Liste de contrôle de la documentation technique du CRA

Obligation de documentation

La documentation technique contient toutes les données pertinentes ou les précisions relatives aux moyens utilisés par le fabricant pour garantir que le produit comportant des éléments numériques et les processus mis en place par le fabricant respectent les exigences essentielles de cybersécurité énoncées à l’annexe I. Elle contient au moins les éléments énumérés à l’annexe VII.

Règlement (UE) 2024/2847, article 31, paragraphe 1

L’article 31 exige que le dossier explique comment le produit et les processus du fabricant respectent l’annexe I. La documentation couvre donc à la fois la conception du produit et les dispositions de traitement des vulnérabilités après la publication.

Calendrier et mises à jour

La documentation technique est établie avant la mise sur le marché du produit comportant des éléments numériques et est tenue à jour en continu, le cas échéant, au moins pendant la période de soutien.

Règlement (UE) 2024/2847, article 31, paragraphe 2

La documentation technique doit exister avant la mise sur le marché. Elle doit ensuite être tenue à jour lorsque des changements pertinents interviennent pendant la période de soutien.

• Une modification de la conception du produit, de l’architecture, de la version logicielle ou de la méthode de mise à jour peut nécessiter une actualisation.
• Une modification de l’évaluation des risques de cybersécurité peut nécessiter une actualisation.
• De nouvelles informations sur les vulnérabilités peuvent nécessiter une actualisation.
• Pour un produit remanié ou réévalué, la documentation devrait identifier les versions modifiées.

Contenu de l’annexe VII

L’annexe VII énumère le contenu minimal. Il est préférable de la lire comme une liste de catégories d’éléments de preuve et non comme un modèle de tableau. Le niveau de détail exact dépend du produit concerné.

Liste de contrôle de l’annexe VII pour une version du produit

L’index suivant reprend les huit entrées de l’annexe VII. Il s’agit d’un exemple d’organisation des informations, et non d’une structure de dossiers prescrite ni d’une obligation d’exporter huit fichiers distincts. Chaque dossier référencé devrait préciser le produit et la version auxquels il s’applique.

1. Description du produit : finalité, versions logicielles affectant la conformité, images et marquages matériels pertinents, et informations destinées aux utilisateurs prévues à l’annexe II.
2. Conception et processus : architecture et relations entre composants ; traitement des vulnérabilités, SBOM, politique de divulgation, contact pour les signalements et mises à jour sécurisées ; production, surveillance et validation des processus.
3. Évaluation des risques de cybersécurité : risques du produit et justification de l’applicabilité des exigences de l’annexe I, partie I.
4. Période de soutien : informations utilisées pour en déterminer la durée.
5. Normes et solutions techniques : dispositions appliquées, statut et étendue de leur utilisation, et solutions retenues pour les exigences qu’elles ne couvrent pas.
6. Rapports de vérification : essais du produit et des processus de traitement des vulnérabilités au regard des exigences essentielles applicables.
7. Déclaration UE de conformité : déclaration correspondant au produit évalué.
8. SBOM sur demande de l’autorité : SBOM applicable lorsqu’une autorité de surveillance du marché en fait la demande motivée et en a besoin pour vérifier la conformité à l’annexe I.

Pour une version fictive 1.2 d’un contrôleur, l’index pourrait renvoyer à la description de la version, à la révision de l’architecture, à l’évaluation des risques, à la SBOM, aux essais de mise à jour et aux instructions destinées aux utilisateurs de cette version. Si une évaluation des risques plus récente est associée à un rapport d’essai de micrologiciel plus ancien, il faut expliquer si les mesures testées restent applicables.

Vérifiez l’exhaustivité au regard des informations applicables de l’annexe VII et de la version du produit évaluée. Un index documentaire aide les évaluateurs à trouver l’analyse et les résultats qui étayent chaque conclusion, y compris les informations encore manquantes.

Liens entre les éléments de preuve

L’évaluation des risques explique les mesures de sécurité retenues ; les dossiers des composants identifient les logiciels protégés par ces mesures ; les dossiers de traitement des vulnérabilités montrent les suites données à la découverte d’un nouveau problème. Les pages suivantes expliquent le contenu et l’utilisation de chaque dossier.

Évaluation des risques

L’article 13, paragraphe 4, impose d’inclure l’évaluation des risques de cybersécurité dans la documentation technique. Cette évaluation explique comment l’annexe I s’applique au produit, notamment les raisons pour lesquelles une exigence relative aux propriétés du produit n’est pas pertinente, si telle est la conclusion du fabricant.

Selon la FAQ de la Commission, le dossier doit être disponible lorsque le produit est mis sur le marché, qu’il soit fabriqué dans l’UE ou en dehors de celle-ci. Elle indique également que les reconceptions et réévaluations ultérieures doivent être reflétées dans la documentation technique.

Conformité et utilisation par les autorités

La documentation technique sert principalement à l’évaluation de la conformité et à la surveillance du marché. Selon la FAQ de la Commission, elle n’a normalement pas à être mise à la disposition des clients ou du public.

La principale exception publique mentionnée dans la FAQ concerne certains produits logiciels libres et open source importants qui suivent la voie d’autoévaluation prévue à l’article 32, paragraphe 5.