Les preuves pour la directive RED

L'annexe V liste ce que contient la documentation technique, « le cas échéant, au moins ». Parmi ses points, ceux qui appellent des preuves :

Le texte ne définit pas la forme d'une preuve. Ce qui suit est ce qui rend une preuve facile à retrouver et à relire, des années après :

• Elle désigne une version. Celle du produit et celle du micrologiciel qu'elle concerne : un rapport d'essai sur la version 2.0 ne dit rien de la 2.1.
• Elle est datée, et dit qui l'a produite. Votre équipe, un laboratoire, un fournisseur de module radio.
• Elle se retrouve. Un titre, une référence, une version, et l'endroit où le document est rangé dans votre documentation technique.
• Une exigence écartée l'est avec sa raison. « Ne s'applique pas » sans justification ne dit pas pourquoi.

Dans euvex, la preuve est un texte que vous écrivez, exigence par exigence : la référence du document et ce qu'il établit. Rien ne s'y dépose comme fichier, et euvex ne juge pas ce que vous citez. Le rapport, lui, dit ce qui manque :

Les thèmes et leurs intitulés sont ceux d'euvex, formulés par euvex. Ce ne sont pas des clauses d'EN 18031, et aucune ne leur correspond terme à terme dans ce guide. Le questionnaire porte aujourd'hui six questions sur le point d), une question sur le point e). Le point f), la fraude, n'y a pas encore de question : si votre produit en relève, ses preuves se rangent dans votre documentation, hors d'euvex.

Mise à jour sécuriséeart. 3(3), point d)

L'appareil vérifie-t-il l'intégrité et l'authenticité de ses mises à jour logicielles avant de les appliquer ?

Ce qu'on peut citer : Signature des firmwares, chaîne de confiance, procédure de retour à la version précédente documentée.

Contrôle d'accèsart. 3(3), point d)

L'accès aux fonctions et données sensibles est-il restreint aux entités autorisées ?

Ce qu'on peut citer : Matrice de droits, séparation des rôles, refus par défaut.

Authentificationart. 3(3), point d)

Les utilisateurs et services sont-ils authentifiés avant d'accéder aux ressources protégées ?

Ce qu'on peut citer : Aucun mot de passe par défaut partagé, politique de robustesse, limitation des essais.

Stockage sécuriséart. 3(3), point d)

Les données sensibles (secrets, clés, données personnelles) sont-elles stockées de façon protégée ?

Ce qu'on peut citer : Chiffrement au repos, stockage matériel des clés, accès au stockage contrôlé.

Communication sécuriséeart. 3(3), point d)

Les communications de l'appareil sont-elles protégées en confidentialité et en intégrité ?

Ce qu'on peut citer : TLS à jour, suites cryptographiques robustes, validation des certificats.

Résistance au déni de serviceart. 3(3), point d)

L'appareil résiste-t-il aux tentatives de déni de service et revient-il à un état sûr ?

Ce qu'on peut citer : Limitation de débit, dégradation contrôlée, redémarrage sûr.

Notification à l'utilisateurart. 3(3), point e)

L'utilisateur est-il informé des changements affectant la protection de sa vie privée ?

Ce qu'on peut citer : Notification des changements de configuration, consentement, transparence.

Ce qu'il garde. Vos réponses, rattachées au produit et à sa version, et un rapport imprimable qui les reprend avec leur état. Le volet RED alimente la déclaration UE de conformité du produit.

Ce qu'il apporte lui-même. Si un scan logiciel est rattaché au produit, son SBOM liste les composants du logiciel et leurs versions, et son verdict sur les vulnérabilités connues est repris tel quel dans le rapport RED. C'est une mesure, pas une déclaration. Elle ne remplace pas la description des versions qu'attend l'annexe V ; elle peut l'appuyer.

Le champ de RED et ses exigences, lus au texte · Un dossier complet, sur un produit fictif

Avec les normes harmonisées. Quand le fabricant a appliqué des normes harmonisées dont la référence est parue au Journal officiel, il choisit entre trois procédures : le contrôle interne de la production (annexe II), l'examen UE de type suivi de la conformité au type (annexe III), ou l'assurance complète de la qualité (annexe IV). Art. 17, paragraphe 3.

Sans elles, ou en partie. Quand il ne les a pas appliquées, ou seulement en partie, ou qu'il n'en existe pas, il ne reste que les deux dernières, où un organisme notifié examine la conception ou évalue le système de qualité. Art. 17, paragraphe 4.

Les trois normes EN 18031 ont été publiées au Journal officiel avec des restrictions, qui retirent la présomption de conformité dans certains cas : lesquelles. Ce que l'une d'elles change à la procédure de votre produit est une question pour votre organisme notifié ou votre conseil : ce guide ne la tranche pas, euvex non plus.

• Directive 2014/53/UE du 16 avril 2014. Article 10, paragraphe 4 ; article 17, paragraphes 3 et 4 ; annexes III, IV et V.
• La décision d'exécution (UE) 2025/138 et ses restrictions, le règlement délégué (UE) 2022/30 et son champ : les sources de la page RED.
• Le questionnaire : sept questions, lues dans le code d'euvex le jour de la relecture.