Auto-diagnostic

À remplir trimestriellement, par le comité, sur la base de faits vérifiables — pas d’impressions. Chaque réponse est oui seulement si une preuve peut être produite dans l’heure.

Date du diagnostic : ____________ Participants : ______________________

Module 1 — Périmètre et classification

• Le portefeuille est intégralement qualifié : chaque produit a une fiche PDE signée
• Les exclusions invoquées sont documentées par une fiche motivée
• Chaque produit dans le périmètre a une fiche de classification co-signée
• Le registre de classification consolidé existe et a été revu il y a moins d’un an
• Les produits de classe II et Critiques sont identifiés, et un organisme notifié est engagé contractuellement pour chacun
• La voie d’évaluation de chaque produit est décidée et documentée

Score : ___ / 6

Module 2 — SBOM et outillage

• Un format pivot est décidé et appliqué uniformément
• Le SBOM est généré automatiquement par la chaîne de construction sur tous les produits actifs
• Un score de qualité est calculé et un seuil est bloquant en CI
• Les SBOM sont signés et accompagnés d’une attestation de provenance
• Une plateforme de pilotage ingère tous les SBOM produits
• La surveillance continue couvre toutes les versions livrées, pas seulement la dernière
• L’outillage est figé et documenté par famille de produits

Score : ___ / 7

Module 3 — Vulnérabilités et divulgation

• Des SLA de remédiation sont écrits, publiés en interne et mesurés
• Les vulnérabilités non corrigées font l’objet d’un VEX avec justification normalisée
• Des avis de sécurité sont publiés pour les vulnérabilités corrigées
• Une politique CVD est publiée et le point de contact est actif
• Le fichier security.txt est en ligne et son champ Expires est dans le futur
• Un registre des signalements reçus existe et est tenu
• Le ratio d’alertes actionnables est mesuré et suivi dans le temps

Score : ___ / 7

Module 4 — Capacité de signalement

• Une astreinte technique et juridique existe, avec suppléants nommés
• Une délégation écrite de la décision de signaler est en vigueur
• Des comptes actifs sur la plateforme de signalement existent et ont été testés il y a moins de six mois
• Des gabarits d’alerte, de notification et de rapport final sont prêts
• La liste des États membres de mise à disposition est tenue par produit
• Un registre des décisions de signaler ou de ne pas signaler est tenu, avec les motivations
• Un exercice chronométré a eu lieu dans les six derniers mois, et le délai obtenu est inférieur à 24 heures

Score : ___ / 7

Module 5 — Documentation et preuves

• Un gabarit de dossier technique existe et est utilisé
• Chaque produit mis sur le marché a un dossier technique complet et gelé
• Les déclarations UE de conformité sont signées par une personne habilitée
• Les notices utilisateur de l’annexe II sont livrées, avec la date de fin de support
• La période de support de chaque produit est déterminée, justifiée et communiquée
• Un coffre de preuves avec archivage dix ans est en place
• Un exercice de restitution a eu lieu dans l’année, et il a réussi

Score : ___ / 7

---

Restitution

Module	Score	Sur	Niveau
1. Périmètre et classification		6
2. SBOM et outillage		7
3. Vulnérabilités et divulgation		7
4. Capacité de signalement		7
5. Documentation et preuves		7
Total		34

Lecture des niveaux, par module :

Part de « oui »	Niveau	Interprétation
Moins de 30 %	Initial	Le sujet est identifié, rien n’est outillé
30 à 60 %	En construction	Des briques existent, sans continuité
60 à 85 %	Opérationnel	Le dispositif fonctionne, des angles morts subsistent
Plus de 85 %	Maîtrisé	Le dispositif tient sous contrôle, l’enjeu est de le maintenir

Les trois questions qui priment sur le score

Quel que soit le total, trois réponses négatives justifient une action immédiate :

1. Le module 4 est-il complet ? L’échéance de signalement est passée et s’applique au parc historique.
2. Les organismes notifiés sont-ils engagés pour les produits de classe II et Critiques ? C’est le seul délai que vous ne maîtrisez pas.
3. L’exercice de restitution a-t-il réussi ? C’est le seul contrôle qui prouve que l’archivage fonctionne.

Usage

Archiver chaque diagnostic daté. La progression entre deux diagnostics est plus informative que le score absolu, et c’est elle qui se présente au comité exécutif.