INTERCALAIRE II · LE PRODUIT
Ce que votre produit doit faire, et comment le prouver
Vingt et une exigences de sécurité, une classe qui décide qui vérifie, cinq ans de suivi au minimum, et une règle : justifier par écrit ce que vous écartez.
Sur cette page
- Votre classe décide qui vérifie votre produit
- Vous pouvez écarter une exigence, à condition d'écrire pourquoi
- Treize exigences pour le produit lui-même
- Huit obligations de gestion des failles, qui s'appliquent toujours
- Cinq ans de suivi au minimum, et un coût que personne ne provisionne
- Tout se range dans la documentation technique
- Situez votre produit avant de constituer le dossier
À partir du 11 décembre 2027, un produit qui ne les respecte pas ne peut plus être mis sur le marché de l'Union.
Mettre sur le marché, c'est fournir le produit pour la première fois dans l'Union.
Le texte en détail : article 6 et annexe I
Les exigences essentielles de l'annexe I comprennent treize propriétés attendues du produit (partie I, point 2) et huit obligations de gestion des vulnérabilités (partie II). Elles s'appliquent à compter du 11 décembre 2027.
Article 32
Votre classe décide qui vérifie votre produit
Votre calendrier et votre budget dépendent de ce classement.
Le Cyber Resilience Act (CRA) distingue quatre régimes :
- le produit par défaut,
- le produit important de classe I,
- le produit important de classe II
- et le produit critique.
Pour un produit par défaut, vous pouvez vous évaluer seul. Pour les autres, un organisme de contrôle extérieur, dit organisme notifié, peut ou doit intervenir. Vous classez votre produit d'après sa fonction principale.
À ce jour, aucune norme harmonisée n'est citée au Journal officiel de l'Union. Une norme harmonisée est une norme européenne qui permet de présumer la conformité. Sans elle, un produit de classe I ne peut pas, en pratique, s'évaluer seul, et aucun organisme notifié n'est enregistré à ce jour.
Le texte en détail : articles 7, 27 et 32
Pour un produit par défaut, le fabricant choisit librement l'une des procédures de l'article 32, paragraphe 1, dont le contrôle interne.
Pour un produit de classe I, énuméré à l'annexe III, le contrôle interne n'est ouvert que si des normes harmonisées, des spécifications communes ou un schéma européen de certification d'un niveau au moins substantiel sont appliqués intégralement ; à défaut, l'organisme notifié devient la voie obligée (article 32, paragraphe 2).
Pour un produit de classe II, cette échappatoire n'existe pas (article 32, paragraphe 3).
Pour un produit critique, énuméré à l'annexe IV, un certificat européen de cybersécurité peut être imposé par acte délégué ; à défaut, c'est le régime de la classe II qui s'applique (article 32, paragraphe 4).
Le classement se fait sur un critère unique : la fonctionnalité de base du produit (article 7, paragraphe 1). La présomption de conformité de l'article 27 n'est ouverte pour aucune catégorie de produit. En l'état des textes publiés, la voie du contrôle interne n'est donc pas praticable pour un produit de classe I.
Article 13, paragraphes 3 et 4
Vous pouvez écarter une exigence, à condition d'écrire pourquoi
Les treize exigences du produit ne sont pas une liste à cocher, car votre évaluation des risques décide lesquelles s'appliquent, et comment.
Cette évaluation est l'étude écrite de ce qui peut mal tourner avec votre produit.
Écarter une exigence est permis, à condition de l'écrire dans la documentation technique. Cette justification manque souvent, et un contrôle la demande en premier.
Le texte en détail : annexe I, partie I, point 2 et article 13, paragraphes 3 et 4
L'annexe I, partie I, point 2 s'ouvre ainsi : « Sur la base de l'évaluation des risques de cybersécurité visée à l'article 13, paragraphe 2, les produits comportant des éléments numériques doivent, le cas échéant ». Deux membres portent tout le sens, « sur la base de l'évaluation des risques » et « le cas échéant ».
L'article 13, paragraphe 3 est précis sur ce que cette évaluation doit contenir : elle indique si et, dans l'affirmative, de quelle manière les exigences de l'annexe I, partie I, point 2 sont applicables au produit, et comment elles sont mises en oeuvre.
L'article 13, paragraphe 4 en tire la conséquence dans sa dernière phrase : lorsque certaines exigences essentielles ne sont pas applicables, le fabricant fait figurer une justification claire dans la documentation technique.
Annexe I, partie I
Treize exigences pour le produit lui-même
Une règle les précède : votre produit offre un niveau de sécurité adapté à ses risques.
Puis viennent treize exigences, en cinq familles.
Le jour de la vente
Aucune faille connue et exploitable. Des réglages sûrs, et une remise à zéro possible.
Après la vente
Une faille se corrige par une mise à jour de sécurité, active par défaut mais désactivable.
Les accès
Personne n'entre sans autorisation, toute intrusion est signalée. Un journal d'activité, que le client peut couper.
Les données
Protégées, intactes, limitées au nécessaire. Effaçables et transférables en sécurité.
Quand cela tourne mal
Les fonctions essentielles tiennent. Le produit ne gêne pas les autres réseaux, ouvre peu de portes, limite les dégâts.
Le texte en détail : annexe I, partie I
Point 1 : les produits sont conçus, développés et fabriqués de manière à garantir un niveau de cybersécurité approprié en fonction des risques. Cette exigence ne se discute pas.
Les cinq familles n'existent pas dans le règlement. Le jour de la vente : 2 a), 2 b). Après la vente : 2 c). Les accès : 2 d), 2 l). Les données : 2 e), 2 f), 2 g), 2 m). Quand cela tourne mal : 2 h), 2 i), 2 j), 2 k).
Annexe I, partie II
Huit obligations de gestion des failles, qui s'appliquent toujours
Ici, rien ne s'écarte : votre évaluation des risques dit seulement comment vous appliquez ces obligations.
Connaître et corriger
Tenir la liste des composants, lisible par une machine. Corriger sans retard, tester régulièrement, livrer les mises à jour par un canal sûr.
Informer, et être informé
Publier l'information sur les failles corrigées. Avoir une règle pour traiter les failles qu'on vous signale. Donner une adresse de contact. Diffuser les correctifs sans retard.
Le texte en détail : annexe I, partie II, article 6, point b) et article 13, paragraphe 3
La phrase d'introduction de la partie II est sans condition. L'article 6, point b) exige que les processus du fabricant y soient conformes. L'article 13, paragraphe 3 demande d'indiquer de quelle manière ces exigences sont appliquées, et non si elles le sont.
La liste des composants est la nomenclature des logiciels, couvrant au moins les dépendances de niveau supérieur (partie II, point 1). La règle de traitement des failles signalées est la politique de divulgation coordonnée (point 5).
Elles courent pendant toute la période d'assistance. Un dossier constitué puis refermé ne correspond donc plus au produit dès la version suivante.
Article 13, paragraphes 8, 9 et 19
Cinq ans de suivi au minimum, et un coût que personne ne provisionne
Cette durée se chiffre dès aujourd'hui, et elle pèse sur le prix de votre produit pendant des années.
La période d'assistance est la durée pendant laquelle le fabricant doit traiter les failles de son produit. Elle dure au moins cinq ans, sauf si le produit est fait pour servir moins longtemps.
- au moins cinq ans
- La période d'assistance
- dix ans au minimum
- Chaque mise à jour de sécurité reste disponible, après son émission
- mois et année au minimum
- la date de fin de la période d'assistance
Chaque mise à jour de sécurité reste disponible, après son émission, dix ans au minimum. À l'achat, vous indiquez la date de fin de la période d'assistance : mois et année au minimum.
Le texte en détail : article 13, paragraphes 8, 9 et 19, article 52, paragraphe 16
La période d'assistance est d'au moins cinq ans, sauf lorsque le produit est censé pouvoir être utilisé moins longtemps, auquel cas elle correspond à la durée d'utilisation prévue (article 13, paragraphe 8).
Chaque mise à jour de sécurité reste disponible, après son émission, pendant dix ans au minimum ou pendant le reste de la période d'assistance, la période la plus longue étant retenue (article 13, paragraphe 9).
La date de fin de la période d'assistance, mois et année au minimum, est précisée au moment de l'achat (article 13, paragraphe 19).
Le fabricant fixe la durée en tenant compte, en particulier, des attentes raisonnables des utilisateurs, de la nature du produit et du droit de l'Union applicable à sa durée de vie. Les informations retenues figurent dans la documentation technique (article 13, paragraphe 8). Les autorités de surveillance du marché contrôlent nommément l'application de ces critères (article 52, paragraphe 16).
Article 31 et annexe VII
Tout se range dans la documentation technique
Le jour d'un contrôle, on vous demandera d'abord la documentation technique.
Elle contient :
- la description générale du produit et ses versions,
- la conception et les processus de gestion des failles avec la liste des composants,
- l'évaluation des risques,
- et les informations ayant déterminé la période d'assistance.
Vous la tenez à jour et la gardez au moins dix ans après la mise sur le marché. Vous la construisez dans le logiciel, pour 490 € HT par produit, avec 3 mois de veille inclus.
Le texte en détail : article 13, paragraphe 13, article 31, paragraphes 1 et 2
La documentation technique contient au minimum les éléments de l'annexe VII (article 31, paragraphe 1). Elle est établie avant la mise sur le marché, puis tenue à jour au moins pendant la période d'assistance (article 31, paragraphe 2).
Elle est tenue à disposition des autorités de surveillance du marché dix ans au moins après la mise sur le marché, ou pendant la période d'assistance si celle-ci est plus longue (article 13, paragraphe 13).
En pratique
Situez votre produit avant de constituer le dossier
Le diagnostic détermine le rôle, la classe et la voie d'évaluation applicables à votre produit.
Il tient en treize questions au plus, deux minutes, sans frais et sans compte : commencer le diagnostic.
L'auto-évaluation pose ensuite une question de terrain par exigence, et vous donne vos trois écarts les plus graves : faire l'auto-évaluation. Vous pourrez montrer à un client que chaque exigence a sa réponse écrite, avant décembre 2027. DATIVO écrit ces fiches à partir du texte authentique, sources à l'appui.
Les fiches de cet intercalaire
- La classe de votre produit décide qui le vérifieLes catégories de chaque classe, et la procédure attachée à chacune. Pour savoir dans quelle case tombe votre produit, et ce que cela implique en délai et en budget.
- Vingt et une exigences, et vous justifiez celles que vous écartezChaque exigence en une phrase, avec son libellé officiel. Pour préparer l'analyse d'écart, point par point.
- La SBOM devient obligatoire pour vos produitsLa nomenclature logicielle que le règlement exige : formats, contenu minimal, à qui la remettre. Pour le fabricant qui intègre des composants de tiers.
- Déclaration UE et marquage CE : vous signez, vous en répondezQui signe la déclaration UE, ses huit rubriques, où apposer le marquage CE d'un logiciel, et quoi garder dix ans. Pour le fabricant qui prépare sa mise sur le marché.
- Aucun certificat CRA unique : chaque produit suit une évaluation de la conformitéLes voies d'évaluation selon la classe, les organismes notifiés et les schémas européens, à ce jour. Pour qui se voit proposer une « certification CRA ».
- Cinq ans au moins de suivi de sécurité, et un dossier à jour pendant tout ce tempsLes trois durées à ne pas confondre, les sept critères pour fixer la vôtre. Pour arrêter une durée défendable, ou en faire un critère d'achat.
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.
Vous savez déjà que le règlement vous concerne ?
Déclarez vos produits dans votre espace. Le signalement des fabricants s’applique depuis le 11 septembre 2026 : l’espace calcule les échéances de chaque incident. L’accès est sans frais.