PÉRIODE D'ASSISTANCE · UNE DURÉE QUI SE JUSTIFIE
Cinq ans au moins de suivi de sécurité, et un dossier à jour pendant tout ce temps
Au moins cinq ans à traiter les failles de votre produit et à tenir son dossier à jour : quelle durée retenir, comment la justifier, quoi afficher à l'achat.
Le Cyber Resilience Act (CRA) impose à chaque produit une période d'assistance d'au moins cinq ans, sauf si son usage prévu est plus court.
Ce n'est ni une garantie commerciale, ni un contrat de maintenance, ni une promesse de nouvelles fonctions. C'est le traitement des failles.
C'est l'obligation dont le coût se chiffre le plus facilement, et la plus sous-estimée au moment de mettre un produit sur le marché.
Le texte en détail : article 3, point 20, et article 13, paragraphe 8
L'article 3, point 20 définit la période d'assistance comme « la période au cours de laquelle un fabricant est tenu de garantir que les vulnérabilités d'un produit comportant des éléments numériques sont traitées efficacement et conformément aux exigences essentielles de cybersécurité énoncées à l'annexe I, partie II ».
Elle est d'au moins cinq ans. Lorsque le produit est censé pouvoir être utilisé pendant moins de cinq ans, elle correspond à la durée d'utilisation prévue (article 13, paragraphe 8, troisième alinéa).
Le dossier
Votre dossier vit aussi longtemps que votre produit
Pendant tout ce temps, le dossier de votre produit doit rester à jour.
Une version sort, une faille touche un composant, une norme paraît : le dossier suit.
Tant que dure la période d'assistance, vous devez :
réévaluer les risques quand le produit ou son environnement change ;
corriger les failles sans retard, avec des correctifs sans frais pour vos clients ;
tenir la documentation technique à jour.
Deux durées partent du même jour : la mise sur le marché. Le suivi de sécurité dure au moins cinq ans. Le dossier se conserve au moins dix ans. Ces dix ans ne s'ajoutent pas aux cinq : ils courent en même temps.
C'est le rôle de la veille et de la révision. Un texte touche votre produit : vous êtes prévenu. Votre produit change : votre dossier se met à jour, sans repartir de zéro.
Le texte en détail : articles 13 et 31, annexe I
L'évaluation des risques est mise à jour selon les besoins pendant la période d'assistance (article 13, paragraphe 3). Les vulnérabilités sont traitées sans retard, avec des mises à jour de sécurité gratuites (annexe I, partie II). La documentation technique est tenue à jour, le cas échéant, au moins pendant la période d'assistance (article 31, paragraphe 2).
La documentation technique et la déclaration UE de conformité sont tenues à disposition au moins dix ans après la mise sur le marché, ou pendant la période d'assistance si elle est plus longue (article 13, paragraphe 13). Les deux durées partent du même point : les dix ans ne commencent pas à la fin de la période d'assistance.
Article 13, paragraphes 8, 9 et 19
Cinq ans de suivi, dix ans par correctif, une date affichée à l'achat
Cinq ans au minimum
Vous traitez les failles pendant au moins cinq ans. Moins, seulement si le produit est fait pour servir moins longtemps.
Une durée plus courte se démontre.
Dix ans par correctif
Chaque mise à jour de sécurité reste disponible au moins dix ans après sa sortie.
Un correctif du dernier mois reste disponible dix ans encore.
Une date de fin affichée à l'achat
Avant d'acheter, votre client voit le mois et l'année où le suivi s'arrête.
Si c'est possible, le produit prévient l'utilisateur quand cette date arrive.
Votre engagement réel dépasse donc la période d'assistance. Ne confondez pas ces dix ans avec ceux du dossier : ceux-là partent de la mise sur le marché.
L'obligation s'applique le 11 décembre 2027. Une période de cinq ans décidée à cette date vous engage jusqu'en décembre 2032. Un correctif émis en 2032 vous engage jusqu'en 2042.
Le texte en détail : article 13, paragraphes 9 et 19, et annexe II, point 7
Chaque mise à jour de sécurité mise à disposition des utilisateurs au cours de la période d'assistance reste disponible, après son émission, pendant dix ans au minimum ou pendant le reste de la période d'assistance, la période la plus longue étant retenue (article 13, paragraphe 9).
La date de fin, mois et année au minimum, est précisée au moment de l'achat, d'une manière claire, compréhensible et aisément accessible et, le cas échéant, sur le produit, son emballage ou par des moyens numériques (article 13, paragraphe 19).
Lorsque c'est techniquement possible, le fabricant prévoit l'affichage d'une notification informant l'utilisateur que son produit a atteint cette fin. La date figure aussi dans les informations destinées à l'utilisateur, avec le type d'assistance technique de sécurité proposé (annexe II, point 7).
Article 13, paragraphe 8
Vous ne choisissez pas la durée, vous la justifiez
La durée ne se choisit pas, elle se justifie.
Vous la fixez d'après le temps pendant lequel votre produit est censé servir. Ce que vos clients peuvent attendre, la nature du produit et son usage comptent toujours. La durée de suivi de vos composants tiers peut aussi compter.
Vous écrivez ces raisons dans votre documentation technique. L'autorité de contrôle vérifie comment vous avez fixé la durée.
Le corps du règlement ne fixe pas de durée par famille de produits. La Commission peut en fixer une pour certaines catégories, si les contrôles montrent des durées trop courtes.
Le texte en détail : article 13, paragraphe 8, et article 52, paragraphe 16
Le fabricant fixe la période d'assistance de sorte qu'elle reflète la durée pendant laquelle le produit est censé pouvoir être utilisé (article 13, paragraphe 8, deuxième alinéa), « en tenant compte, en particulier » : des attentes raisonnables des utilisateurs ; de la nature du produit, y compris son utilisation prévue ; du droit de l'Union applicable déterminant la durée de vie des produits comportant des éléments numériques.
Les fabricants « peuvent également tenir compte » : des périodes d'assistance de produits offrant une fonctionnalité similaire mis sur le marché par d'autres fabricants ; de la disponibilité de l'environnement opérationnel ; des périodes d'assistance des composants intégrés qui assurent des fonctions essentielles et proviennent de tiers ; des orientations pertinentes du groupe de coopération administrative, l'ADCO, et de la Commission.
Ces éléments sont pris en compte de manière à garantir la proportionnalité.
Les informations prises en compte figurent dans la documentation technique (article 13, paragraphe 8, cinquième alinéa, et annexe VII, point 4). Une durée annoncée sans ces informations est une durée non justifiée. Les autorités de surveillance du marché contrôlent la manière dont les fabricants ont appliqué ces critères (article 52, paragraphe 16) : c'est un point de contrôle nommément prévu.
La Commission peut adopter des actes délégués précisant la période minimale pour des catégories spécifiques, lorsque les données de surveillance du marché montrent que les périodes fixées sont insuffisantes (article 13, paragraphe 8, quatrième alinéa). L'ADCO publie des statistiques par catégorie et des orientations comprenant des périodes d'assistance indicatives (article 52, paragraphe 16).
En pratique
Trop courte ou trop longue, la durée vous coûte
Une durée trop courte vous expose deux fois : au plancher de cinq ans, et au contrôle de vos critères.
Une durée trop longue vous engage sans retour. Tout du long, vous réévaluez les risques et publiez des correctifs. La bonne durée est celle qui se démontre : c'est une décision de plan produit.
Le texte en détail : articles 19 et 20
L'importateur doit vérifier que le fabricant a respecté l'article 13, paragraphe 19 (article 19, paragraphe 2, point d)). Le distributeur doit vérifier la même chose avant de mettre le produit à disposition (article 20, paragraphe 2, point b)).
Pendant ces cinq ans, des normes et des textes d'application vont paraître. La veille vous prévient de ceux qui touchent votre produit. Les 3 premiers mois sont inclus avec le dossier.
Ces obligations vous visent-elles, et à quel titre ? Le diagnostic répond en treize questions au maximum, sans création de compte : commencer le diagnostic. Votre dossier vous suit pendant toute la période : voir comment nous le tenons à jour.
Questions fréquentes
Puis-je annoncer moins de cinq ans ?
Oui, si votre produit est censé servir moins de cinq ans. Vous justifiez cette durée avec les critères du règlement. Ces informations figurent dans la documentation technique (art. 13, paragraphe 8, deuxième et troisième alinéas).
Dois-je livrer des évolutions fonctionnelles pendant cette période ?
Non. L'obligation porte sur le traitement des failles. Le règlement demande même, quand c'est techniquement possible, de livrer les correctifs de sécurité à part des nouvelles fonctions (annexe I, partie II, point 2).
Comment cela fonctionne-t-il pour les versions successives d'un logiciel ?
Vous pouvez ne maintenir que la dernière version, si les versions ultérieures sont substantiellement modifiées. Condition : les utilisateurs des versions précédentes y accèdent sans frais, et sans coût pour adapter leur matériel ou leurs logiciels (art. 13, paragraphe 10).
Que se passe-t-il quand la période d'assistance s'achève ?
Vous n'avez plus à traiter les failles de ce produit. Deux obligations continuent. Les correctifs déjà émis restent disponibles dix ans après leur sortie (art. 13, paragraphe 9). La documentation technique et la déclaration UE restent à disposition au moins dix ans après la mise sur le marché (art. 13, paragraphe 13).
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.