Thème
Dossier de conformité — Cyber Resilience Act (CRA)
Ce dossier regroupe la documentation technique et factuelle relative au règlement européen Cyber Resilience Act (UE 2024/2847) pour le Superviseur, logiciel commercial de supervision d'alarmes incendie (Modbus TCP/RTU, centrales INIS-E16 / AVISS-DABUS) entrant dans le champ d'application du CRA.
Nature du document. Ce dossier établit un état des lieux technique : ce qui est en place, ce que le CRA impose, comment s'y conformer, et les limites infranchissables. Il ne contient aucun acte juridique. La qualification de « fabricant » au sens du CRA, la classification réglementaire, la déclaration UE de conformité et le marquage CE relèvent de l'entité juridique qui met le produit sur le marché et doivent être confirmés avec un conseil compétent.
Structure du dossier
| Fichier | Objet | Référence CRA |
|---|---|---|
| 00 — Cadre réglementaire et classification | Champ d'application, classification du produit, échéances | Art. 6-7, annexes III-IV |
| 01 — Documentation technique | Description, conception, composants, exigences essentielles | Annexe VII |
| 02 — Évaluation des risques | Couverture des exigences, risques acceptés, mesures compensatoires | Annexe I, annexe VII |
| 03 — Informations et instructions utilisateur | Contact, usage prévu, installation/mise hors service sécurisées | Annexe II |
| 04 — Déclaration UE de conformité et marquage CE | Ce qui est attendu, ce qui existe, informations à réunir | Annexe V, art. 28 et 30 |
| 05 — Gestion des vulnérabilités | Divulgation coordonnée, SBOM, scan, signalement art. 14 | Art. 13-14, annexe I partie II |
| 06 — Période d'assistance | Durée, communication, mises à jour de sécurité | Art. 13.8 |
| 07 — Exigences fournisseur firmware — interne | Exigences de sécurité adressées au fabricant firmware tiers (diligence raisonnable) | Art. 13.5 |
Diffusion. Les documents 00 à 06 constituent le dossier présentable à un tiers. Le document 07 et l'état des compensations Modbus (
../project/COMPENSATIONS-MODBUS.md) décrivent des faiblesses de l'interface des centrales : ils figurent sur le portail interne mais ne doivent pas sortir de l'organisation.
Documents du dépôt référencés par ce dossier
- Architecture technique :
../project/ARCHITECTURE.md - Notice technique (exploitation) :
../project/NOTICE_TECHNIQUE.md - Notice d'utilisation :
../notices/fr/notice_utilisation.md - Notice installateur :
../notices/fr/notice_installateur.md - Composants tiers :
../project/THIRD-PARTY-NOTICES.md - Politique de sécurité et divulgation :
../SECURITY.md - Journal des versions (dont catégorie « Security ») :
../../CHANGELOG.md
État du dossier
| Volet | État |
|---|---|
| Mesures techniques (exigences essentielles, annexe I) | Traitées en grande partie (02) |
| Documentation technique (annexe VII) | En constitution (01) |
| Informations utilisateur (annexe II) | En constitution (03) |
| Déclaration UE + marquage CE (annexe V) | Ni établie, ni apposé (04) |
| Gestion des vulnérabilités + signalement (art. 14) | Procédure définie (05) |
| Période d'assistance | Durée à retenir et à communiquer (06) |
Reste à faire avant la mise sur le marché
Technique
| À faire | État |
|---|---|
| Reconstruire l'installateur à partir de la version mise sur le marché | le dernier build est antérieur aux correctifs de sécurité |
| Valider une installation sur machine vierge | la chaîne d'installation initialise le cluster PostgreSQL avec le secret saisi |
| Signer les binaires et l'installateur | bloqué : aucun certificat de signature disponible |
Restreindre AllowedHosts | ouvert et tracé (02 §5) |
Contrôle d'une installation réelle : le mot de passe saisi doit être accepté par psql -U postgres, la valeur postgres refusée, le service démarrer et le compte SuperAdmin se connecter.
Informations à renseigner
Les mentions [À COMPLÉTER] du dossier ; seule l'entité juridique peut les fournir.
| Information | Document |
|---|---|
| Raison sociale, adresse, identifiant, contact | 01, 03 |
| Version publiée référencée dans le dossier | 01, 03 |
| Délais de correction, responsable, coordonnées ENISA / CSIRT | 05 |
| Durée et dates de la période d'assistance | 06 |
Actes relevant de l'entité juridique
Confirmer la classification et la voie d'évaluation (00) ; établir et signer la déclaration UE, décider de l'emplacement du marquage CE puis l'apposer, organiser la conservation dix ans (04) ; déclarer la période d'assistance et la communiquer à l'achat (06).