Période de support CRA 2027 – mises à jour de sécurité, informations clients et registre du cycle de vie | Word/PDF/Excel

Combien de temps un fabricant doit-il garantir la sécurité de son produit numérique, et comment la fin du support est-elle clairement indiquée au client ? Avec ce pack spécialisé, vous documentez la durée d’utilisation prévue, la période de support, la gestion des vulnérabilités, les mises à jour de sécurité, les informations fournies aux clients et l’accès continu aux correctifs déjà publiés. Conçu pour les fabricants suédois, les propriétaires de produits, les responsables du développement, les équipes PSIRT et les entreprises vendant des logiciels ou du matériel connecté dans l’UE.

Informations clés : 15 fichiers clients : sept documents Word modifiables (DOCX), sept fichiers PDF correspondants consultables et imprimables, ainsi qu’un registre Excel (XLSX) de neuf onglets. Cinq modèles de travail en suédois, un guide d’utilisation suédois et un guide d’utilisation anglais séparé pour les modèles suédois. Les fichiers PDF ne sont pas des formulaires interactifs.

À qui s’adresse ce pack ?

Par exemple, à un fournisseur suédois de capteurs connectés, à une entreprise fournissant des logiciels, à un fabricant intégrant des composants tiers ou à une équipe produit devant documenter sa politique de support en vue de l’application principale de la CRA en décembre 2027.

Ne convient pas seul si vous avez besoin d’un véritable générateur de SBOM, d’une analyse de code, d’une certification de sécurité, d’un test d’intrusion, d’une déclaration de conformité CE ou d’un rapport obligatoire détaillé à une autorité. Le modèle ne peut pas déterminer automatiquement l’applicabilité du produit ni garantir la conformité juridique.

Aperçu des fichiers – ce que reçoit le client

Fichier Excel à neuf onglets

Aperçu, Produits, Décisions relatives aux périodes, Composants, Vulnérabilités, Mises à jour, Informations aux clients, Mesures à prendre et Lisez-moi. Enregistrez par exemple les produits pour lesquels aucune décision finale relative au support n’a été prise, les périodes de support courtes nécessitant d’être examinées, les lacunes concernant les composants, les vulnérabilités non résolues, les correctifs dont l’accès n’a pas été vérifié et les informations manquantes destinées aux clients. L’aperçu utilise des formules de statut testées et ne contient aucune donnée fictive à des fins de test.

Avertissement : L’absence de dossiers ouverts peut signifier qu’aucun dossier n’a été enregistré. Excel n’est pas un moteur d’évaluation juridique, ni un scanner de vulnérabilités, ni une approbation automatique.

Comment utiliser les documents

1. Déterminez si le fabricant et le produit sont soumis à la CRA et si d’autres réglementations sectorielles s’appliquent.
2. Documentez la durée d’utilisation prévue du produit, les attentes des clients et les composants dont il dépend.
3. Justifiez la période de support – normalement au moins cinq ans, ou plus si l’utilisation prévue du produit l’exige ; une durée plus courte doit être justifiée par une durée d’utilisation prévue plus courte.
4. Validez les responsabilités, les ressources, la réception des signalements de vulnérabilités, l’application des correctifs, les tests et la distribution sécurisée.
5. Indiquez clairement la fin du support du produit au moment de l’achat, au moins au mois et à l’année près, et fournissez les informations de sécurité pertinentes.
6. Enregistrez la date de publication de chaque mise à jour et vérifiez le maintien de l’accès pendant la période appropriée.
7. Documentez les bases techniques, les preuves d’information et les réévaluations en cas de changement de circonstances.

Fondement juridique et dates importantes

Le règlement (UE) 2024/2847 – Cyber Resilience Act constitue la source principale. Selon l’article 13.8, le fabricant doit choisir une période de support correspondant à la durée d’utilisation prévue du produit. En règle générale, celle-ci doit être d’au moins cinq ans, mais une période plus courte est possible si la durée d’utilisation prévue du produit est réellement inférieure à cinq ans. Si cette durée est plus longue, cinq ans peuvent être insuffisants. Les éléments ayant servi à cette évaluation doivent figurer dans la documentation technique.

Article 13.9 : Une mise à jour de sécurité rendue disponible pendant la période de support doit rester accessible pendant au moins dix ans après sa publication, ou plus longtemps si le reste de la période de support est plus long. Il s’agit d’une règle concernant l’accessibilité de la mise à jour elle-même – elle ne constitue pas une exigence générale de dix ans de support actif.

L’article 13.19 exige que la date de fin de la période de support, au moins au mois et à l’année près, soit clairement indiquée au moment de l’achat. L’annexe II, points 7 et 8, traite notamment du type de support, des instructions de mise à jour, de l’installation sécurisée et de la fin de vie sécurisée. La partie II de l’annexe I concerne la gestion des vulnérabilités et des mises à jour, notamment la distribution sécurisée et l’information des utilisateurs.

Dates : Les principales exigences de la CRA applicables aux produits commenceront à s’appliquer le 11 décembre 2027. Les obligations de notification au titre de l’article 14 concernant certaines vulnérabilités activement exploitées et incidents de sécurité graves s’appliquent déjà depuis le 11 septembre 2026. Les produits, les rôles, les règles transitoires, l’applicabilité et les lignes directrices complémentaires doivent être examinés pour le fabricant concerné. Le résumé de la CRA de la Commission européenne et les lignes directrices du 27 juillet 2026 apportent un soutien supplémentaire.

Différence avec les autres produits CRA de Mallbutiken

Le pack de conformité CRA existant couvre largement l’évaluation des risques, la SBOM et les exigences en matière d’incidents. Ce produit spécialisé se concentre sur la justification juridique et technique de la période de support, l’information des clients et le maintien de l’accès aux correctifs. Le signalement des incidents PSIRT est traité séparément. Pour la mise à jour générale des opérations et la planification des modifications, les propres processus techniques de l’organisation concernée sont également nécessaires.

Foire aux questions

Tous les produits doivent-ils être pris en charge pendant exactement cinq ans ?

Non. La période de support doit correspondre à la durée d’utilisation prévue et est souvent supérieure à cinq ans. Une période plus courte nécessite des éléments concrets prouvant que le produit est réellement destiné à être utilisé pendant une durée plus courte.

L’exigence de dix ans signifie-t-elle que nous devons publier de nouveaux correctifs pendant dix ans ?

Non. L’article 13.9 concerne le maintien de l’accès aux correctifs effectivement publiés pendant la période de support. Il s’agit d’une question différente de la durée de la période de support actif.

Que doit voir le client au moment de l’achat ?

Notamment le type de support technique de sécurité et la fin du support, clairement et de manière compréhensible, au moins au mois et à l’année près.

Excel peut-il déterminer si un correctif est conforme à la CRA ?

Non. Excel récapitule les champs saisis manuellement par l’organisation elle-même et ne contient ni scanner technique ni certification réglementaire.

Des mises à jour de sécurité réelles ou une SBOM lisible par machine sont-elles incluses ?

Non. Le pack comprend des modèles de travail pour la documentation et des références fiables. Le développement effectif, les tests et la génération de la SBOM doivent être réalisés séparément.

Les fichiers PDF peuvent-ils être remplis numériquement ?

Ils sont consultables et imprimables, mais ne sont pas des formulaires PDF interactifs. Modifiez les documents dans Word et Excel.

Tous les documents sont-ils traduits en anglais ?

Non. Cinq modèles de travail suédois et le fichier Excel sont en suédois ; un guide d’utilisation anglais est inclus pour expliquer le processus de travail.

Sources, niveau d’examen et version

Sources officielles : UE 2024/2847, résumé de la Commission européenne, calendrier de mise en œuvre et lignes directrices de 2026.

Version du produit : 1.0, 12 novembre 2026. Contrôle juridique des sources : assisté par l’IA et basé sur des sources officielles. Aucun examen juridique externe indépendant, aucun test réel de sécurité du produit, aucun contrôle par une autorité ni aucune certification CE. Les fichiers constituent un produit de travail adaptable et ne doivent pas être présentés comme une conformité vérifiée. La livraison via ZIP numérique nécessite l’activation séparée de la fonction de téléchargement de la boutique avant la publication.