Période de support et cycle de vie
C’est l’impact financier le plus sous-estimé du règlement. Le CRA ne demande pas seulement de mettre sur le marché un produit sûr : il demande de le maintenir sûr pendant des années, y compris après l’arrêt de sa commercialisation.
La règle
Le fabricant détermine la période de support de manière à refléter la durée pendant laquelle le produit est censé être utilisé. Cette période est d’au moins cinq ans.
Exception unique : si le cycle de vie attendu du produit est inférieur à cinq ans, la période de support correspond à ce cycle de vie. C’est une exception étroite et à motiver ; elle ne s’applique pas parce qu’on souhaite raccourcir l’engagement, mais parce que le produit lui-même n’est pas destiné à durer.
Les critères à documenter
La durée retenue doit être justifiée dans le dossier technique, au regard de :
- les attentes raisonnables des utilisateurs ;
- la nature du produit et son usage ;
- les périodes de support de produits comparables sur le marché ;
- la législation applicable au produit ;
- la disponibilité de l’environnement d’exploitation — un produit dépendant d’un système d’exploitation dont le support s’arrête ;
- les périodes de support des composants intégrés, y compris libres.
Ce dernier critère est le piège classique : vous ne pouvez pas garantir cinq ans sur un produit reposant sur un composant amont maintenu deux ans. Soit vous internalisez la maintenance de ce composant, soit vous le remplacez, soit vous réduisez — et justifiez — votre période de support. Il n’y a pas de quatrième option.
La règle des dix ans sur les correctifs
Distincte de la période de support, et souvent confondue avec elle : après leur émission, les mises à jour de sécurité restent disponibles pendant au moins dix ans à compter de la mise sur le marché du produit, ou pendant le reste de la période de support si celle-ci est plus longue.
| Période de support | Disponibilité des correctifs | |
|---|---|---|
| Ce qui est dû | Produire des correctifs | Mettre à disposition les correctifs déjà produits |
| Durée | ≥ 5 ans, ou la durée de vie attendue | ≥ 10 ans après la mise sur le marché, ou la période de support si plus longue |
| Conséquence | Équipe de maintenance, chaîne de compilation vivante | Hébergement, archivage, disponibilité du canal de distribution |
L’obligation d’information
La date de fin de la période de support doit être communiquée à l’utilisateur de manière claire et compréhensible au moment de l’achat, exprimée au moins par le mois et l’année (annexe II). Elle figure donc dans la documentation produit, et devrait figurer sur la fiche commerciale.
Fin de support et cessation d’activité
À l’approche de la fin de support : informer les utilisateurs, indiquer le risque résiduel, proposer un chemin de migration, préciser la date à partir de laquelle plus aucun correctif ne sera produit.
En cas de cessation d’activité ou d’arrêt des opérations : le fabricant informe les autorités de surveillance du marché compétentes et, par tout moyen disponible, les utilisateurs des produits concernés. Le règlement encourage par ailleurs, dans cette situation, le transfert du code source ou sa publication en logiciel libre, afin que la communauté puisse en assurer la maintenance.
La traduction financière — à porter en comité
C’est le message pour la Direction :
- maintenir des chaînes de compilation reproductibles et des environnements de construction pendant cinq à dix ans, avec les outils et les dépendances de l’époque ;
- rétroporter des correctifs sur des branches anciennes, ce qui suppose des compétences disponibles et une stratégie de versionnement adaptée ;
- conserver artefacts, SBOM et dossiers techniques, avec leur coût de stockage et d’indexation ;
- renoncer à arrêter le support d’un produit encore utilisé sans conséquence réglementaire — la fin de vie commerciale n’emporte plus la fin des obligations.
Le registre à tenir
| Colonne | Contenu |
|---|---|
| Produit et version | Identification traçable |
| Date de mise sur le marché | Point de départ des dix ans |
| Période de support déclarée | Durée et date de fin, au mois près |
| Justification | Renvoi à la section du dossier technique |
| Correctifs disponibles jusqu’au | Date calculée |
| Composants limitants | Composants dont le support amont s’arrête plus tôt |
| Coût annuel estimé | Maintenance, hébergement, archivage |
| Responsable | Nommément |
Ce registre est tenu par la direction juridique et alimenté par l’ingénierie. Il est revu à chaque comité, car c’est lui qui révèle les engagements devenus intenables.