Budget, ressources et scénarios
Les postes à provisionner
| Poste | Investissement | Récurrent |
|---|---|---|
| Plateforme de pilotage | Intégration, migration | Licence ou exploitation |
| Générateurs et intégration CI | Développement des scripts communs | Maintenance |
| Coffre de preuves et archivage | Mise en place, indexation | Stockage, migrations |
| Organismes notifiés | Première évaluation par produit | Extensions, réévaluations |
| Certification des produits critiques | Cible de sécurité, laboratoire | Maintenance du certificat |
| PSIRT et astreinte | Recrutement, outillage | Salaires, rotation |
| Conformité et juridique | Clausier, modèles, formation | Veille, revues |
| Maintien du support long | Environnements de construction conservés | Rétroportages, sur 5 à 10 ans |
| Formation | Conception des supports | Sessions récurrentes |
| Exercices et audits | Premier cycle | Semestriel et annuel |
Les profils nécessaires
| Profil | Rôle | Charge indicative |
|---|---|---|
| Responsable conformité produit | Tient les registres, pilote les dossiers techniques, interface avec les autorités | Temps plein dès la vague 0 |
| Ingénieur sécurité applicative | Outillage, intégration CI, qualité des SBOM | Temps plein en vagues 2 et 3 |
| Analyste PSIRT | Triage, VEX, avis, signalement | Temps plein dès la vague 1 |
| Juriste | Classification, contrats, décisions de signalement | Fraction, avec astreinte |
| Référent par équipe produit | Applique, remédie, documente | Fraction, sur toutes les équipes |
L’astreinte est le poste le plus souvent oublié : une obligation à 24 heures suppose une rotation, donc un effectif minimal, et une compensation.
Trois scénarios
Scénario A — Minimal conforme
Contenu. Outillage ouvert, plateforme auto-hébergée, coffre de preuves sur l’infrastructure existante, astreinte mutualisée avec les astreintes existantes, dossiers techniques rédigés en interne, organismes notifiés uniquement là où c’est obligatoire.
Ce qu’il couvre. Les obligations, sans marge.
Risque résiduel : faible tolérance à l’imprévu. Un incident majeur simultané à une demande d’autorité sature l’équipe. Le maintien du support long est le poste qui craquera en premier, vers la troisième année.
À qui il convient : portefeuille limité, produits majoritairement en catégorie par défaut.
Scénario B — Recommandé
Contenu. Le scénario A, plus : une équipe PSIRT dédiée avec astreinte propre, un outil commercial sur le maillon le plus faible — généralement le volet licences ou l’atteignabilité —, un budget de rétroportage identifié, deux exercices par an, un audit externe annuel.
Ce qu’il couvre. Les obligations, avec la capacité d’absorber un incident et de tenir dans la durée.
Risque résiduel : acceptable et nommé.
À qui il convient : la plupart des organisations ayant des produits importants au sens de l’annexe III.
Scénario C — Ambitieux
Contenu. Le scénario B, plus : plateforme d’entreprise intégrée, analyse d’atteignabilité, portail client avec SBOM et avis au format lisible par machine, builds reproductibles, participation aux travaux de normalisation, statut d’autorité de numérotation.
Ce qu’il couvre. Les obligations, et un positionnement commercial différenciant.
À qui il convient : produits critiques, base installée large, secteurs régulés, ou stratégie de différenciation par la transparence.
Le tableau de décision
| A — Minimal | B — Recommandé | C — Ambitieux | |
|---|---|---|---|
| Couvre les obligations | Oui, sans marge | Oui | Oui |
| Tient un incident majeur | Difficilement | Oui | Oui |
| Tient sur dix ans | Incertain | Oui | Oui |
| Argument commercial | Non | Partiel | Oui |
| Risque résiduel | Élevé | Modéré | Faible |
| Décision requise | Accepter le risque, nommément | Financer | Financer et arbitrer le portefeuille |
Les arbitrages à trancher
- Internaliser ou externaliser le PSIRT et l’astreinte ? L’externalisation réduit le coût fixe mais transfère mal la connaissance produit, qui est le cœur de la qualification.
- Outillage ouvert ou commercial ? La recommandation est de commencer par l’ouvert pour mesurer, puis d’investir sur l’écart constaté — pas sur l’écart annoncé.
- Quel périmètre prioritaire ? Traiter d’abord les produits de classe II et Critiques, puis ceux à plus fort chiffre d’affaires dans l’Union.
- Que faire des produits dont la conformité coûte plus qu’ils ne rapportent ? C’est une décision de portefeuille, à prendre explicitement plutôt qu’à subir. Elle est légitime et doit être documentée.
Ce qu’il faut demander au comité
Une décision écrite sur : le scénario retenu, le risque résiduel accepté avec le nom de qui l’accepte, le budget en investissement et en récurrent, et les produits sortis du portefeuille le cas échéant.
Un scénario retenu sans acceptation nommée du risque résiduel n’est pas une décision : c’est un report.