# CRA — Software et firmware

## Points à analyser
Un logiciel ou firmware peut être concerné même lorsqu'il est distribué comme composant d'un produit plus large.

Pour chaque release, l'équipe devrait pouvoir identifier :
- produit et version ;
- composants logiciels ;
- dépendances ;
- interfaces ;
- mécanismes d'authentification et d'autorisation ;
- mécanismes de mise à jour ;
- données traitées ;
- surface d'attaque ;
- période de support prévue.

## Livrables conseillés
- Software Bill of Materials (SBOM) ;
- modèle de menaces ;
- exigences de sécurité ;
- rapport de tests ;
- registre des vulnérabilités ;
- historique des versions ;
- dossier de release ;
- documentation technique.

Le CRA impose des exigences réglementaires ; les outils et méthodes utilisés pour produire les preuves peuvent varier selon le produit.