Durée de support : ce que le CRA vous impose

Le Cyber Resilience Act (CRA), ou règlement sur la cyberrésilience, vous oblige à corriger les failles de votre produit pendant une période de support d’au moins cinq ans. Elle ne peut être plus courte que si le produit est prévu pour servir moins longtemps. Vous devez afficher la date de fin, au moins le mois et l’année, au moment de l’achat (article 13, paragraphes 8 et 19).

Cinq ans, c’est un minimum fixé par la loi, pas une recommandation.

Ce que couvre la période de support

Le règlement la définit comme la période pendant laquelle le fabricant doit traiter efficacement les vulnérabilités du produit, selon l’annexe I, partie II (article 3). Concrètement, pendant cette période, vous devez :

• suivre les failles de vos composants et les corriger sans retard ;
• livrer les mises à jour de sécurité gratuitement, avec un message qui explique quoi faire (partie II, point 8) ;
• garder votre dossier technique à jour (article 31, paragraphe 2) ;
• signaler les failles activement exploitées (article 14).

Le support porte sur la sécurité. Le règlement ne vous oblige pas à ajouter des fonctions pendant cinq ans.

Comment fixer la bonne durée

L’article 13, paragraphe 8, part d’une idée simple : la période doit refléter la durée pendant laquelle le produit est censé être utilisé. Pour la fixer, vous tenez compte :

• des attentes raisonnables des utilisateurs ;
• de la nature du produit et de son usage prévu ;
• du droit de l’Union qui fixe la durée de vie de certains produits.

Vous pouvez aussi regarder la durée de support des produits concurrents, la disponibilité de l’environnement (le système d’exploitation, le cloud), et la durée de support des composants tiers qui assurent les fonctions essentielles.

Un exemple. Vous vendez un capteur industriel installé dans une usine pour dix ans. Cinq ans de support seraient difficiles à défendre : un client s’attend raisonnablement à des correctifs pendant presque toute la vie de l’appareil. À l’inverse, pour un gadget prévu pour trois ans, le texte autorise une période égale à cette durée d’usage, à condition de pouvoir le justifier.

Ce qui doit être écrit, et où

Quoi	Où	Source
Les éléments pris en compte pour fixer la durée	Le dossier technique	Art. 13(8) et annexe VII, point 4
La date de fin, au moins mois et année	Au moment de l’achat, de façon claire, et si possible sur le produit, l’emballage ou par voie numérique	Art. 13(19)
Le type de support de sécurité et la date de fin	La notice destinée à l’utilisateur	Annexe II, point 7
Un avis quand le support se termine, si c’est techniquement possible	Sur le produit	Art. 13(19), second alinéa

L’autorité de surveillance du marché contrôle la façon dont vous avez appliqué ces critères (article 52, paragraphe 16). Le groupe de coopération des autorités, l’ADCO, publiera des statistiques et des durées indicatives par catégorie de produits. Si les durées d’une catégorie semblent trop courtes, la Commission peut fixer un minimum par acte délégué (article 13, paragraphe 8).

Les durées qui s’ajoutent

Deux obligations vont au-delà de la période de support et surprennent souvent :

• Chaque mise à jour de sécurité reste disponible au moins dix ans après sa sortie, ou jusqu’à la fin du support si c’est plus long (article 13, paragraphe 9).
• Le dossier technique et la déclaration UE de conformité restent à disposition des autorités au moins dix ans après la mise sur le marché, ou pendant le support si c’est plus long (article 13, paragraphe 13). La notice aussi (article 13, paragraphe 18).

Prévoyez donc un serveur de téléchargement et une archive de documents qui vivront plus longtemps que certains produits.

Les logiciels avec plusieurs versions

Si vous publiez des versions successives d’un logiciel avec de gros changements, vous pouvez ne corriger que la dernière, à une condition : les utilisateurs des anciennes versions y ont accès gratuitement, sans frais pour adapter leur matériel ou leur logiciel (article 13, paragraphe 10). Pour un firmware d’appareil, cela suppose que la dernière version tourne bien sur tous les modèles encore supportés.

Le coût réel, pour une petite équipe

Ce qui coûte, pendant cinq ans ou plus, c’est de savoir quels composants tournent dans chaque version vendue, et de voir passer les failles qui les touchent. Sans liste de composants à jour, chaque nouvelle faille publiée devient une enquête.

La décision de la durée vous revient. Aucun outil ne peut la prendre ni promettre des mises à jour gratuites à votre place.

Ce que fait Proofsheet

Le dossier à 249 € contient une fiche de durée de support : un modèle où vous notez la durée choisie, les critères de l’article 13, paragraphe 8, que vous avez pris en compte, et la date de fin à afficher. Vous la remplissez avec vos propres informations, puis elle rejoint votre dossier technique.

Pour tenir la durée, Watchdog, un abonnement logiciel à 79 € par mois (bientôt disponible), réanalyse chaque nouvelle version que vous livrez et vous envoie une alerte par e-mail quand une faille d’un composant que vous utilisez entre dans la liste des failles exploitées de la CISA. Pour le suivi, l’application ne garde que la liste des composants ; le fichier lui-même est supprimé sous 24 heures. C’est une preuve technique, pas un certificat juridique.

Voir Watchdog, ou lisez les obligations des fabricants et le SBOM.