Documentation technique CRA : constituer les preuves à chaque version
Construisez un index reliant les exigences du produit aux versions, décisions, tests et corrections. Chaque entrée doit avoir un responsable et une source vérifiable, pas seulement un nom de fichier.
Commencer par un index de preuves
Un dossier documentaire devient difficile à examiner si personne ne sait à quelle version correspond chaque fichier. Créez un index simple : exigence ou risque, produit/version, emplacement, responsable, statut et date de revue.
Le CRA prévoit des obligations de documentation technique. L’approche proposée organise les preuves d’ingénierie ; elle ne constitue ni une checklist juridique exhaustive ni un format réglementaire imposé.
Une cartographie pratique
| Domaine | Preuve technique proposée |
|---|---|
| Périmètre produit | Architecture, interfaces, versions et traitements distants nécessaires. |
| Décisions de risque | Menaces, mesures retenues, hypothèses et risque résiduel. |
| Inventaire logiciel | SBOM, commande, version de l’outil et limites de couverture. |
| Vérification de sécurité | Procédure de test, résultat, version et liens vers les corrections. |
| Vulnérabilités | Signalements, décisions de qualification, correctifs et communications. |
| Livraison et assistance | Mécanisme de mise à jour, engagements et historique pertinent. |
Constituer les preuves pendant le travail
Reliez chaque pull request de sécurité au risque ou à l’écart traité. Joignez le résultat du test au ticket et identifiez la première version corrigée. Conservez les preuves antérieures lorsque les résultats changent.
Utilisez le dépôt et les outils de livraison pour les éléments qui en proviennent. Réservez un espace documentaire au reste, avec des liens stables dans l’index.
Tester la traçabilité
Choisissez une exigence et demandez à un collègue de la suivre jusqu’au build livré. Peut-il comprendre le changement, sa revue et le test qui le justifie ? Relevez les liens cassés et droits manquants.
Distinguez les preuves existantes de celles qui restent à produire. Chaque écart ouvert doit avoir un responsable et une prochaine action. Un dossier soigné ne doit pas masquer les incertitudes.
Définir la remise des livrables
Convenez des éléments produits par Dotgrey Continent, des dossiers tenus par votre équipe et des documents formels nécessitant un appui réglementaire. Les validations du fabricant et la procédure de conformité restent des responsabilités distinctes.
Un manifeste de preuves de version facilite l’automatisation. Le modèle téléchargeable contient des chemins et rôles à adapter ; ce n’est pas un schéma officiel du CRA.
Un point de départ à adapter
Renseignez les champs et faites valider les décisions propres à votre produit avant utilisation.
Télécharger le modèleSources officielles et références
Les workflows proposés sont des recommandations d’ingénierie de Dotgrey. Les textes officiels déterminent les obligations ; l’applicabilité se vérifie pour chaque produit.