Informations et instructions destinées aux utilisateurs selon le CRA
Sytance · Mis à jour
Les informations destinées aux utilisateurs au titre du CRA sont les documents qui accompagnent le produit et aident les utilisateurs à l’installer, à l’exploiter et à le mettre à jour de manière sécurisée, à signaler des vulnérabilités et à le mettre hors service. Elles s’adressent aux utilisateurs, intégrateurs, propriétaires et opérateurs, et pas seulement au dossier interne du fabricant.
Informations destinées aux utilisateurs
Les fabricants veillent à ce que les produits comportant des éléments numériques soient accompagnés des informations et instructions destinées à l’utilisateur prévues à l’annexe II, sur papier ou sous forme électronique. Ces informations et instructions sont fournies dans une langue facilement compréhensible par les utilisateurs et les autorités de surveillance du marché. Elles sont claires, compréhensibles, intelligibles et lisibles. Elles permettent l’installation, l’exploitation et l’utilisation sécurisées des produits comportant des éléments numériques. Les fabricants tiennent les informations et instructions destinées à l’utilisateur visées à l’annexe II à la disposition des utilisateurs et des autorités de surveillance du marché pendant au moins dix ans après la mise sur le marché du produit comportant des éléments numériques ou pendant la période de soutien, la durée la plus longue étant retenue. Lorsque ces informations et instructions sont fournies en ligne, les fabricants veillent à ce qu’elles soient accessibles, faciles d’utilisation et disponibles en ligne pendant au moins dix ans après la mise sur le marché du produit comportant des éléments numériques ou pendant la période de soutien, la durée la plus longue étant retenue.
Règlement (UE) 2024/2847, article 13, paragraphe 18
Les informations peuvent être fournies sur papier ou sous forme électronique. Elles doivent être rédigées dans une langue facilement compréhensible par les utilisateurs et les autorités de surveillance du marché. Si elles sont en ligne, elles doivent rester accessibles et faciles d’utilisation pendant la durée requise.
Documents destinés aux utilisateurs
Ils expliquent l’utilisation sécurisée, le soutien, les mises à jour, les moyens de contact et les informations sur les risques dont les utilisateurs ont besoin.
Partie du dossier de preuves
L’annexe VII inclut également les informations destinées aux utilisateurs prévues à l’annexe II dans la documentation technique.
Contenu de l’annexe II
L’annexe II énumère le contenu minimal. Elle associe l’identité du produit et les informations de soutien aux instructions d’utilisation sécurisée et aux coordonnées pour le signalement des vulnérabilités.
L’annexe II demande le nom du fabricant, ses coordonnées, son site web s’il existe, ainsi que suffisamment d’informations pour identifier le produit de manière univoque.
Les utilisateurs doivent savoir comment signaler et recevoir des informations sur les vulnérabilités et où trouver la politique de divulgation coordonnée des vulnérabilités.
Les informations doivent décrire la destination, l’environnement de sécurité, les fonctions essentielles, les propriétés de sécurité ainsi que toute circonstance connue ou prévisible susceptible d’entraîner des risques importants pour la cybersécurité.
L’annexe II demande le type de soutien technique en matière de sécurité et la date de fin de la période de soutien. Elle demande également des instructions pour installer les mises à jour pertinentes pour la sécurité.
L’annexe II demande des informations sur la mise en service sécurisée, l’utilisation sécurisée pendant toute la durée de vie, la mise hors service sécurisée, la suppression des données, les paramètres de mise à jour automatique et les informations d’intégration lorsque le produit est destiné à être intégré à un autre produit.
Instructions d’utilisation sécurisée
Le CRA n’exige pas de conseils de sécurité génériques. Les instructions doivent correspondre au produit, à sa destination, à ses utilisations prévisibles et aux utilisateurs qui l’installeront ou l’exploiteront.
Le point 8 de l’annexe II exige des instructions, ou un lien vers celles-ci, concernant :
- les mesures nécessaires lors de la mise en service initiale et pendant toute la durée de vie du produit ;
- la manière dont les modifications du produit peuvent affecter la sécurité des données ;
- la manière d’installer les mises à jour pertinentes pour la sécurité ;
- la mise hors service sécurisée et la suppression sécurisée des données utilisateur ;
- la manière de désactiver les mises à jour de sécurité automatiques lorsqu’elles sont activées par défaut ;
- les informations d’intégration nécessaires à un autre fabricant ou intégrateur.
Des instructions claires ne remplacent pas la conception
Les informations destinées aux utilisateurs peuvent expliquer les hypothèses et les risques résiduels. Elles ne peuvent pas servir à laisser sans réponse les exigences de sécurité applicables au produit.
Date de fin de soutien à l’achat
L’article 13, paragraphe 19, exige que la date de fin de la période de soutien soit clairement indiquée au moment de l’achat. Elle doit comprendre au moins le mois et l’année. Si cela est techniquement possible, les utilisateurs doivent également être informés lorsque le produit arrive en fin de soutien.
Au moment de l’achat
Les utilisateurs devraient pouvoir consulter la date de fin de soutien au moment de l’achat.
Pendant l’utilisation
Les utilisateurs ont besoin d’instructions de mise à jour correspondant à la méthode de mise à jour réelle du produit.
Limite entre informations destinées aux utilisateurs et documentation technique
Les informations destinées aux utilisateurs et la documentation technique ont des publics différents. Les premières concernent l’utilisation sécurisée. La documentation technique est le dossier de preuves permettant de démontrer la conformité au CRA.
L’annexe VII inclut les informations destinées aux utilisateurs prévues à l’annexe II dans la documentation technique, mais demande également des éléments de preuve internes tels que les informations de conception, l’architecture, les informations sur le processus de traitement des vulnérabilités, l’évaluation des risques de cybersécurité, la justification de la période de soutien, les normes utilisées et les rapports d’essais.