Conservation des preuves
La règle
Le dossier technique et la déclaration UE de conformité sont tenus à la disposition des autorités de surveillance du marché pendant au moins dix ans après la mise sur le marché du produit, ou pendant la période de support si celle-ci est plus longue.
Par cohérence, tout ce qui fonde le dossier suit la même durée.
Ce qu’il faut conserver
| Artefact | Pourquoi | Durée |
|---|---|---|
| Dossier technique, dans sa version gelée à la mise sur le marché | Pièce maîtresse du contrôle | 10 ans / période de support |
| Déclaration UE de conformité signée | Idem | Idem |
| SBOM de chaque version livrée, signé | Pièce du dossier, base de la réponse à un incident | Idem |
| VEX et journal de traitement des vulnérabilités | Preuve que les vulnérabilités ont été traitées | Idem |
| Rapports de tests de sécurité | Preuve de l’exigence de tests réguliers | Idem |
| Analyse de risques et ses révisions | Justifie les exigences écartées | Idem |
| Registre des signalements et accusés de la plateforme | Preuve du respect des délais de l’article 14 | Idem |
| Correspondance avec les autorités et les organismes notifiés | Traçabilité des échanges | Idem |
| Certificats d’organisme notifié | Fondement de la voie d’évaluation | Idem |
| Avis de sécurité publiés | Preuve de l’annexe I, partie II, point 4 | Idem |
| Informations à l’utilisateur livrées | Preuve de l’annexe II | Idem |
| Clés publiques de vérification des signatures | Sans elles, les signatures ne se vérifient plus | Illimitée en pratique |
Les garanties à assurer
| Garantie | Ce qu’elle implique |
|---|---|
| Intégrité | Stockage en écriture unique, ou empreintes horodatées vérifiables |
| Horodatage | Preuve de la date d’existence — le journal de transparence d’une infrastructure de signature y répond bien |
| Traçabilité des accès | Journal d’audit : qui a consulté, qui a versé, qui a extrait |
| Ségrégation des droits | Nul ne peut à la fois produire, approuver et modifier |
| Lisibilité dans le temps | Formats normalisés, pas de dépendance à un outil propriétaire |
| Portabilité | Capacité à migrer l’ensemble vers un autre support sans perte |
| Indexation | Retrouver le dossier d’une version précise, dix ans plus tard, en heures |
Le point le plus souvent manqué
Ce n’est ni le stockage, ni la durée : c’est la capacité de restitution.
Conserver des fichiers est facile. Retrouver, en 2038, le dossier technique exact de la version 4.2.1 mise sur le marché en 2028, avec son SBOM, ses VEX, sa déclaration signée et la clé permettant de vérifier cette signature, suppose une chaîne d’indexation qui aura survécu à deux changements de plateforme et à trois générations d’équipes.
L’exercice annuel de restitution
C’est le seul contrôle qui prouve quelque chose.
Protocole :
- Tirer au sort une version livrée il y a plus de deux ans.
- Sans préparation, demander à l’équipe de produire, en moins d’une journée ouvrée : le dossier technique gelé, la déclaration signée, le SBOM signé et sa signature vérifiée, les VEX associés, le registre des signalements pour ce produit, et la notice utilisateur livrée.
- Chronométrer, consigner les difficultés, corriger.
- Rédiger un compte rendu, versé au dossier de gouvernance.
Un exercice échoué n’est pas un incident : c’est l’information la plus utile de l’année. Un exercice jamais réalisé signifie que vous ne savez pas si le dispositif fonctionne.
Articulation avec le RGPD
Une durée de conservation de dix ans doit rester justifiée au regard du principe de limitation de la conservation. Deux précautions :
- ne conserver dans le coffre de preuves que ce qui est nécessaire à la conformité CRA — un dossier technique n’a pas vocation à contenir de données personnelles ;
- documenter la base de cette durée dans le registre des traitements, en citant l’obligation légale.
Suppression
À l’échéance, la suppression doit être effective et tracée : une entrée au journal d’audit indiquant ce qui a été supprimé, quand, et sur quel fondement. Conserver au-delà de la durée nécessaire, sans décision, est un défaut symétrique de la conservation insuffisante.