Interface Juridique ↔ Cyber

C’est la page qui justifie qu’un même site s’adresse à deux publics. Elle formalise ce que chaque équipe doit à l’autre, avec des délais et des formats — parce qu’un échange non formalisé devient, sous pression, un échange qui n’a pas lieu.

Les livrables croisés

De la Cyber vers le Juridique

Livrable	Fréquence	Format	Délai
SBOM validé et signé	À chaque version livrée	CycloneDX, plus export SPDX à la demande	J+1 après publication
Analyse de risques de cybersécurité	Par produit, à chaque évolution majeure	Document type	Avant la revue de mise sur le marché
Matrice de traçabilité de l’annexe I	Par produit et par version	Tableau	Avant la revue
Journal de traitement des vulnérabilités et VEX	Mensuel	Export de la plateforme	J+5
Rapports de tests de sécurité	Par campagne	Rapport daté	J+10
Description du mécanisme de mise à jour	Par produit	Document type	Avant la revue
Qualification « vulnérabilité activement exploitée »	À l’événement	Fiche de qualification	H+2
Justification technique de la période de support	Par produit	Note	Avant la revue

Du Juridique vers la Cyber

Livrable	Fréquence	Format	Délai
Classification de criticité par produit	À l’entrée au catalogue	Fiche signée	Avant le lancement du développement
Voie d’évaluation retenue	Idem	Fiche	Idem
Politique de licences et listes	Trimestrielle	Politique versionnée	J+5 après la revue
Décisions d’exception de licence	À la demande	Entrée au registre	5 jours ouvrés
Clauses fournisseurs obtenues	Par contrat	Extrait du clausier	À la signature
Arbitrage sur la diffusion du SBOM	Par produit	Décision	Avant la mise sur le marché
Décision de signalement et texte validé	À l’événement	Validation écrite	H+20, pour un envoi à H+24
Période de support engagée	Par produit	Registre	Avant la mise sur le marché

Les deux délais critiques

Deux lignes conditionnent le respect de l’article 14, et méritent d’être affichées :

H+2 — la Cyber transmet la qualification au Juridique. H+20 — le Juridique renvoie la décision et le texte validé. H+24 — l’alerte précoce est envoyée.

Toute autre organisation de ces délais fait porter l’incertitude sur les dernières heures, c’est-à-dire au pire moment.

Le vocabulaire partagé

Cinq termes que les deux équipes emploient différemment, et dont la définition commune doit être écrite :

Terme	Sens côté Cyber	Sens côté Juridique	Définition retenue
Vulnérabilité	Toute faiblesse détectée par un outil	Une faiblesse exploitable créant un risque	Une faiblesse d’un composant ; son exploitabilité est qualifiée séparément par un VEX
Incident	Toute alerte de sécurité	Un événement à notifier	Un événement compromettant effectivement la sécurité du produit ; « grave » est une qualification distincte
Produit	Un dépôt, un service, un artefact	Ce qui est mis sur le marché sous votre marque	Ce qui est mis sur le marché, au sens de l’article 3
Version	Un identifiant de construction	Une référence commerciale	Les deux, explicitement liées dans le registre
Support	La maintenance opérationnelle	La période de support au sens de l’article 13	Toujours préciser : « support commercial » ou « période de support réglementaire »

Cette table paraît triviale. Elle évite les incidents où une équipe déclare « le produit est supporté » quand l’autre entend « vous avez une obligation légale de correctifs ».

Le chemin d’escalade

En cas de désaccord persistant sur une qualification, une décision de signalement ou un arbitrage VEX :

1. Responsable PSIRT et référent juridique, sous deux heures en situation d’incident.
2. RSSI et directeur juridique, sous quatre heures.
3. Sponsor exécutif, sous huit heures.
4. En l’absence de résolution dans les délais compatibles avec l’échéance légale : la règle par défaut s’applique — signaler, ne pas mettre sur le marché, ne pas lever le blocage.

La règle par défaut est ce qui rend l’escalade sûre : elle garantit qu’un désaccord ne produit jamais une infraction par inaction.