Liste de contrôle technique

Cible principale :Cyber

Publié le19 août 2026

Le pendant technique de la liste de contrôle juridique. À remplir avant la revue de conformité, à joindre au dossier.

Produit : ______________________ Version exacte : ______________________

Date : ____________ Responsable : ______________________

Nomenclature

1. Le SBOM est généré automatiquement par la chaîne de construction, sans intervention manuelle. → Générer un SBOM
2. Le format et la version sont conformes à la décision d’entreprise, et identiques à ceux des autres produits. → Formats
3. La profondeur transitive est couverte, et la complétude est déclarée honnêtement dans le document.
4. Le score de qualité est au-dessus du seuil, et l’écart entre Build SBOM et Analyzed SBOM est dans les limites. → Qualité
5. Le SBOM est signé et accompagné d’une attestation de provenance. → Signature
6. Le SBOM est publié vers la plateforme de pilotage et archivé avec indexation par empreinte.

7. Les politiques de blocage sont actives en CI : vulnérabilités critiques, licences interdites, absence de SBOM. → Intégration CI/CD
8. Les dérogations en cours sont documentées et portent toutes une date d’expiration.

9. La surveillance continue est active sur ce produit, toutes versions livrées confondues. → Surveillance continue
10. Les alertes non corrigées font l’objet d’un VEX avec justification normalisée. → VEX
11. Les avis de sécurité sont publiés pour les vulnérabilités corrigées, dans un format lisible par machine.

12. L’analyse de risques est à jour pour cette version, et la matrice de traçabilité de l’annexe I est complète. → Sécurité par conception
13. Les tests de sécurité prévus au plan ont été exécutés et leurs rapports sont archivés.
14. Le mécanisme de mise à jour est décrit, testé — y compris en échec et en retour arrière — et les correctifs de sécurité sont séparables des évolutions. → Mises à jour sécurisées

15. Le canal CVD est actif pour ce produit, le security.txt est valide et non expiré, et la procédure de signalement a été testée dans les douze derniers mois. → Politique CVD · Procédure 24 h

Réserves (points ouverts, avec responsable et échéance) :

Avis du RSSI : favorable ☐ favorable sous réserve ☐ défavorable ☐

Nom, signature, date : ______________________