Cyber Resilience Act : que doit contenir la déclaration UE de conformité ?
La déclaration UE de conformité du Cyber Resilience Act (règlement (UE) 2024/2847) est établie par le fabricant selon le modèle de l'annexe V : elle identifie le produit et le fabricant, mentionne la seule responsabilité de celui-ci, déclare le produit conforme à la législation d'harmonisation applicable, cite les normes ou spécifications appliquées et, le cas échéant, l'organisme notifié, puis elle est signée. En allemand, c'est la « Konformitätserklärung ».
Quand et par qui elle est établie
L'article 13, paragraphe 12, prévoit que, lorsqu'il a été démontré par la procédure d'évaluation de la conformité que le produit respecte l'annexe I, partie I, et que les processus du fabricant respectent l'annexe I, partie II, « les fabricants établissent la déclaration UE de conformité conformément à l’article 28 et appose le marquage CE conformément à l’article 30 ». L'article 28, paragraphe 4, en fixe la portée : « En établissant la déclaration UE de conformité, le fabricant assume la responsabilité de la conformité du produit comportant des éléments numériques. »
Selon l'article 28, paragraphe 2, la déclaration « est mise à jour en tant que de besoin ». Lorsqu'un produit relève de plusieurs actes de l'Union imposant une telle déclaration, une seule déclaration est établie pour l'ensemble, avec les titres et références de publication de ces actes (article 28, paragraphe 3).
Le contenu imposé par l'annexe V, point par point
- Le nom et le type du produit, ainsi que toute information supplémentaire permettant son identification unique.
- Le nom et l'adresse du fabricant ou de son mandataire.
- La mention que la déclaration est établie sous la seule responsabilité du fournisseur.
- L'objet de la déclaration : l'identification du produit permettant sa traçabilité, qui peut inclure une photographie.
- Une mention indiquant que cet objet est conforme à la législation d'harmonisation de l'Union applicable.
- Les références de toute norme harmonisée pertinente appliquée, ou de toute autre spécification commune ou certification de cybersécurité par rapport à laquelle la conformité est déclarée.
- Le cas échéant, le nom et le numéro de l'organisme notifié, une description de la procédure d'évaluation de la conformité suivie et la référence du certificat délivré.
- Des informations supplémentaires, puis « Signé par et au nom de » : date et lieu d'établissement, nom, fonction et signature.
La Commission peut compléter ce contenu minimal par actes délégués pour tenir compte des progrès techniques (article 28, paragraphe 5).
La version simplifiée (annexe VI)
L'article 13, paragraphe 20, laisse le choix : le fabricant fournit avec le produit soit une copie de la déclaration complète, soit une déclaration simplifiée. Celle-ci suit le texte type de l'annexe VI : « … [nom du fabricant] déclare que le produit comportant des éléments numériques de type … [désignation du type de produit comportant un élément numérique] est conforme au règlement (UE) 2024/2847. Le texte complet de la déclaration UE de conformité est disponible à l’adresse internet suivante: … ». La version simplifiée doit donc contenir « l’adresse internet exacte à laquelle le texte complet de la déclaration UE de conformité est accessible ».
Langue, conservation et marquage CE
Langue : la déclaration, complète ou simplifiée, « est disponible dans les langues requises par l’État membre dans lequel le produit comportant des éléments numériques est mis sur le marché ou mis à disposition sur le marché » (article 28, paragraphe 2).
Conservation : le fabricant tient la documentation technique et la déclaration à la disposition des autorités de surveillance du marché « pendant une durée d’au moins dix ans après la mise sur le marché du produit comportant des éléments numériques ou pendant la période d’assistance, la période la plus longue étant retenue » (article 13, paragraphe 13).
Marquage CE : il est apposé avant la mise sur le marché (article 30, paragraphe 3). Pour un logiciel, il figure « soit sur la déclaration UE de conformité mentionnée à l’article 28, soit sur le site internet qui accompagne le logiciel » (article 30, paragraphe 1).
Pour aller plus loin
- Que contient l'annexe I du Cyber Resilience Act ?
- Le Cyber Resilience Act concerne-t-il les ESN ?
- Cyber Resilience Act : comment se mettre en conformité par étapes ?
- Quel lien entre la certification EUCC et le Cyber Resilience Act ?
Texte officiel : règlement (UE) 2024/2847. Il fait foi : la rédaction de la déclaration pour votre produit relève de votre propre analyse.
Et votre propre environnement ?
Le Cyber Resilience Act porte sur les produits comportant des éléments numériques que vous mettez sur le marché, et non sur les outils internes avec lesquels vous les développez et les maintenez. Si ces outils passent par Microsoft 365 (messagerie, partages de documents et de code, échanges sur les vulnérabilités), SYAGA Audit, diagnostic gratuit dont l'ouverture est prochaine, mesurera la configuration de sécurité de cet environnement-là. Ce diagnostic ne sera ni une évaluation de vos produits au titre du Cyber Resilience Act, ni une certification, ni une garantie de conformité.
SYAGA Audit pour votre propre Microsoft 365 : diagnostic gratuit, ouverture prochaine
Gratuit: votre score + vos écarts. Le rapport détaillé et le constat étayé : 990 € HT, seulement si vous le décidez.
Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.
SYAGA Audit est un outil de diagnostic au regard de votre environnement Microsoft 365 ; il ne se substitue pas à une démarche de conformité complète et ne constitue ni une certification ni une garantie de conformité réglementaire. Mesures alignées sur ISO/IEC 27001, sans certification à ce jour.
Source : règlement (UE) 2024/2847 (EUR-Lex). Cette page informe ; elle ne constitue pas un conseil juridique.