[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:fr:ce-que-contient-le-dossier-technique-cra-annexe-vii-point-par-point":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"fr","ce-que-contient-le-dossier-technique-cra-annexe-vii-point-par-point","Ce que contient le dossier technique du CRA : l'annexe VII, point par point","À partir du 11 décembre 2027, tout produit comportant des éléments numériques mis sur le marché de l'UE a besoin d'une documentation technique avant sa mise sur le marché, conservée dix ans ou pendant la période d'assistance, la plus longue des deux. L'annexe VII dit ce qu'elle contient en huit points. Les voici, ce que chacun demande réellement, les quatre documents que la partie II de l'annexe I présuppose, et combien de temps vous la gardez.","2026-09-11","\nLe règlement sur la cyberrésilience, règlement (UE) 2024\u002F2847, fait peser la charge de la preuve sur le fabricant. L'article 31 exige qu'une **documentation technique** soit établie avant qu'un produit comportant des éléments numériques soit mis sur le marché, tenue à jour pendant la période d'assistance et tenue à la disposition des autorités. L'annexe VII énumère ce qu'elle doit contenir. Pour le fabricant qui s'auto-évalue, c'est la totalité de la preuve ; pour celui qui passe par un organisme notifié, c'est ce que l'organisme examine en premier (annexe VIII, module B, point 3.3).\n\nL'annexe VII tient sur une page et chaque élément correspond à quelque chose de concret. Voici la liste, avec ce que chaque point vous demande de produire.\n\n## Les huit points de l'annexe VII\n\nLa documentation technique doit contenir au moins ce qui suit, selon ce qui s'applique au produit.\n\n**1. Une description générale du produit.** Sa finalité ; les versions de logiciel qui influent sur la conformité aux exigences essentielles ; pour un produit matériel, des photographies ou illustrations montrant les caractéristiques externes, le marquage et l'agencement interne ; et les informations et instructions destinées à l'utilisateur prévues à l'annexe II. En pratique : une fiche produit avec un tableau des versions, et les informations de sécurité destinées à l'utilisateur (contact pour les vulnérabilités, période d'assistance, installation des mises à jour, configuration sécurisée par défaut) que l'annexe II énumère.\n\n**2. Une description de la conception, du développement, de la production et de la gestion des vulnérabilités.** Trois parties. a) Les informations de conception et de développement, y compris, le cas échéant, dessins, schémas et description de l'architecture du système expliquant comment les composants logiciels s'appuient les uns sur les autres ou s'alimentent. b) Les processus de gestion des vulnérabilités, en incluant explicitement la **nomenclature logicielle**, la **politique de divulgation coordonnée des vulnérabilités**, la **preuve d'une adresse de contact** pour signaler les vulnérabilités et une description de la façon dont les mises à jour sont distribuées de manière sûre. c) Les processus de production et de surveillance et la façon dont ils sont validés. Le point 2 b) est l'endroit où vont [les quatre documents de la partie II](\u002Farticles\u002Fcra-annex-i-the-22-essential-requirements-as-a-checklist), et il les nomme.\n\n**3. L'évaluation des risques de cybersécurité.** L'évaluation au titre de l'article 13 au regard de laquelle le produit est conçu, développé, produit, livré et entretenu, y compris **la façon dont les exigences essentielles de la partie I de l'annexe I sont applicables**. C'est le document qui justifie chaque exclusion « le cas échéant » ; une exigence du point 2 de la partie I laissée de côté sans une ligne ici est une lacune.\n\n**4. La détermination de la période d'assistance.** Les informations prises en compte pour déterminer la période d'assistance au titre de l'article 13, paragraphe 8 : au moins cinq ans sauf si le produit est censé être utilisé moins longtemps, et indiquée aux utilisateurs. Notez la durée d'utilisation attendue et le raisonnement ; un chiffre sans raisonnement est la première chose qu'une autorité de surveillance du marché interroge.\n\n**5. Les normes appliquées, ou ce que vous avez fait à la place.** Une liste des normes harmonisées appliquées en tout ou partie, des spécifications communes au titre de l'article 27 ou des schémas européens de certification de cybersécurité ; et, lorsqu'aucun n'a été appliqué, une description des solutions adoptées pour satisfaire à l'annexe I, y compris les autres spécifications techniques utilisées. Les normes partiellement appliquées doivent préciser quelles parties. En septembre 2026, aucune norme harmonisée au titre du CRA n'a été publiée, donc pour la plupart des dossiers ce point est la description des solutions adoptées, exigence par exigence.\n\n**6. Les rapports d'essais.** Les rapports des essais effectués pour vérifier la conformité du produit et des processus de gestion des vulnérabilités avec les parties I et II de l'annexe I. Rapports de tests d'intrusion, résultats d'analyse statique, sorties d'analyse des dépendances, essais du mécanisme de mise à jour : tout ce que vous avez fait, daté.\n\n**7. Une copie de la déclaration UE de conformité.** La déclaration de l'annexe V, signée, identifiant le produit.\n\n**8. La nomenclature logicielle, sur demande motivée.** Le cas échéant, la SBOM elle-même, à fournir à une autorité de surveillance du marché sur demande motivée lorsqu'elle est nécessaire pour vérifier la conformité à l'annexe I. Notez la forme : la SBOM doit exister (point 2 b) et annexe I, partie II, point 1), mais elle n'a pas à être publiée, seulement produite lorsqu'une demande motivée arrive.\n\n## Trois erreurs fréquentes\n\n**« Avant la mise sur le marché » est l'échéance, pas décembre 2027.** L'article 31, paragraphe 1, exige que la documentation soit établie avant la mise sur le marché. Pour un produit mis sur le marché pour la première fois après le 11 décembre 2027, c'est avant le lancement. Pour un produit déjà sur le marché, [l'article 69](\u002Farticles\u002Fis-your-product-in-scope-of-the-cyber-resilience-act) fait que les exigences ne s'appliquent qu'en cas de modification substantielle, donc le dossier est dû avant la première modification substantielle après cette date.\n\n**Dix ans ou la période d'assistance, la plus longue des deux.** L'annexe VIII impose au fabricant de tenir la déclaration de conformité avec la documentation technique à la disposition des autorités nationales pendant 10 ans après la mise sur le marché du produit ou pendant la période d'assistance, la plus longue des deux. Un produit assisté pendant douze ans est un dossier conservé douze ans.\n\n**Le dossier est par produit, et il doit rester à jour.** L'article 31 exige qu'il soit tenu à jour pendant la période d'assistance. Un dossier qui décrit la version 1 pendant que la version 4 est livrée n'est pas un dossier technique ; c'est un document historique.\n\n## Ce que chaque point devient\n\nLes huit points sont écrits comme des informations, pas comme des documents, et un organisme notifié ou une autorité lit des documents. La correspondance que nous utilisons, et que [le pack dossier technique](\u002Fcyber-resilience-act\u002Ftechnical-file) rédige pour un produit, est de onze documents maîtrisés : une détermination du champ d'application et de la classification (article 3 et [annexe III](\u002Farticles\u002Fis-your-product-important-or-critical-under-the-cyber-resilience-act)), la description générale avec les informations utilisateur (point 1 et annexe II), l'évaluation des risques (point 3), le processus de gestion des vulnérabilités (point 2), la détermination de la période d'assistance (point 4), le relevé des normes et preuves d'essais (points 5 et 6), la déclaration UE de conformité (point 7) et les quatre documents opérationnels que la partie II présuppose : la politique de divulgation coordonnée des vulnérabilités, la déclaration sur les mises à jour de sécurité et l'assistance, la procédure SBOM et la [procédure de notification de l'article 14](\u002Farticles\u002Fcra-final-report-clock-does-not-start-when-you-become-aware), qui n'est pas dans l'annexe VII mais est celle qu'une autorité demande le jour où quelque chose est exploité.\n\nQuelle que soit la découpe, commencez par les points 3 et 4. L'évaluation des risques décide de ce que le reste du dossier doit dire, et la période d'assistance décide pendant combien de temps vous le dites.\n\n## Sources\n\n- Règlement (UE) 2024\u002F2847, article 31 et annexe VII (les huit points, paraphrasés de près ; lisez le texte pour le libellé), annexe II pour les informations utilisateur, annexe V pour la déclaration, annexe VIII partie I point 4.2 et partie II point 10 pour la règle des dix ans, article 13, paragraphe 8, pour la période d'assistance, article 27 pour les normes et spécifications communes, articles 69 et 71, paragraphe 2, pour les dates. Lu dans le texte du Journal officiel sur EUR-Lex le 11 septembre 2026.\n\nCeci n'est pas un avis juridique. L'annexe VII tient sur une page ; les numéros de points ci-dessus vous permettent de la relire au regard de votre propre dossier en quelques minutes.\n",1789383974507]