La documentation technique de l’annexe VII, rubrique par rubrique
Mis à jour le 1 novembre 2026 · Ce guide explique le règlement simplement. Ce n’est pas un conseil juridique.
La documentation technique est le dossier qui montre comment votre produit, et votre façon de gérer ses failles, respectent les exigences du Cyber Resilience Act (CRA), ou règlement sur la cyberrésilience. Vous la rédigez avant la mise sur le marché, vous la tenez à jour pendant toute la période de support, et vous la gardez au moins dix ans (articles 31 et 13). Son contenu minimum est fixé par l’annexe VII.
Personne ne vous demande de l’envoyer quelque part. Vous la montrez si l’autorité de surveillance du marché ou un organisme notifié la demande.
Les huit rubriques de l’annexe VII
| N° | Ce qu’il faut fournir | Qui peut le faire |
|---|---|---|
| 1 | Une description générale : usage prévu, versions du logiciel qui comptent pour la conformité, photos ou schémas pour le matériel, la notice de l’annexe II | Vous. Un outil peut fournir les versions |
| 2(a) | La conception et le développement, avec des schémas ou une description de l’architecture qui montre comment les composants logiciels s’articulent | Vous |
| 2(b) | Le processus de gestion des failles : la nomenclature des logiciels (SBOM), la politique de divulgation coordonnée, la preuve d’une adresse de contact, la méthode de distribution sûre des mises à jour | Vous, avec un outil pour le SBOM |
| 2(c) | Les processus de production et de suivi, et leur validation | Vous |
| 3 | L’évaluation des risques de cybersécurité, y compris comment chaque exigence de l’annexe I, partie I, s’applique | Vous |
| 4 | Les éléments pris en compte pour fixer la période de support | Vous |
| 5 | La liste des normes harmonisées, spécifications communes ou certifications appliquées. Sans elles, la description des solutions choisies pour chaque exigence de l’annexe I | Vous, avec des preuves techniques |
| 6 | Les rapports des essais qui vérifient la conformité du produit et des processus | Vous, ou un laboratoire. Un outil peut fournir une partie des preuves |
| 7 | Une copie de la déclaration UE de conformité | Vous |
| 8 | Le SBOM, si l’autorité le demande par une requête motivée | Vous |
Le point 5 pèse lourd en ce moment. Comme aucune norme harmonisée CRA n’est encore publiée au Journal officiel, vous devez décrire vous-même comment vous répondez à chaque exigence, une par une.
L’évaluation des risques, la pièce centrale
L’article 13, paragraphes 2 à 4, demande une évaluation des risques documentée. Elle analyse l’usage prévu, l’usage raisonnablement prévisible, l’environnement et la durée d’usage du produit. Elle dit, pour chaque point (2)(a) à (2)(m) de l’annexe I, partie I, s’il s’applique et comment vous le mettez en œuvre.
Si un point ne s’applique pas, vous écrivez pourquoi, clairement, dans le dossier (article 13, paragraphe 4). Un thermostat sans écran ni compte utilisateur n’a peut-être pas besoin des mêmes contrôles d’accès qu’une caméra. Encore faut-il l’écrire.
Les règles pratiques
- Quand : avant la mise sur le marché, puis mise à jour au moins pendant la période de support (article 31, paragraphe 2).
- Combien de temps la garder : au moins dix ans après la mise sur le marché, ou pendant le support si c’est plus long (article 13, paragraphe 13).
- Dans quelle langue : pour un organisme notifié, dans une langue officielle de son pays ou une langue qu’il accepte (article 31, paragraphe 4). Pour l’autorité, dans une langue qu’elle comprend facilement (article 13, paragraphe 22).
- Qui la demande : l’autorité de surveillance du marché, sur requête motivée, et l’organisme notifié si votre procédure en fait intervenir un (article 13, paragraphe 22, et article 32).
La version simplifiée pour les petites entreprises
Les microentreprises et les petites entreprises peuvent fournir les éléments de l’annexe VII dans un format simplifié. La Commission doit définir ce formulaire par acte d’exécution ; une fois choisi, ce formulaire s’impose et les organismes notifiés doivent l’accepter (article 33, paragraphe 5). Le contenu reste le même : c’est la forme qui s’allège. Voyez notre guide pour les PME.
Ce qu’un fichier peut prouver, et ce qu’il ne peut pas
Une bonne partie du dossier relève de votre organisation : l’architecture, la méthode de risque, le processus de production. Aucun outil ne peut l’écrire à votre place, car il ne sait pas comment votre équipe travaille.
L’analyse du fichier livré, en revanche, apporte des preuves concrètes pour plusieurs rubriques : les versions de logiciel (point 1), le SBOM (point 2(b)), et des signaux techniques pour le point 6, comme les protections contre l’exploitation de failles activées à la compilation (annexe I, partie I, point (2)(k)).
Ce que fait Proofsheet
Le rapport à 99 €, généré automatiquement, place les preuves tirées de votre fichier sur les 22 points de l’annexe I, chacun marqué « prouvé », « partiel » ou « ouvert », avec l’endroit du fichier et la source de chaque constat. Les points qu’un fichier ne peut pas prouver, comme la minimisation des données ou la résistance au déni de service, restent ouverts et le rapport dit pourquoi.
Le dossier à 249 € ajoute un index de la documentation de l’annexe VII. Il montre, rubrique par rubrique, ce que les preuves générées couvrent et ce que vous devez encore ajouter vous-même. Il contient aussi la fiche de durée de support, une liste de contrôle pour la déclaration, et des modèles de politique de gestion des failles et de mise à jour à compléter avec vos propres coordonnées.
C’est une preuve technique, pas un certificat juridique. Voir un exemple de rapport, ou lisez la déclaration UE de conformité et le SBOM.