Le règlement (UE) 2024/2847 impose aux fabricants de produits avec éléments numériques de constituer un dossier technique conformément à l’Annexe VII, prêt à être présenté aux autorités compétentes en cas de contrôle. Cette obligation entre en application le 11 décembre 2027 pour l’ensemble du règlement, et certaines de ses composantes — notamment la notification des vulnérabilités — sont effectives dès le 11 septembre 2026.
La rédaction de ce dossier technique est l’un des chantiers les plus structurants de la mise en conformité CRA. Mal conduite, elle expose le fabricant à des constats de non-conformité difficiles à corriger dans les délais. Bien conduite, elle constitue la pièce centrale de la défense du fabricant en cas de contentieux, y compris au titre de la directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux.
Voici la structure de référence que j’utilise pour mes propres travaux. Elle découpe le dossier en quatorze sections cohérentes avec l’Annexe VII, articulées pour faciliter à la fois la conformité administrative et la défensabilité juridique.
Section 1 — Description générale du produit
Identification administrative complète du produit, de sa version, de son fabricant et de ses éventuels représentants autorisés. Description fonctionnelle accessible (à destination d’un auditeur non technique). Photographies et schémas d’architecture. Cycle de vie prévu : période de support, modalités de fin de vie.
Erreur fréquente à éviter : décrire le produit trop techniquement et oublier la dimension fonctionnelle. L’auditeur n’est pas un ingénieur produit. Il doit comprendre en cinq minutes ce que le produit fait et pour qui.
Section 2 — Conception, développement et production
Description du processus de développement sécurisé (Secure SDLC) appliqué au produit. Outils utilisés (SAST, DAST, SCA, threat modeling). Politique de gestion des dépendances. Politique de codification sécurisée. Procédures de revue de code. Tests de sécurité conduits avant mise sur le marché. Architecture de sécurité du produit : authentification, autorisation, chiffrement, logs.
Cette section est probablement la plus consultée par les auditeurs ANSSI et organismes notifiés. Elle doit être documentée avec rigueur, références aux outils utilisés, captures d’écran de configurations, exemples de rapports d’analyse.
Section 3 — Évaluation des risques cyber
Analyse de risque conduite selon une méthode reconnue (EBIOS Risk Manager, ISO 27005, NIST SP 800-30, ou équivalent). Identification des actifs critiques du produit. Identification des menaces pertinentes (alimentée idéalement par la CTI sectorielle). Évaluation de la vraisemblance et de l’impact. Plan de traitement avec contrôles mis en œuvre. Risques résiduels documentés.
Erreur fréquente : produire une analyse de risque générique non spécifique au produit. L’auditeur cherche à comprendre comment la sécurité a été pensée pour ce produit précis, dans son contexte d’usage, face aux menaces qui le ciblent réellement.
Section 4 — Période de support et de mises à jour
Durée de la période de support, conformément à l’article 13 du règlement. Politique de mises à jour de sécurité. Délais cibles entre l’identification d’une vulnérabilité et la publication du correctif. Modalités de distribution des mises à jour. Politique de fin de support et mesures prévues à cette échéance.
Section 5 — Normes et spécifications appliquées
Liste des normes harmonisées appliquées (quand elles seront disponibles). Liste des autres normes utilisées (ISO 27001, IEC 62443, NIST SP 800-53, etc.). Pour chaque norme, indication des chapitres pertinents appliqués au produit.
Section 6 — Solutions adoptées pour les exigences essentielles
Pour chaque exigence essentielle de l’Annexe I du règlement, démonstration de la manière dont le produit y satisfait. Cette section prend la forme d’un tableau exigence par exigence, avec la solution technique adoptée, la preuve associée, et la référence au document détaillé qui en justifie la mise en œuvre.
C’est cette section qui prouve la conformité formelle. Elle doit être exhaustive : chaque exigence applicable au produit doit avoir sa réponse. Une exigence non traitée vaut constat de non-conformité.
Section 7 — Rapports d’essais et de vérification
Synthèse des essais de sécurité conduits sur le produit : tests d’intrusion, audits de code, scans de vulnérabilités, tests de configuration. Pour les produits classés Important I ou II, rapports d’évaluation par organisme notifié.
Section 8 — Déclaration UE de conformité
Texte de la déclaration UE de conformité tel qu’il sera produit conformément à l’Annexe V. Identification du signataire, date, lieu, signature.
Section 9 — Software Bill of Materials (SBOM)
Nomenclature logicielle complète du produit au format CycloneDX ou SPDX. Identification de tous les composants logiciels tiers, leur version, leur licence, leurs vulnérabilités connues à la date de mise sur le marché.
Le SBOM doit être actualisé à chaque version du produit et conservé pour l’ensemble de la période de support.
Section 10 — Documentation utilisateur
Manuel d’installation, manuel de configuration sécurisée, manuel d’administration, manuel d’utilisation. Information aux utilisateurs sur les bonnes pratiques de sécurité. Documentation des paramètres par défaut et des recommandations de durcissement.
Important : la documentation utilisateur doit être cohérente avec la déclaration d’usage prévu. Une incohérence entre l’intended use du dossier technique et le manuel d’utilisation peut être exploitée contre le fabricant en cas de litige (cf. mon article précédent sur les CGU et l’intended use).
Section 11 — Processus de gestion coordonnée des vulnérabilités (CVD)
Politique de gestion coordonnée des vulnérabilités conforme aux normes ISO/IEC 29147 et 30111. Procédure de réception des signalements (canal dédié, formulaire, conditions). Procédure de traitement interne. Procédure de notification à l’ENISA dans les 24 heures pour les vulnérabilités activement exploitées. Procédure de communication aux utilisateurs.
Cette section est critique : à compter du 11 septembre 2026, l’obligation de notification à 24 heures est effective. Le processus doit être opérationnel à cette date, pas seulement documenté.
Section 12 — Surveillance après mise sur le marché
Dispositif de veille sur les vulnérabilités affectant le produit. Suivi des incidents reportés par les utilisateurs. Indicateurs de qualité et de sécurité du produit en exploitation. Procédure de remontée des informations en interne et de déclenchement des actions correctives.
Section 13 — Modifications substantielles
Politique de gestion des modifications substantielles au sens de l’article 13 du règlement. Critères d’identification d’une modification substantielle. Procédure de réévaluation de la conformité en cas de modification substantielle. Traçabilité des décisions de qualification.
Section 14 — Archivage et durée de conservation
Modalités d’archivage du dossier technique, conservation pendant au moins dix ans après la mise sur le marché du produit, ou pendant la durée de la période de support si elle est plus longue. Procédure de mise à disposition aux autorités compétentes en cas de contrôle. Procédure de transmission au successeur en cas de cession ou liquidation du fabricant.
Comment utiliser ce plan
Ce plan en quatorze sections peut servir de matrice de référence pour structurer le travail de mise en conformité CRA d’un fabricant. Trois recommandations pour le mettre en œuvre.
Première recommandation : attribuer chaque section à une équipe propriétaire (R&D, Sécurité, Qualité, Juridique, Documentation), avec un responsable identifié et un calendrier de production. La transversalité du dossier est sa difficulté principale.
Deuxième recommandation : produire un premier brouillon complet en 90 jours, même incomplet. Mieux vaut un dossier de quatorze sections esquissées à 40% qu’un dossier de trois sections finalisées à 100%. La cohérence d’ensemble est plus importante que la perfection sectorielle.
Troisième recommandation : faire relire le dossier complet par un auditeur tiers indépendant — typiquement un organisme notifié ou un cabinet spécialisé — au moins six mois avant l’échéance dure du 11 décembre 2027. Cette revue identifie les écarts et permet de les corriger dans des délais raisonnables.
En conclusion
Le dossier Annexe VII est l’instrument principal de la conformité CRA. Sa structuration en quatorze sections cohérentes, conduite avec discipline transversale, est l’un des chantiers les plus rentables qu’un fabricant puisse engager en 2026 et 2027. Mal anticipé, ce chantier devient impossible à boucler dans les délais. Bien conduit, il devient un actif défensif majeur pour l’organisation.
Pour les fabricants qui souhaitent aller plus loin sur la mise en œuvre opérationnelle de chaque section, le détail des livrables types, des templates et des bonnes pratiques fait l’objet d’un programme de formation professionnelle dédié.
Sources : règlement (UE) 2024/2847 du 23 octobre 2024 (CRA), Annexes I, V, VI, VII ; normes ISO/IEC 29147 et 30111 sur la gestion coordonnée des vulnérabilités. Cet article propose une structure de référence ; l’application à un produit spécifique doit être adaptée à son contexte.
Commentaires récents