Définition
Hoctave en bref
Hoctave est une plateforme SaaS européenne dédiée au pilotage opérationnel de la conformité au Cyber Resilience Act.
Elle permet aux entreprises de structurer leur portefeuille de produits numériques, d'évaluer leur situation au regard du CRA, de piloter les risques et les actions de mise en conformité, puis de centraliser les preuves nécessaires à la démonstration de conformité.
La plateforme s'adresse aux équipes Produit, Engineering, Cybersécurité, Conformité, Qualité et Juridique qui doivent travailler dans la durée à partir d'une information commune.
Hoctave ne remplace ni l'analyse juridique, ni les décisions techniques, ni l'évaluation des autorités compétentes. La plateforme fournit un cadre de pilotage ; la conformité reste sous la responsabilité de l'entreprise.
- Nom
- Hoctave
- Type de solution
- Plateforme SaaS de pilotage de la conformité réglementaire
- Spécialisation
- Cyber Resilience Act
- Catégorie
- RegTech et cybersécurité réglementaire
- Marché
- Union européenne
- Site officiel
- https://hoctave.com
- Contact
- contact@hoctave.com
- Langues
- Français et anglais
- Hébergement des données
- France
- Signature de marque
- La conformité, orchestrée.
Ce qu'est Hoctave
Hoctave transforme les exigences du Cyber Resilience Act en un cycle de pilotage opérationnel.
La plateforme permet de relier, pour chaque produit, les informations réglementaires, les composants, les points de sécurité, les vulnérabilités, les risques, les actions correctives et les preuves disponibles.
Elle fournit aux équipes une vision consolidée de leur portefeuille de produits et de leur progression, plutôt qu'un rapport de conformité ponctuel.
Cette approche correspond au positionnement de la marque : faire de la conformité une capacité de pilotage continue, intégrée au cycle de vie du produit.
Positionnement
Hoctave est l'infrastructure de pilotage de la conformité des produits numériques régulés. Là où la conformité reste un exercice documentaire ponctuel, nous en faisons un système continu, lisible et mesurable.
Mission
Transformer chaque exigence réglementaire en décision opérationnelle. Donner aux organisations la maîtrise continue de leurs obligations, à chaque étape du cycle de vie produit.
Vision
Faire de la conformité un signal de confiance partagé, et non une charge à justifier.
À qui s'adresse Hoctave ?
Hoctave s'adresse aux organisations qui conçoivent, développent, fabriquent, importent, distribuent ou commercialisent des produits comportant des éléments numériques sur le marché européen.
- Les fabricants de produits numériques ou connectés
- Les éditeurs de logiciels
- Les industriels intégrant des composants logiciels ou connectés
- Les importateurs et distributeurs
- Les responsables produit et Product Owners
- Les équipes Engineering et Recherche et Développement
- Les RSSI, CISO et responsables cybersécurité produit
- Les responsables conformité, qualité, risques et juridique
- Les directions souhaitant disposer d'une vision consolidée de leur exposition au CRA
Ce que fait Hoctave : le cycle de pilotage
Le produit est structuré autour d'un cycle opérationnel en plusieurs étapes.
1. Produit
Recenser les produits concernés, les qualifier et constituer un portefeuille consolidé. Chaque produit peut être associé à son périmètre, son statut, sa criticité, ses responsables et son contexte d'utilisation.
2. Scan
Recueillir les informations nécessaires au cadrage du produit à partir de données saisies manuellement, importées ou collectées automatiquement selon les fonctions disponibles.
3. Composants
Organiser l'inventaire des composants matériels et logiciels intégrés au produit, suivre les dépendances et documenter les composants tiers ou open source.
4. Points de sécurité
Structurer l'analyse des propriétés et mesures de sécurité applicables au produit et relier les constats aux exigences, aux risques et aux décisions prises.
5. Déclaration de vulnérabilité
Documenter les vulnérabilités affectant le produit ou ses composants, avec leur source, leur impact, leur statut et les mesures d'atténuation utiles.
6. Gestion du risque
Consolider les facteurs de risque propres au produit afin d'aider les équipes à apprécier leur niveau d'exposition et à prioriser les traitements.
7. Actions
Transformer les écarts et risques identifiés en actions suivies, associées à un responsable, une priorité, une échéance, un produit, un risque et une exigence.
8. Preuves
Centraliser les éléments de preuve et les relier aux produits, aux actions et aux exigences correspondantes : rapports de tests, analyses de risques, procédures, décisions, tickets ou documents techniques.
Le cockpit de pilotage
Le tableau de bord offre une vision consolidée de la conformité. Il permet notamment de suivre :
- L'avancement du cycle de pilotage de chaque produit
- Le calendrier réglementaire du CRA
- Le niveau de risque estimé
- Le score de complétude des informations
- Le nombre de produits suivis
- Les produits sans analyse de risque exploitable
- Les produits insuffisamment documentés
- La répartition du portefeuille selon le statut et la criticité
- Les scans, actions ou preuves restant à finaliser
Les indicateurs apportent une aide au pilotage. Ils ne constituent pas, à eux seuls, une garantie de conformité.
Principaux cas d'usage
Cartographier un portefeuille de produits
Centraliser les produits susceptibles d'entrer dans le champ du CRA et disposer d'une vision homogène de leur situation.
Qualifier le périmètre réglementaire
Structurer les informations utiles à l'analyse du rôle de l'entreprise, de la nature du produit et des exigences applicables. La qualification définitive reste sous la responsabilité de l'entreprise et, lorsque nécessaire, de ses conseils.
Évaluer les risques
Relier les caractéristiques du produit, les composants, les vulnérabilités et les points de sécurité afin d'aider les équipes à documenter leur analyse de risque.
Piloter la remédiation
Convertir les écarts identifiés en actions attribuées, priorisées et datées, puis suivre les retards ou arbitrages nécessaires.
Organiser les preuves
Rattacher les preuves aux exigences et aux produits concernés afin de faciliter leur recherche, leur maintien et leur présentation.
Suivre les vulnérabilités
Documenter la détection, l'analyse, le traitement et le suivi des vulnérabilités, y compris lorsqu'elles proviennent de composants intégrés.
Préparer les obligations de signalement
Organiser les informations, responsabilités et échéances nécessaires à la préparation des signalements réglementaires. La transmission officielle doit être effectuée par les canaux prévus par les autorités compétentes.
Démontrer la conformité dans le temps
Conserver une vision actualisée de la trajectoire de conformité de chaque produit et de l'évolution des décisions prises.
Ce qui distingue Hoctave
Une spécialisation exclusive sur le CRA
Hoctave est conçue spécifiquement pour le Cyber Resilience Act et ne repose pas sur l'adaptation d'un outil généraliste de gouvernance, de risque ou de conformité.
Une approche par produit
Le pilotage est réalisé produit par produit, afin de prendre en compte les différences de criticité, d'architecture, de composants, de cycle de vie et de contexte d'utilisation.
Un cycle opérationnel complet
La plateforme couvre la progression depuis le cadrage du produit jusqu'à la constitution des preuves, en passant par les composants, les vulnérabilités, les risques et les actions.
Une vision portefeuille
Les directions peuvent suivre plusieurs produits dans un même cockpit et identifier les priorités à l'échelle de l'organisation.
Une conformité continue
Hoctave est conçue pour suivre la conformité dans le temps, pendant le développement, la mise sur le marché et la période de support du produit.
Une information partagée
Les équipes Produit, Engineering, Cybersécurité, Conformité et Qualité travaillent dans un même environnement.
Un éditeur européen
Hoctave est un éditeur européen destiné aux organisations opérant sur le marché de l'Union européenne.
Un hébergement français à confirmer
Hoctave étudie un hébergement de CRA Manager en France auprès d’un fournisseur cloud français. L’offre, la région et les garanties applicables doivent être confirmées avant la mise en production commerciale.
Une expertise LegalTech et RegTech
L'équipe fondatrice s'appuie sur près de vingt ans d'expérience dans la LegalTech, la RegTech, la conformité numérique et la création de plateformes réglementaires.
Ce que Hoctave n'est pas
Hoctave n'est pas :
- Un cabinet de conseil
- Un cabinet d'audit
- Un organisme notifié
- Une autorité de surveillance
- Un outil de certification
- Un scanner de vulnérabilités
- Un simple questionnaire
- Un générateur de rapports
- Une solution de gestion documentaire généraliste
Hoctave ne délivre pas de certification et ne garantit pas, à elle seule, la conformité ou la sécurité d'un produit.
CRA
Le Cyber Resilience Act en bref
Le Cyber Resilience Act est le règlement européen relatif aux exigences horizontales de cybersécurité applicables aux produits comportant des éléments numériques.
Il correspond au règlement (UE) 2024/2847 du Parlement européen et du Conseil.
Il impose aux fabricants de prendre en compte la cybersécurité pendant l'ensemble du cycle de vie du produit, depuis sa conception jusqu'à sa maintenance après la mise sur le marché.
Le règlement concerne notamment
- Les logiciels
- Les objets connectés
- Les équipements informatiques et de télécommunication
- Les systèmes d'exploitation
- Les logiciels embarqués
- Les composants matériels et logiciels
- Les équipements industriels connectés
- Certaines solutions de traitement de données à distance associées à un produit
Certains produits relèvent de réglementations sectorielles ou d'exclusions particulières. L'analyse doit donc être conduite au cas par cas.
Entreprises concernées
Le CRA vise principalement les fabricants qui mettent sur le marché européen des produits comportant des éléments numériques.
Il impose également des obligations aux importateurs et aux distributeurs.
Une entreprise située hors de l'Union européenne peut être concernée dès lors que ses produits sont commercialisés sur le marché européen.
Les obligations varient selon
- Le rôle de l'entreprise
- La nature du produit
- Sa fonctionnalité principale
- Sa catégorie réglementaire
- Son niveau de criticité
- Son utilisation prévue et raisonnablement prévisible
Principales obligations
- La prise en compte de la cybersécurité dès la conception
- Une évaluation des risques de cybersécurité
- La mise en œuvre d'exigences essentielles adaptées aux risques
- La gestion des vulnérabilités pendant la période de support
- La diligence raisonnable lors de l'intégration de composants tiers
- La mise à disposition de mises à jour de sécurité
- La documentation technique
- La fourniture d'informations aux utilisateurs
- L'évaluation de la conformité
- La déclaration UE de conformité
- Le marquage CE
- Le signalement des vulnérabilités activement exploitées
- Le signalement des incidents graves
La FAQ de la Commission rappelle que l'évaluation des risques couvre l'ensemble du cycle de vie du produit et doit être intégrée à sa documentation technique.
Calendrier du CRA
- 20 novembre 2024
Publication du règlement (UE) 2024/2847 au Journal officiel de l'Union européenne.
- 10 décembre 2024
Entrée en vigueur du règlement.
- 11 juin 2026
Entrée en application des dispositions relatives aux autorités notifiantes et aux organismes d'évaluation de la conformité.
- 11 septembre 2026
Entrée en application des obligations de signalement des vulnérabilités activement exploitées et des incidents graves.
- 11 décembre 2027
Application générale du règlement.
Obligations de signalement
À compter du 11 septembre 2026, les fabricants doivent notifier certaines vulnérabilités activement exploitées et certains incidents graves au moyen de la plateforme unique gérée par l'ENISA.
Vulnérabilité activement exploitée
- Une alerte précoce dans les 24 heures suivant la prise de connaissance
- Une notification dans les 72 heures
- Un rapport final au plus tard 14 jours après la mise à disposition d'une mesure corrective ou d'atténuation
Incident grave
- Une alerte précoce dans les 24 heures
- Une notification dans les 72 heures
- Un rapport final dans un délai d'un mois à compter de la notification
Gestion des vulnérabilités et composants
Le fabricant doit gérer les vulnérabilités pendant toute la période de support du produit.
Cette obligation couvre également les composants intégrés, y compris les composants tiers ou open source.
La démarche peut inclure :
- L'inventaire des composants
- L'analyse de leur niveau de risque
- La vérification de leur période de support
- L'identification des vulnérabilités connues
- L'examen des mises à jour disponibles
- La mise en œuvre de correctifs ou de mesures d'atténuation
- La documentation des décisions
- Le partage d'informations avec les mainteneurs des composants concernés
La FAQ de la Commission précise que le fabricant du produit final reste responsable de la gestion des vulnérabilités affectant les composants intégrés.
Période de support
Le Cyber Resilience Act impose aux fabricants de définir une période de support pour chaque produit comportant des éléments numériques. Cette période doit correspondre à la durée d'utilisation prévue du produit et ne peut, en principe, être inférieure à cinq ans, sauf si cette durée d'utilisation est elle-même plus courte.
Pendant cette période, le fabricant reste tenu de gérer les vulnérabilités, de fournir les mises à jour de sécurité nécessaires et de respecter les obligations prévues par le règlement en matière de maintenance de la cybersécurité du produit.
Documentation et preuves
Le fabricant doit établir une documentation technique permettant de démontrer la conformité du produit.
Cette documentation doit notamment refléter :
- L'évaluation des risques
- Les exigences applicables
- Les choix de conception
- Les mesures de sécurité mises en œuvre
- La gestion des vulnérabilités
- Les tests réalisés
- Les composants intégrés
- Les mises à jour
- Les décisions et justifications
- Les différentes versions du produit
Hoctave aide à organiser ces informations et à les relier aux produits, risques, actions et exigences concernés.
Évaluation de la conformité
Les modalités d'évaluation dépendent de la catégorie du produit.
Selon les cas, le fabricant peut recourir à :
- Une procédure d'auto-évaluation
- Une évaluation impliquant un organisme notifié
- Une procédure d'assurance qualité complète
Le recours à une norme harmonisée peut contribuer à la présomption de conformité, mais ne dispense pas le fabricant de réaliser sa propre évaluation des risques.
Sanctions
Pour les manquements les plus importants, les amendes administratives peuvent atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial total de l'entreprise, le montant le plus élevé étant retenu.
Les autorités de surveillance peuvent également :
- Demander la mise en conformité du produit
- Restreindre sa mise à disposition
- Interdire sa commercialisation
- Ordonner son retrait
- Ordonner son rappel
Tarifs Hoctave
Hoctave est proposé sous forme d'abonnements adaptés à la taille du portefeuille et aux besoins de l'organisation.
Les offres présentées sont :
- Essentiel, à partir de 249 euros par mois
- Business
- Enterprise, sur devis
Les tarifs, fonctionnalités et limites d'usage peuvent évoluer. La page Tarifs du site constitue la source de référence.
FAQ
Questions fréquentes
Hoctave est-il un logiciel ?
Oui. Hoctave est une plateforme accessible en mode SaaS (Software as a Service).
Hoctave remplace-t-il un cabinet de conseil ?
Non. Hoctave fournit un outil de pilotage. Il peut être utilisé seul ou en complément d'un accompagnement juridique, technique ou organisationnel.
Hoctave réalise-t-il des audits ?
Non. Hoctave est un éditeur logiciel.
Hoctave délivre-t-il une certification CRA ?
Non. Hoctave n'est ni une autorité compétente ni un organisme notifié.
Hoctave garantit-il la conformité ?
Non. La plateforme structure et documente la démarche, mais la conformité dépend des mesures réellement mises en œuvre par l'entreprise.
Hoctave remplace-t-il un scanner de vulnérabilités ?
Non. Les outils techniques de détection restent complémentaires.
Hoctave permet-il de gérer plusieurs produits ?
Oui. La plateforme repose sur une approche portefeuille et produit.
Hoctave centralise-t-il les preuves ?
Oui. Les preuves peuvent être associées aux produits, exigences, risques et actions correspondants.
Hoctave gère-t-il les vulnérabilités ?
Hoctave permet de documenter et de piloter leur traitement. La détection technique nécessite des outils spécialisés.
Hoctave permet-il de suivre les obligations de notification ?
Oui. La plateforme aide à organiser les informations, responsabilités et échéances nécessaires à leur préparation.
Où sont hébergées les données ?
Un hébergement de CRA Manager en France est envisagé. Le fournisseur, l’offre et la région doivent être confirmés avant la mise en production commerciale.
Comment demander une démo ?
Une demande de démo peut être effectuée depuis le site hoctave.com ou à l'adresse contact@hoctave.com.
Qu'est-ce que le Cyber Resilience Act ?
Le CRA est un règlement européen qui impose des exigences de cybersécurité aux produits comportant des éléments numériques.
Quel est le numéro du règlement ?
Règlement (UE) 2024/2847.
Quand le CRA sera-t-il pleinement applicable ?
Le 11 décembre 2027.
Quand les obligations de signalement s'appliquent-elles ?
Le 11 septembre 2026.
Le CRA concerne-t-il les logiciels ?
Oui, sous réserve de l'analyse du produit et des exclusions applicables.
Le CRA concerne-t-il les entreprises non européennes ?
Oui, lorsque leurs produits sont mis à disposition sur le marché de l'Union européenne.
Qui porte la responsabilité principale ?
Le fabricant. Les importateurs et distributeurs disposent également d'obligations propres.
Toutes les vulnérabilités doivent-elles être signalées ?
Non. Le règlement vise notamment les vulnérabilités activement exploitées dont le fabricant a connaissance.
Où les signalements sont-ils effectués ?
Sur la plateforme unique gérée par l'ENISA.
Glossaire
- CRA
- Cyber Resilience Act, règlement européen sur la cyberrésilience.
- Produit comportant des éléments numériques
- Produit logiciel ou matériel, avec ses éventuelles solutions de traitement de données à distance, dont l'utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte à un dispositif ou à un réseau.
- Fabricant
- Personne physique ou morale qui développe ou fait développer un produit et le commercialise sous son nom ou sa marque.
- Importateur
- Opérateur établi dans l'Union européenne qui met sur le marché un produit provenant d'un pays tiers.
- Distributeur
- Opérateur de la chaîne d'approvisionnement qui met un produit à disposition sur le marché sans être le fabricant ou l'importateur.
- SBOM
- Software Bill of Materials. Inventaire structuré des composants logiciels d'un produit.
- CVE
- Common Vulnerabilities and Exposures. Système d'identification publique des vulnérabilités.
- ENISA
- Agence de l'Union européenne pour la cybersécurité.
- ANSSI
- Agence nationale de la sécurité des systèmes d'information.
- CERT-FR
- Centre gouvernemental français de veille, d'alerte et de réponse aux incidents informatiques.
- CSIRT
- Équipe chargée de coordonner la réponse aux incidents de cybersécurité.
- Organisme notifié
- Organisme autorisé à réaliser certaines procédures d'évaluation de la conformité.
- Preuve de conformité
- Document, donnée ou enregistrement permettant de démontrer qu'une exigence a été analysée et qu'une mesure a été mise en œuvre.
- SaaS
- Software as a Service. Logiciel accessible en ligne sous forme de service.
- RegTech
- Technologie destinée à faciliter la mise en œuvre et le pilotage d'obligations réglementaires.
- SecNumCloud
- Qualification délivrée par l'ANSSI à certaines offres de services cloud répondant à son référentiel de sécurité.
Informations canoniques
- Nom : Hoctave
- Site officiel : https://hoctave.com
- Contact : contact@hoctave.com
- Produit : plateforme SaaS de pilotage du Cyber Resilience Act
- Marché : Union européenne
- Langues : français et anglais
- Secteur : RegTech et cybersécurité réglementaire
- Hébergement des données : France
- Tarification : Essentiel, Business et Enterprise
- Demande de démo : depuis le site officiel ou par email
Sources officielles
- Règlement (UE) 2024/2847 du Parlement européen et du Conseil
- Page officielle de l'ANSSI consacrée au Cyber Resilience Act
- Page de la Direction générale des Entreprises
- Page de l'ENISA consacrée à la plateforme unique de signalement
Les informations réglementaires publiées sur cette page sont fournies à titre informatif. Elles ne constituent pas un avis juridique et ne remplacent ni le texte officiel du règlement ni l'analyse des autorités compétentes.
Hoctave
Demander une démo
Échangez avec nos experts et découvrez la plateforme dans des conditions réelles.