans le cadre du projet OCCTET, financ\u00e9 par l\u2019UE, \u00e0 destination des PME et des projets open source.<\/p>\n
Les premiers usages de la plateforme d\u2019auto-\u00e9valuation OCCTET ont mis en \u00e9vidence un constat r\u00e9current : de nombreuses PME ont d\u00e9ploy\u00e9 des mesures de s\u00e9curit\u00e9, mais manquent de visibilit\u00e9, de documentation et de processus coh\u00e9rents pour d\u00e9montrer la mani\u00e8re dont elles g\u00e8rent les risques logiciels.<\/p>\n
Mike Milinkovich, directeur ex\u00e9cutif de la Fondation Eclipse, souligne que la pr\u00e9paration au CRA repr\u00e9sente une charge importante pour les organisations aux ressources de conformit\u00e9 limit\u00e9es. La bo\u00eete \u00e0 outils traduit les exigences r\u00e9glementaires en actions int\u00e9grables aux processus de d\u00e9veloppement et de s\u00e9curit\u00e9 existants.<\/p>\n
Le portail d\u2019auto-\u00e9valuation du CRA aide une PME \u00e0 d\u00e9terminer comment le r\u00e8glement s\u2019applique \u00e0 sa situation et \u00e0 mesurer son niveau de pr\u00e9paration, en convertissant les dispositions du texte en questions structur\u00e9es, en notation et en recommandations. L\u2019\u00e9valuation est gratuite et guid\u00e9e.<\/p>\n
Eclipse Apoapsis, dans son instance OCCTET, identifie ensuite les composants open source, leurs d\u00e9pendances, leurs licences et les vuln\u00e9rabilit\u00e9s connues, en s\u2019appuyant sur la suite OSS Review Toolkit. L\u2019outil g\u00e9n\u00e8re des rapports adapt\u00e9s au CRA et des documents de conformit\u00e9, notamment des nomenclatures logicielles (SBOM).<\/p>\n
Bitsea Curator, \u00e9galement en instance OCCTET, associe analyse automatis\u00e9e et revue humaine pour v\u00e9rifier les informations logicielles, d\u00e9terminer si une vuln\u00e9rabilit\u00e9 affecte r\u00e9ellement un produit, prioriser les probl\u00e8mes et documenter les d\u00e9cisions. Il prend en charge la production de rapports VEX (Vulnerability Exploitability eXchange), qui indiquent si un produit est concern\u00e9 par une vuln\u00e9rabilit\u00e9 connue.<\/p>\n
La base f\u00e9d\u00e9r\u00e9e d\u2019\u00e9valuation des logiciels libres vulnerablecode.io fournit des informations sur l\u2019origine, les licences, les avis de s\u00e9curit\u00e9 et les vuln\u00e9rabilit\u00e9s des paquets open source. Sa d\u00e9monstration publique PurlDB permet de g\u00e9n\u00e9rer des SBOM de r\u00e9f\u00e9rence pour plus de 20 millions de paquets, tandis que l\u2019int\u00e9gration VulnerableCode relie les vuln\u00e9rabilit\u00e9s aux paquets concern\u00e9s.<\/p>\n
La bo\u00eete \u00e0 outils a \u00e9t\u00e9 valid\u00e9e sur des sc\u00e9narios r\u00e9els de d\u00e9pendances complexes couvrant dix \u00e9cosyst\u00e8mes technologiques, des projets open source largement utilis\u00e9s, une analyse \u00e0 grande \u00e9chelle du portefeuille de projets de la Fondation Eclipse et un nombre croissant de cas d\u2019usage en PME. Les tests ont port\u00e9 sur l\u2019analyse des structures de d\u00e9pendance, l\u2019identification des vuln\u00e9rabilit\u00e9s, l\u2019assistance \u00e0 la v\u00e9rification humaine et le suivi des probl\u00e8mes dans le temps.<\/p>\n
OCCTET, pour Open Source Compliance: Comprehensive Techniques and Essential Tools, est financ\u00e9 par le Programme pour une Europe num\u00e9rique. Il s\u2019inscrit dans l\u2019action du groupe de travail Open Regulatory Compliance, qui propose l\u2019ORC Learning Hub et organise l\u2019\u00e9v\u00e9nement Code & Compliance le 27 octobre 2026 \u00e0 Bruxelles.<\/p>\n