Documentation technique de l’annexe VII du CRA : ce que le dossier doit contenir

L’annexe VII demande au moins ces informations, selon ce qui s’applique au produit concerné. Le tableau en abrège la formulation. Reportez-vous aux points du règlement lui-même avant de vous y fier.

La documentation technique décrit un produit, dans les versions présentes sur le marché, et non l’entreprise dans son ensemble. Son organisation en découle.

• Un dossier par produit, avec les versions du logiciel qu’il couvre. À chaque nouvelle version, demandez-vous quels points changent.
• Conservez l’ordre de l’annexe VII. Le lecteur trouve chaque point là où le règlement le place, et un point vide reste visible.
• Laissez les documents distincts à leur place. L’évaluation des risques, les informations destinées aux utilisateurs (annexe II) et la déclaration UE de conformité sont des documents à part entière qui font partie du dossier. Renvoyez à leur version en vigueur plutôt que d’en recopier le texte.
• Consignez ce qui ne s’applique pas, et pourquoi. Lorsque l’évaluation des risques montre qu’une exigence essentielle de cybersécurité n’est pas applicable au produit, l’article 13, paragraphe 4, prévoit que la justification figure dans la documentation technique.
• Une seule documentation pour les systèmes d’IA à haut risque. Pour les produits visés à l’article 12 (systèmes d’IA à haut risque) qui relèvent aussi d’autres actes juridiques de l’Union prévoyant une documentation technique, l’article 31, paragraphe 3, prévoit une seule documentation technique.

L’article 31, paragraphe 2, prévoit que la documentation est établie avant la mise sur le marché du produit et fait l’objet, le cas échéant, de mises à jour régulières, au moins pendant la période d’assistance. L’article 13, paragraphe 13, fixe la durée pendant laquelle elle reste à la disposition des autorités de surveillance du marché. En pratique, le dossier évolue avec le produit :

• Une nouvelle version du logiciel ayant une incidence sur les exigences essentielles de cybersécurité (point 1).
• Une nouvelle SBOM, ou une modification des composants ou de l’architecture (point 2).
• Une période d’assistance réévaluée (point 4).
• Un changement des normes ou spécifications sur lesquelles vous vous appuyez (point 5).
• De nouveaux rapports d’essais (point 6).
• Une modification substantielle au sens de l’article 3, point 30 : vous devez pouvoir justifier votre appréciation.

Conservez les versions précédentes. Elles montrent ce que contenait le dossier lorsqu’une version donnée a été mise sur le marché.

Certains points découlent de données qu’une équipe tient déjà : le produit, sa version, la SBOM. D’autres demandent un texte ou des preuves que quelqu’un doit rédiger ou rassembler. Voici les éléments que le modèle d’Attesly ne peut pas tirer du dossier produit et qu’il signale comme restant à compléter :

• L’architecture du système (point 2) : la manière dont les composants logiciels s’appuient les uns sur les autres ou s’alimentent mutuellement, avec les dessins et schémas existants.
• La distribution sécurisée des mises à jour (point 2) : une description des solutions techniques choisies. Elle figure au milieu des éléments sur la gestion des vulnérabilités et passe facilement inaperçue.
• La validation des processus de production et de suivi (point 2) : l’annexe VII mentionne la validation, pas seulement la description.
• La justification de la période d’assistance (point 4), et pas seulement sa date de fin.
• Les parties appliquées (point 5) : quelles parties d’une norme ou d’une spécification ont été appliquées, et les solutions adoptées lorsqu’aucune ne l’a été.
• Les rapports d’essais (point 6), pour le produit et pour les processus de gestion des vulnérabilités.
• Les photographies ou illustrations d’un produit matériel (point 1).
• La copie de la déclaration UE de conformité (point 7). Un projet ne devient une déclaration qu’une fois signé.

• Attesly permet de : générer, pour chaque produit, une documentation technique à partir d’un modèle qui suit les huit points de l’annexe VII ; y reporter ce que le dossier produit contient déjà, par exemple l’utilisation prévue, la version, la SBOM importée, la période d’assistance avec les informations enregistrées à son sujet et les normes que vous avez saisies ; signaler ce qui reste à compléter ; tenir l’évaluation des risques, les informations destinées aux utilisateurs, la déclaration UE de conformité et la politique de divulgation coordonnée des vulnérabilités comme des documents distincts ; compléter un document dans l’éditeur et conserver les versions précédentes dans l’historique.
• Attesly ne permet pas de : rédiger à votre place la description de l’architecture ou les rapports d’essais, juger si le contenu est exact ou suffisant, réaliser une évaluation de la conformité, certifier des produits ou fournir un conseil juridique. Attesly n’est pas un organisme notifié.

Le score de préparation d’Attesly tient compte de l’existence d’une documentation technique pour le produit. Il aide à repérer les lacunes à partir de vos propres données.

Consultez les offres et tarifs, prenez rendez-vous ou découvrez comment tenir à jour les preuves produit et SBOM et comment préparer une notification article 14.