Un premier état des lieux pour les équipes logiciel et produits connectés. Pour chaque écart, désignez un responsable, identifiez les preuves et notez la prochaine action.
Les notifications de l’article 14 s’appliquent depuis le 11 septembre 2026. Les principales exigences du CRA s’appliquent le 11 décembre 2027.
Produit et périmètre
Point de contrôle
Responsable / preuves / prochaine action
□ Définir le produit, ses versions, firmware, applications associées et traitements à distance nécessaires.
□ Documenter les marchés, les rôles des opérateurs économiques et les exclusions. Un SaaS autonome n’est pas automatiquement couvert.
□ Examiner la classification du produit et la procédure de conformité avec un spécialiste réglementaire.
Sécurité et développement
Point de contrôle
Responsable / preuves / prochaine action
□ Tenir à jour l’analyse des risques cyber du produit et les décisions de sécurité.
□ Examiner l’authentification, les droits, les paramètres par défaut, les secrets et la protection des données.
□ Intégrer les revues et tests de sécurité au développement et à la validation des versions.
Chaîne d’approvisionnement logicielle
Point de contrôle
Responsable / preuves / prochaine action
□ Générer une SBOM lisible par machine pour chaque version, incluant au moins les dépendances de premier niveau.
□ Suivre la provenance, les versions, l’assistance et les vulnérabilités connues des dépendances.
□ Désigner les responsables de la qualification, des corrections et des mises à jour des dépendances.
Vulnérabilités et mises à jour
Point de contrôle
Responsable / preuves / prochaine action
□ Publier un contact sécurité et un processus de divulgation coordonnée.
□ Tester la réception, la qualification, la correction et la communication avec des responsables identifiés.
□ Prévoir des mécanismes de mise à jour sécurisés et la période d’assistance du produit.
Notifications de l’article 14
Point de contrôle
Responsable / preuves / prochaine action
□ Définir l’identification et l’escalade des vulnérabilités activement exploitées et incidents graves de sécurité.
□ Préparer le circuit de notification, les décisions et les délais applicables. Toute vulnérabilité ne doit pas nécessairement être notifiée.
□ Tester le circuit, y compris l’escalade hors horaires habituels et l’information des utilisateurs concernés.
Preuves et prochaines étapes
Point de contrôle
Responsable / preuves / prochaine action
□ Relier les analyses de risques, tests, SBOM, décisions et corrections aux versions du produit.
□ Identifier les lacunes de documentation technique et les responsabilités du fabricant, dont la documentation de conformité.
□ Prioriser les écarts par risque, documenter les dépendances et convenir du plan de mise en œuvre.
Cette checklist organise une première revue technique. Elle n’est ni exhaustive, ni un avis juridique, ni une évaluation ou certification de conformité. Le champ d’application et la procédure de conformité dépendent du produit. Faites confirmer le périmètre par un conseil qualifié.