Feuille de route

Six vagues. Elles se recouvrent partiellement, mais leurs dépendances sont strictes : une vague dont le prérequis n’est pas tenu produit du travail inutilisable.

Vague 0 — Cadrage

Objectif : savoir de quoi on parle et qui décide.

Livrable	Responsable
Registre de qualification PDE du portefeuille	Juridique
Registre de classification de criticité	Juridique + RSSI
Choix des voies d’évaluation	Juridique
Matrice RACI nominative validée	Sponsor
Instances de gouvernance installées	Sponsor
Choix du format pivot et de l’outillage	RSSI
Politique de licences v1	Juridique

Ne pas passer à la suite sans : la classification. Sans elle, on ne sait pas quels produits exigent un organisme notifié — c’est-à-dire quel est le chemin critique.

Vague 1 — Réagir

Placée en deuxième position à dessein : l’échéance de signalement est la plus proche, et elle s’applique au parc historique.

Livrable	Responsable
Astreinte technique et juridique, avec délégation écrite	Sponsor
Comptes actifs sur la plateforme de signalement, testés	PSIRT
Gabarits de signalement	PSIRT + Juridique
Registre des décisions	Juridique
Politique CVD publiée, security.txt en ligne	PSIRT
Premier exercice chronométré	PSIRT
Liste des États membres de mise à disposition, par produit	Produit

Vague 2 — Générer

Livrable	Responsable
SBOM automatisé sur les chaînes prioritaires	DevSecOps
Validation qualité et seuils bloquants	RSSI
Signature et attestation de provenance	DevSecOps
Fiches d’outillage par famille de produits	RSSI

Prérequis : le format pivot est choisi (vague 0).

Vague 3 — Piloter

Livrable	Responsable
Plateforme de pilotage en production	RSSI
Ingestion automatique depuis toutes les chaînes	DevSecOps
Sources de vulnérabilités branchées	RSSI
Surveillance continue active sur les versions livrées	RSSI
Politiques en avertissement, puis en blocage	RSSI + Juridique
Routage des alertes vers les équipes propriétaires	PSIRT

Prérequis : la génération produit des SBOM de qualité (vague 2). Déployer la plateforme avant est possible et même recommandé, mais l’activer sur des SBOM médiocres discrédite l’outil.

Vague 4 — Prouver

Livrable	Responsable
Dossiers techniques pilotes sur deux produits représentatifs	Juridique + RSSI
Organismes notifiés engagés et évaluations lancées	Juridique
Notices utilisateur annexe II	Produit + Juridique
Périodes de support déterminées et communiquées	Produit + Juridique
Déclarations UE et marquage CE	Juridique
Coffre de preuves avec archivage dix ans	Juridique + DevSecOps
Premier exercice de restitution réussi	Juridique

Prérequis : les vagues 0, 2 et 3. Un dossier technique se constitue à partir d’artefacts existants ; le rédiger avant qu’ils n’existent produit un document déclaratif sans preuve.

Vague 5 — Tenir

Livrable	Responsable
Veille réglementaire structurée, avec impact évalué	Juridique
Revues périodiques : classification, licences, supports	Juridique
Exercices semestriels : signalement, restitution	PSIRT
Amélioration continue du ratio d’alertes actionnables	RSSI
Extension du périmètre aux nouveaux produits, par défaut	Tous

C’est la vague qui n’a pas de fin, et celle qu’on oublie de budgéter. Un dispositif de conformité non entretenu se dégrade en dix-huit mois.

Les dépendances, en un schéma

Vague 0 — Cadrage
   │
   ├──► Vague 1 — Réagir        (indépendante, échéance la plus proche)
   │
   └──► Vague 2 — Générer
             │
             └──► Vague 3 — Piloter
                       │
                       └──► Vague 4 — Prouver
                                 │
                                 └──► Vague 5 — Tenir

Ce qu’il faut décider maintenant

Trois actions ne peuvent pas attendre, parce que leur délai ne dépend pas de vous :

1. Contractualiser les organismes notifiés pour les produits de classe II et Critiques.
2. Armer l’astreinte de signalement, si ce n’est pas fait.
3. Classer le portefeuille, sans quoi le point 1 est impossible.

Le reste peut être séquencé. Ces trois-là, non.