Réponse courte
Une bibliothèque ou un SDK peut être un composant d’un produit et, lorsqu’il est mis sur le marché séparément, un objet à examiner pour le CRA.
Définition et périmètre
La définition du produit comporte les composants logiciels ou matériels mis sur le marché séparément. Le seul mot « bibliothèque » ne permet donc pas de décider du champ. Distribution, rôle de l’acteur et règles applicables au logiciel libre et ouvert doivent être examinés.
Faits à documenter
Une équipe distribue un SDK à ses clients et réutilise une bibliothèque tierce dans son application. Le SDK distribué et la dépendance intégrée n’ont pas nécessairement le même dossier, fabricant ou responsabilité.
Conséquences pratiques
Documentez version, usage, source et support de chaque composant. La présence d’une CVE dans une bibliothèque doit être confrontée à la version et aux conditions du produit avant une vulnérabilité CRA formelle. Une relation de composition ne transforme pas automatiquement tous les composants en produits réglementaires indépendants.
Source et limites
Articles 2 et 3 du CRA, notamment la définition du produit ; traitement du logiciel libre à examiner selon le cas. Règlement (UE) 2024/2847 — texte officiel.
Synthèse pédagogique relue le 8 octobre 2026, en attente de validation juridique. Les faits d’un produit particulier peuvent nécessiter une analyse complémentaire ; CRA Manager ne certifie pas la décision.
Articles liés
Article issu de la base de connaissance CRA Manager.
Cet article a-t-il été utile ?
C'est super !
Merci pour votre commentaire
Désolé ! Nous n'avons pas pu vous être utile
Merci pour votre commentaire
Commentaires envoyés
Nous apprécions vos efforts et nous allons corriger l'article