Articles structurants documentés dans la cartographie ACF.
Les PEN doivent être conçus, développés et produits conformément aux exigences essentielles de l'Annexe I parts I (propriétés cybersécurité) et II (gestion vulnérabilités). Sécurisation de tous les processus.
13 exigences sur les propriétés : livraison sans vulnérabilité exploitable connue, paramétrage sécurisé par défaut, mécanismes de mise à jour de sécurité, contrôle d'accès et identification, chiffrement, intégrité, minimisation des données, disponibilité, exposition réduite (attack surface), résilience aux attaques DoS, fonctionnalités de sécurité (logs), suppression / transfert sécurisés.
8 exigences process : identifier et documenter vulnérabilités et composants (SBOM), traiter sans délai et apporter des correctifs, tester régulièrement la sécurité, divulguer une fois corrigé, faciliter le partage d'information, fournir politique de divulgation coordonnée, fournir un canal de signalement public, distribuer les mises à jour sans délai et gratuitement.
Documenter l'évaluation des risques cyber, intégrer la cybersécurité dès la conception, fournir la documentation technique annexe VII, fournir une déclaration UE de conformité, déclarer la durée de support, conserver la documentation 10 ans.
Notification à l'autorité compétente et à l'ENISA des vulnérabilités activement exploitées (alerte précoce 24h, notification 72h, rapport final 14 jours) et des incidents de sécurité graves affectant la sécurité du produit. Notification aux utilisateurs si pertinent.
Vérifier l'évaluation de conformité, le marquage CE, la documentation technique disponible. Refuser la mise sur le marché si non-conforme. Coopérer en cas d'incident.
Vérifier la présence du marquage CE et des instructions, ne pas mettre en circulation un produit non-conforme, contribuer à la coordination en cas d'incident.
Documentation technique annexe VII obligatoire avant mise sur le marché. Déclaration UE de conformité annexe V. Marquage CE obligatoire (annexe VI).
Trois modules selon la catégorie de produit : (a) contrôle interne pour produits standards et importants classe I, (b) module B+C pour produits importants classe II avec organisme notifié, (c) examen UE de type ou système de qualité total avec organisme notifié pour produits critiques.
Sanctions établies par les États membres mais plafonnées par le règlement. Trois niveaux : violations exigences essentielles annexe I et obligations principales (15 M€ ou 2,5 %), autres obligations (10 M€ ou 2 %), info trompeuse aux autorités notifiées (5 M€ ou 1 %).
Obligations actionnables catégorisées : documentation, process, technique, gouvernance, notification.
Réaliser une évaluation des risques cybersécurité par produit (art. 13(2))
Concevoir le produit selon Annexe I §1 (13 propriétés essentielles)
Mettre en place le processus de gestion des vulnérabilités (Annexe I §2)
Produire et maintenir un SBOM (au minimum top niveau, Annexe I §2(1))
Mettre en place une politique de divulgation coordonnée des vulnérabilités
Fournir des mises à jour de sécurité gratuitement pendant la durée de support (par défaut 5 ans)
Notifier ENISA et CSIRT en cas de vulnérabilité activement exploitée (24h / 72h / 14j) (art. 14)
Produire la documentation technique annexe VII et la conserver 10 ans (art. 28)
Établir la déclaration UE de conformité (annexe V) et apposer le marquage CE (annexe VI)
Recourir à un organisme notifié pour produits importants classe II et critiques (annexe III/IV)
Si : produit annexe III classe II · produit annexe IV (critique)
Violations des exigences essentielles cybersécurité (annexe I) et des obligations principales du fabricant (art. 13, 14)
Violations des autres obligations CRA (importateur, distributeur, OSS steward)
Communication d'informations inexactes, incomplètes ou trompeuses aux autorités / organismes notifiés
Le CRA et l'AI Act s'appliquent cumulativement aux PEN intégrant un système IA, avec une coordination explicite : (1) l'art. 8 AI Act prévoit que les systèmes IA haut-risque intégrés à un PEN doivent satisfaire les exigences AI Act ET CRA ; (2) un fabricant unique peut produire une documentation technique combinée couvrant Annexe VII CRA et Annexe IV AI Act ; (3) les notifications d'incident sont distinctes : AI Act art. 73 (incident grave système IA, 15 jours) et CRA art. 14 (vulnérabilité activement exploitée, 24h/72h/14j) ; (4) un produit IA classé haut-risque + critique CRA combine les régimes d'évaluation de conformité (organisme notifié) sans cumul d'organismes - mécanisme prévu par les actes d'exécution.