Méthode de classification
La classification est une décision juridique fondée sur des faits techniques. Elle doit donc être co-signée : l’ingénierie établit les fonctionnalités réelles, le juridique tranche la qualification.
Le questionnement, dans l’ordre
Étape 1 — Le produit est-il un PDE ?
Voir Le périmètre. Si non, la classification s’arrête ; une fiche de qualification négative est tout de même produite.
Étape 2 — Est-il exclu ?
Voir Les exclusions. Si oui, produire une fiche d’exclusion motivée citant le texte sectoriel applicable.
Étape 3 — Quelles fonctionnalités le produit offre-t-il réellement ?
Lister les fonctions effectivement offertes à l’utilisateur, indépendamment du nom commercial et de la documentation marketing. Une fonction désactivée par défaut mais activable reste une fonction offerte.
Étape 4 — Figure-t-il à l’annexe IV ?
Boîtier de sécurité matériel, passerelle de compteur intelligent, dispositif de cryptotraitement sécurisé, carte à puce ou élément sécurisé. Si oui → Critique, on s’arrête.
Étape 5 — Figure-t-il à l’annexe III, partie II ?
Système d’exploitation, hyperviseur, moteur d’exécution de conteneurs, pare-feu, IDS/IPS, microprocesseur ou microcontrôleur résistant à l’altération. Si oui → Important classe II, on s’arrête.
Étape 6 — Figure-t-il à l’annexe III, partie I ?
Les dix-sept catégories listées dans Important classe I. Si oui → classe I.
Étape 7 — Sinon
Catégorie par défaut. La fiche doit démontrer l’examen des annexes III et IV et l’écartement de chaque catégorie pertinente.
Les quatre questions qui tranchent les cas limites
- Résistance à l’altération. Le composant met-il en œuvre des contre-mesures physiques contre l’extraction ou la modification de secrets — bouclier, détection d’intrusion, mémoire chiffrée, protection contre les canaux auxiliaires ? Cette réponse, purement technique, fait basculer un microcontrôleur de la classe I à la classe II.
- Fonctionnalité liée à la sécurité. Le composant remplit-il une fonction de sécurité pour le système qui l’intègre — génération de clés, stockage de secrets, contrôle d’accès, démarrage vérifié ?
- Navigateur embarqué. Le produit intègre-t-il un moteur de rendu web exposé à du contenu distant non maîtrisé ?
- Multifonction. Le produit couvre-t-il plusieurs catégories ? Alors la classe la plus élevée s’applique à l’ensemble.
La fiche de classification
Un document d’une page, versé au dossier technique. Elle doit contenir :
| Champ | Contenu |
|---|---|
| Produit et versions couvertes | Identification traçable |
| Fonctionnalités effectives | Liste, avec la source (spécification, code, documentation) |
| Annexe IV | Catégories examinées, retenues ou écartées, motif |
| Annexe III partie II | Idem |
| Annexe III partie I | Idem |
| Classe retenue | Par défaut, I, II ou Critique |
| Voie d’évaluation | Module A, B+C, H, ou certification |
| Organisme notifié | Le cas échéant, identité et état de la contractualisation |
| Hypothèses et réserves | Points appelant une réévaluation |
| Date, signataires | Ingénierie et juridique |
Le registre consolidé
Un tableau unique du portefeuille, tenu par la direction juridique et revu à chaque comité : produit, statut PDE, exclusion éventuelle, classe, voie d’évaluation, organisme notifié, date de la dernière classification, prochaine revue.
Ce registre est le premier document que demandera une autorité de surveillance du marché, et le premier que demandera un acquéreur lors d’une opération. Sa tenue n’est pas optionnelle.
Quand reclasser
- Ajout ou activation d’une fonction de sécurité.
- Modification substantielle au sens de l’article 3.
- Actualisation des annexes III ou IV par acte délégué de la Commission.
- Publication d’orientations de la Commission précisant la description technique d’une catégorie.
- Au minimum, revue annuelle de l’ensemble du registre.