Les exigences essentielles

L’annexe I est le cœur du règlement. Elle s’applique à l’identique quelle que soit la classe de criticité ; ce sont les modalités de preuve qui varient.

Elle se lit en deux parties, de nature très différente.

	Partie I — Sécurité du produit	Partie II — Traitement des vulnérabilités
Nature	Propriétés du produit à la mise sur le marché	Processus à tenir pendant toute la période de support
Horizon	Instantané	Continu, cinq à dix ans
Preuve	Conception, tests, configuration	Journaux, SBOM, avis publiés, délais mesurés
Détail	Sécurité du produit	Traitement des vulnérabilités

Le principe de proportionnalité

Les exigences de la partie I s’appliquent « dans la mesure applicable au produit ». Cette formule n’est pas une échappatoire : elle impose de conduire et documenter une analyse des risques de cybersécurité qui justifie, exigence par exigence, celles qui sont retenues et celles qui sont écartées.

Une exigence écartée sans justification documentée est une non-conformité. Une exigence écartée avec une analyse de risques argumentée est une décision de conception défendable. La différence entre les deux tient à un document.

L’analyse de risques est d’ailleurs une pièce explicitement attendue au dossier technique.

Ce qu’il faut produire

Une matrice de traçabilité, tenue par produit, avec une ligne par exigence :

Colonne	Contenu
Exigence	Référence dans l’annexe I
Applicable ?	Oui / Non, avec renvoi à l’analyse de risques
Contrôle	La mesure technique ou organisationnelle qui la couvre
Preuve	L’artefact qui l’atteste — test, configuration, journal, document
Outil	Ce qui produit la preuve
Responsable	Nommément
Dernière vérification	Date

Cette matrice est le document de travail le plus utile du projet : elle sert à l’ingénierie pour savoir quoi construire, au juridique pour constituer le dossier, et à l’auditeur pour vérifier.

Le lien avec la présomption de conformité

Le règlement n’impose aucune solution technique. Il impose des résultats. La présomption de conformité permet d’y répondre par l’application de normes harmonisées, de spécifications communes ou de schémas de certification — voir Évaluation de la conformité.

En l’absence de norme harmonisée publiée, il reste possible de démontrer la conformité par d’autres moyens : c’est simplement plus long à documenter, et cela ferme la voie du module A pour les produits de classe I.