Veille réglementaire
Un référentiel réglementaire non entretenu devient faux sans prévenir. Cette page décrit ce qui est susceptible de changer, où le vérifier, et ce qu’il faut faire quand cela change.
Les trois sujets ouverts
1. Les normes harmonisées
Enjeu : elles conditionnent la présomption de conformité et, pour les produits de classe I, la possibilité même de s’auto-évaluer.
Où suivre : travaux du comité technique mixte CEN/CENELEC JTC 13, groupe de travail 9, en réponse à la demande de normalisation M/606 ; et surtout la citation des références au Journal officiel de l’Union européenne, qui seule produit l’effet juridique.
Ce qui change quand une norme est citée : la voie du module A s’ouvre pour les produits de classe I couverts, sous réserve d’une application intégrale. Les pages Classes de criticité, Classe I et Évaluation de la conformité doivent être revues, et le scénario d’évaluation de chaque produit concerné réexaminé.
2. Les actes délégués et d’exécution de la Commission
Enjeu : ils peuvent modifier le périmètre et les modalités.
| Acte attendu | Effet |
|---|---|
| Actualisation des annexes III et IV | Un produit peut changer de classe, ou entrer dans une classe |
| Spécification du format et des éléments du SBOM | Votre format et votre niveau de détail deviennent contraints |
| Obligation de certification pour des catégories de produits critiques | Passage à une évaluation de type EUCC |
| Spécifications communes | Voie alternative de présomption en l’absence de norme |
| Formulaire simplifié de dossier technique pour les petites entreprises | Allègement documentaire |
Ce qu’il faut faire : à chaque publication, évaluer l’impact sur le registre de classification et sur les pages concernées, puis produire une note d’impact au comité.
3. La mise en œuvre nationale
Enjeu : savoir à qui s’adresser, dans quelle langue, par quel canal.
Points à suivre : désignation des autorités de surveillance du marché et des CSIRT coordinateurs par les États membres ; régimes de sanctions nationaux ; modalités pratiques de la plateforme de signalement unique de l’ENISA ; accréditation des organismes notifiés et portée exacte de leur notification dans la base NANDO.
Ce qu’il faut faire : tenir à jour, par État membre où vos produits sont mis à disposition, l’autorité compétente et le canal de signalement.
Les sources à suivre
| Source | Ce qu’on y trouve | Fréquence de consultation |
|---|---|---|
| EUR-Lex — le règlement | Texte consolidé, actes délégués et d’exécution | Mensuelle |
| Journal officiel de l’Union européenne | Citation des normes harmonisées | Mensuelle |
| Commission européenne, page CRA | Orientations, FAQ, calendrier | Mensuelle |
| ENISA · EUVD | Plateforme de signalement, base de vulnérabilités, documents techniques | Mensuelle |
| CEN / CENELEC JTC 13 | Avancement des normes | Trimestrielle |
| Organismes notifiés (base NANDO) | Organismes désignés et portée de leur notification | Trimestrielle |
| ANSSI · CERT-FR | Mise en œuvre nationale, alertes | Mensuelle |
Ce qui n’est pas une source. Billets de blog d’éditeurs, livres blancs commerciaux, synthèses non vérifiées. Ils contiennent des erreurs récurrentes, notamment sur les classes de criticité et sur le statut de l’open source. Toute affirmation reprise en interne doit pouvoir être rattachée à un article, une annexe ou un acte publié.
Le processus de veille
- Consultation mensuelle des sources par la direction juridique.
- Note d’impact lorsqu’un élément change : que dit le nouvel élément, quelles pages sont concernées, quelle action est requise, dans quel délai.
- Mise à jour des pages concernées, avec actualisation de leur date de revue.
- Point en comité CRA trimestriel : ce qui a changé, ce que vous avez fait.
- Réexamen des registres de classification et de support si le changement les affecte.
Étiquetage des entrées
Chaque entrée du fil de veille porte une ou plusieurs étiquettes :
- impact Legal — modifie une obligation documentaire ou contractuelle
- impact Cyber — modifie une exigence technique ou un outillage
- impact calendrier — modifie une échéance ou un chemin critique
- action requise — appelle une décision, par opposition à une simple information
Journal des révisions du site
| Date | Objet | Pages touchées |
|---|---|---|
| 19 août 2026 | Publication initiale du référentiel | Toutes |
Ce tableau est tenu à jour à chaque révision significative. Il permet de savoir ce que l’organisation savait, et depuis quand — information utile en cas de contrôle.