Le dossier technique et la déclaration UE, en clair
Pour qui signe : ce que sont ces deux pièces, pourquoi la loi n'en demande qu'un jeu pour tous les textes d'un produit, combien de temps il faut les tenir, et ce qui reste à votre charge.
Deux pièces, pas une
Tous les textes visés ici, RED, CRA, Machines, partagent la mécanique du marquage CE. Le fabricant prouve la conformité par un dossier, et l'affirme par une déclaration.
La documentation technique.
Le dossier qui démontre la conformité : la description du produit, la façon dont chaque exigence essentielle applicable est satisfaite, et les preuves. Il ne se publie pas, il se tient à la disposition des autorités de surveillance du marché.
La déclaration UE de conformité.
Le document court par lequel le fabricant affirme que le produit est conforme, et énumère les textes auxquels il l'est. C'est la pièce qu'on signe.
Le marquage CE.
Le signe apposé sur le produit. Il vient après les deux autres, et ne vaut que par elles.
Un seul dossier, pas un par texte
Règlement Machines 2023/1230, annexe V
Un objet connecté relève de RED aujourd'hui et du CRA demain. Une machine connectée relève du règlement Machines et du CRA. Le fabricant ne rédige pas une déclaration par texte : il en établit une, qui les énumère tous.
Annexe V, partie A, point 6
La consolidation n'est donc pas une commodité qu'euvex invente : elle est dans la loi, et les fabricants la font aujourd'hui à la main, texte par texte, dans des documents séparés qu'il faut ensuite réconcilier.
Un dossier qui vit dix ans, pas un document du jour J
Cyber Resilience Act
Mis à jour en continu.
La documentation technique est établie avant la mise sur le marché, puis mise à jour en continu, lorsque c'est approprié, au moins pendant la période de support (art. 31 ; « where appropriate » dans la version anglaise). Un dossier exact le jour de la mise sur le marché et jamais retouché n'est pas en règle, même si personne ne le remarque.
Tenu dix ans.
La documentation technique et la déclaration restent à la disposition des autorités au moins dix ans après la mise sur le marché, ou pendant toute la période de support si elle est plus longue (art. 13, paragraphe 13).
Avec un SBOM.
Le CRA demande en outre d'identifier et de documenter les composants du produit, notamment en établissant un SBOM (annexe I, partie II, point 1). Exigence applicable au 11.12.2027.
Pour tenir un dossier à jour, il faut savoir ce qui a changé. Pour savoir ce qui a changé, il faut garder ce qu'on savait avant. C'est la raison de l'historique daté d'euvex, pas un ornement.
Ce qui reste à vous
Annexe V, partie A, point 4
La déclaration est « établie sous la seule responsabilité du fabricant ». Aucun outil ne porte cette responsabilité à votre place, et euvex ne le prétend pas.
Ce qu'euvex ne fait pas
- Il ne signe pas la déclaration : vous la signez.
- Il ne teste pas le produit : les essais, l'analyse de risques et le choix des normes restent les vôtres.
- Il n'est pas un organisme notifié, et ne remplace pas son intervention quand un texte l'exige.
- Il ne dépose rien auprès du CSIRT ni de l'ENISA au titre de l'art. 14 du CRA : il prépare le dossier et décompte les échéances.
Ce qu'euvex assemble
Le produit
Un dossier par produit et par version, parce qu'une déclaration porte sur un produit précis, pas sur une organisation.
Le logiciel.
Le SBOM CycloneDX, les vulnérabilités connues, et l'historique daté de chaque vérification.
Les volets déclarés.
RED et Machines, question par question, avec un rapport imprimable pour chacun.
Le signalement.
Les dossiers art. 14 du CRA, avec leurs trois échéances.
La déclaration.
Assemblée depuis ces volets, avec les intitulés officiels des textes. Les informations du fabricant viennent de vos réglages ; ce qui manque est signalé, jamais inventé.
L'archive.
Toutes les révisions en un fichier autonome, en CycloneDX standard : vos preuves ne dépendent pas de la survie d'euvex.
Commencer par un produit
Gratuit pendant la bêta. Créez un compte, déclarez un produit, rattachez-lui son SBOM.