Informations et instructions à l'utilisateur (annexe II)

L’annexe II est courte, souvent oubliée, et sa violation constitue une non-conformité formelle immédiatement constatable par une autorité qui achète le produit dans le commerce. C’est le contrôle le moins coûteux à réaliser, donc le plus probable.

Les mentions obligatoires

Fournies avec le produit, dans une langue aisément compréhensible par les utilisateurs et les autorités de surveillance du marché.

1. Nom, raison sociale ou marque déposée du fabricant, adresse postale, adresse électronique ou autre coordonnée numérique, et le cas échéant site web.
2. Point de contact unique permettant de signaler des vulnérabilités et d’en recevoir des informations en retour, avec indication de l’endroit où il est situé.
3. Nom et type du produit, avec les éléments de traçabilité : référence, version.
4. Utilisation prévue, y compris l’environnement de sécurité prévu, et fonctionnalités de sécurité principales.
5. Toute circonstance connue ou prévisible liée à l’utilisation du produit conformément à sa destination, ou dans des conditions de mauvais usage raisonnablement prévisible, pouvant entraîner un risque de cybersécurité.
6. Le cas échéant, l’adresse internet où la déclaration UE de conformité est accessible.
7. Type de support technique en matière de sécurité offert et date de fin de la période de support, au moins le mois et l’année, de manière claire et compréhensible.
8. Instructions détaillées — ou l’adresse internet y renvoyant — couvrant : les mesures de sécurité à la mise en service et à l’exploitation, l’incidence des changements de configuration, les modalités d’installation sécurisée des mises à jour, la désinstallation sécurisée, la conservation des données et la réinitialisation.
9. Lorsque le produit prend en charge des mises à jour automatiques, information sur le mécanisme et sur la possibilité de le désactiver.
10. Le cas échéant, indication de l’endroit où la nomenclature logicielle (SBOM) peut être obtenue.

Modèle de notice de cybersécurité

À décliner par produit, en deux pages.

NOTICE DE CYBERSÉCURITÉ — Acme Gateway AG-4200, version 4.2.x

1. FABRICANT
   [Raison sociale], [adresse postale complète]
   [courriel] — [site web]

2. SIGNALER UNE VULNÉRABILITÉ
   Point de contact : psirt@[domaine] — [pays où le point de contact est situé]
   Politique de divulgation : [URL]
   Clé publique de chiffrement : [URL]

3. IDENTIFICATION DU PRODUIT
   Nom, référence, versions couvertes par la présente notice.

4. UTILISATION PRÉVUE ET ENVIRONNEMENT DE SÉCURITÉ
   Le produit est conçu pour [usage]. Il suppose un environnement dans lequel
   [hypothèses : réseau segmenté, accès physique contrôlé, etc.].
   Fonctionnalités de sécurité principales : [liste].

5. RISQUES CONNUS ET USAGES DÉCONSEILLÉS
   [Circonstances pouvant entraîner un risque, y compris mauvais usage
   raisonnablement prévisible.]

6. DÉCLARATION UE DE CONFORMITÉ
   Disponible à l'adresse : [URL]

7. SUPPORT DE SÉCURITÉ
   Mises à jour de sécurité fournies jusqu'au : [mois année]
   Correctifs publiés restant disponibles jusqu'au : [mois année]
   Nature du support : [description]

8. INSTRUCTIONS
   Mise en service sécurisée : [URL ou texte]
   Effets des changements de configuration : [URL ou texte]
   Installation des mises à jour : [URL ou texte]
   Désinstallation sécurisée et effacement des données : [URL ou texte]
   Réinitialisation à l'état d'origine : [URL ou texte]

9. MISES À JOUR AUTOMATIQUES
   Activées par défaut : oui / non. Mécanisme : [description].
   Désactivation : [procédure]. Conséquences de la désactivation : [texte].

10. NOMENCLATURE LOGICIELLE (SBOM)
    Disponible : [URL du portail / sur demande à l'adresse …] / non communiquée.

Points d’attention

La localisation du point de contact. L’annexe demande d’indiquer où le point de contact est situé. Une simple adresse électronique ne suffit pas : il faut préciser le pays.

« Langue aisément compréhensible ». Pour une distribution paneuropéenne, cela implique une chaîne de traduction, et un contrôle de cohérence entre versions linguistiques. Les États membres peuvent exiger leur propre langue.

Le format. La notice peut renvoyer à une adresse internet pour les instructions détaillées, mais les mentions principales doivent accompagner le produit. Un renvoi intégral vers un site n’est pas conforme, et un lien qui cesse de fonctionner après la fin de commercialisation l’est encore moins.

La cohérence. Trois informations circulent dans plusieurs documents à la fois : la date de fin de support, le point de contact, l’adresse de la déclaration. Elles doivent être générées depuis une source unique, sinon elles divergeront.

Conservation

Les informations et instructions doivent rester disponibles pendant au moins dix ans après la mise sur le marché, ou la durée de la période de support si elle est plus longue — au même titre que le dossier technique.

Cela signifie qu’une URL citée dans une notice de 2028 doit encore répondre en 2038. La politique d’URL pérennes est donc un sujet de conformité, pas seulement de communication.