référentiel
NIST SSDF et OWASP SAMM
Vos clients demandent avec quelle sécurité vous développez vos logiciels, et le Cyber Resilience Act l’exigera bientôt pour tout produit comportant des éléments numériques ? Complass vous guide à travers les 42 tâches du NIST SSDF, montre votre niveau de maturité selon OWASP SAMM et relie les deux au CRA et à IEC 62443-4-1.
Qu’est-ce que NIST SSDF?
Le Secure Software Development Framework (SSDF) est un cadre volontaire du National Institute of Standards and Technology américain (NIST SP 800-218). Il décrit, en quatre groupes et 42 tâches, comment les fabricants développent des logiciels de manière sécurisée et réagissent aux vulnérabilités. OWASP SAMM est un modèle de maturité ouvert pour la sécurité des logiciels, avec 15 pratiques et des niveaux de 0 à 3. Il n’existe de certificat ni pour l’un ni pour l’autre.
Complass n’a aucun lien avec le NIST ni avec l’OWASP Foundation. Les textes anglais des tâches proviennent de la NIST SP 800-218, une œuvre du gouvernement fédéral américain librement utilisable. OWASP SAMM (owaspsamm.org) est placé sous licence CC BY-SA 4.0 ; Complass ne cite que les noms des pratiques et décrit les niveaux dans ses propres mots.
État des contenus:
Suis-je concerné ?
Le SSDF concerne les fabricants et développeurs de logiciels, y compris de micrologiciels et de logiciels embarqués dans des machines et des appareils : entreprises dont les clients veulent la preuve d’un développement sécurisé, fournisseurs d’administrations américaines et toutes celles qui veulent mettre en pratique les exigences de développement du Cyber Resilience Act.
Le SSDF n’est pas obligatoire et ne remplace ni le CRA ni IEC 62443-4-1. Il les complète comme liste de tâches pratique ; vous avez déjà mis en œuvre de nombreuses tâches si vous développez selon IEC 62443-4-1.
Cet aperçu ne remplace pas un conseil juridique. Le texte juridique ou normatif fait foi ; dans Complass, vous vérifiez l’applicabilité à l’aide de consignes fondées sur les références.
Bases
- NIST SP 800-218Secure Software Development Framework (SSDF) version 1.1, février 2022 ; version 1.2 sous forme de projet depuis décembre 2025
- OWASP SAMM v2Software Assurance Maturity Model, licence CC BY-SA 4.0
Dates clés
Il n’existe pas de délais légaux pour le SSDF. Si vous proposez dans l’UE des produits comportant des éléments numériques, gardez à l’esprit les échéances du Cyber Resilience Act ; le SSDF aide à mettre en œuvre à temps les exigences relatives au développement et au traitement des vulnérabilités. Nous recommandons de répéter l’évaluation SAMM chaque année.
Comment Complass vous aide
- 5phases
- 10étapes guidées
- 3modèles de documents
- 42exigences dans le catalogue
Guidé en cinq phases
Périmètre, préparer l’organisation, protéger le logiciel et le produire de manière sécurisée, réagir aux vulnérabilités, évaluer la maturité.
42 tâches avec aide à la mise en œuvre
Chaque tâche avec son identifiant officiel, la formulation originale du NIST, les étapes, le périmètre minimal, les preuves typiques et les niveaux selon OWASP SAMM.
Modèles
Politique de développement logiciel sécurisé, évaluation de la maturité SAMM et plan d’amélioration.
Mettre en œuvre une fois, prouver plusieurs fois
Complass vous propose de reprendre pour le SSDF les évaluations et preuves issues du CRA, d’IEC 62443-4-1 et d’ISO 27001.
Les phases du module
- Point de départ et périmètre
- Préparer l’organisation (PO)
- Protéger le logiciel et le produire de manière sécurisée (PS, PW)
- Répondre aux vulnérabilités (RV)
- Évaluer la maturité avec l’OWASP SAMM
Catalogue: NIST SSDF 1.1 – 42 tâches
Modules associés
Gestion de la conformité
Mettre en œuvre des référentiels de façon guidée : phases, modèles, pyramide documentaire, catalogues, analyse des écarts, objectifs et plan d'actions jusqu'à l'audit dans le portail des auditeurs.
En savoir plusGestion des risques
Registre des risques avec appréciation qualitative ou quantitative, appétence au risque et plan de traitement, relié aux actifs, aux vulnérabilités et aux incidents.
En savoir plusGestion des actifs
Actifs IT et OT en un seul endroit, collectés sans agent, avec SBOM, avis des fabricants, fin de support, rapprochement des licences, identités, relations et zones selon IEC 62443-3-2.
En savoir plusQuestions fréquentes
Existe-t-il un certificat SSDF ?
Non. Ni le SSDF ni OWASP SAMM ne sont certifiables. Complass vous aide à décrire et à justifier votre état de mise en œuvre et votre niveau de maturité.
Le SSDF suffit-il pour satisfaire au Cyber Resilience Act ?
Pas automatiquement. Le SSDF couvre de nombreuses exigences relatives au développement et au traitement des vulnérabilités, et Complass montre la correspondance avec l’annexe I. L’évaluation de la conformité au titre du CRA reste une tâche à part.
À quoi sert SAMM si nous avons le SSDF ?
Le SSDF dit ce qu’il faut faire ; SAMM montre le degré de maturité atteint. Avec les niveaux de 0 à 3, vous pouvez mesurer les progrès et fixer des objectifs.
Nous développons déjà selon IEC 62443-4-1. Devons-nous tout saisir de nouveau ?
Non. Grâce aux mesures communes, Complass vous propose de reprendre évaluations et preuves. Vous examinez chaque proposition avant de la confirmer.
Testez Complass avec vos propres données
Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.