+RÈGLEMENT (UE) 2024/2847 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 23 octobre 2024 concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques et modifiant les règlements (UE) n o 168/2013 et (UE) 2019/1020 et la directive (UE) 2020/1828 (règlement sur la cyberrésilience) (Texte présentant de l’intérêt pour l’EEE)
---+CHAPITRE I DISPOSITIONS GÉNÉRALES
------+Article premier Objet
------+Article 2 Champ d’application
---------+Article 2 1.
---------+Article 2 2.
---------+Article 2 3.
---------+Article 2 4.
---------+Article 2 5.
---------+Article 2 6.
---------+Article 2 7.
---------+Article 2 8.
------+Article 3 Définitions
------+Article 4 Libre circulation
---------+Article 4 1.
---------+Article 4 2.
---------+Article 4 3.
---------+Article 4 4.
------+Article 5 Achats publics ou utilisation de produits comportant des éléments numériques
---------+Article 5 1.
---------+Article 5 2.
------+Article 6 Exigences applicables aux produits comportant des éléments numériques
------+Article 7 Produits importants comportant des éléments numériques
---------+Article 7 1.
---------+Article 7 2.
---------+Article 7 3.
---------+Article 7 4.
------+Article 8 Produits critiques comportant des éléments numériques
---------+Article 8 1.
---------+Article 8 2.
------+Article 9 Consultation des parties intéressées
---------+Article 9 1.
---------+Article 9 2.
------+Article 10 Renforcement des compétences dans un environnement numérique cyberrésilient
------+Article 11 Sécurité générale des produits
------+Article 12 Systèmes d’IA à haut risque
---------+Article 12 1.
---------+Article 12 2.
---------+Article 12 3.
---------+Article 12 4.
---+CHAPITRE II OBLIGATIONS DES OPÉRATEURS ÉCONOMIQUES ET DISPOSITIONS RELATIVES AUX LOGICIELS LIBRES ET OUVERTS
------+Article 13 Obligations incombant aux fabricants
---------+Article 13 1.
---------+Article 13 2.
---------+Article 13 3.
---------+Article 13 4.
---------+Article 13 5.
---------+Article 13 6.
---------+Article 13 7.
---------+Article 13 8.
---------+Article 13 9.
---------+Article 13 10.
---------+Article 13 11.
---------+Article 13 12.
---------+Article 13 13.
---------+Article 13 14.
---------+Article 13 15.
---------+Article 13 16.
---------+Article 13 17.
---------+Article 13 18.
---------+Article 13 19.
---------+Article 13 20.
---------+Article 13 21.
---------+Article 13 22.
---------+Article 13 23.
---------+Article 13 24.
---------+Article 13 25.
------+Article 14 Obligations en matière de communication d’informations incombant aux fabricants
---------+Article 14 1.
---------+Article 14 2.
---------+Article 14 3.
---------+Article 14 4.
---------+Article 14 5.
---------+Article 14 6.
---------+Article 14 7.
---------+Article 14 8.
---------+Article 14 9.
---------+Article 14 10.
------+Article 15 Signalement volontaire
---------+Article 15 1.
---------+Article 15 2.
---------+Article 15 3.
---------+Article 15 4.
---------+Article 15 5.
------+Article 16 Mise en place d’une plateforme unique de signalement
---------+Article 16 1.
---------+Article 16 2.
---------+Article 16 3.
---------+Article 16 4.
---------+Article 16 5.
---------+Article 16 6.
------+Article 17 Autres dispositions liées au signalement
---------+Article 17 1.
---------+Article 17 2.
---------+Article 17 3.
---------+Article 17 4.
---------+Article 17 5.
---------+Article 17 6.
------+Article 18 Mandataires
---------+Article 18 1.
---------+Article 18 2.
---------+Article 18 3.
------+Article 19 Obligations incombant aux importateurs
---------+Article 19 1.
---------+Article 19 2.
---------+Article 19 3.
---------+Article 19 4.
---------+Article 19 5.
---------+Article 19 6.
---------+Article 19 7.
---------+Article 19 8.
------+Article 20 Obligations des distributeurs
---------+Article 20 1.
---------+Article 20 2.
---------+Article 20 3.
---------+Article 20 4.
---------+Article 20 5.
---------+Article 20 6.
------+Article 21 Cas dans lesquels les obligations des fabricants s’appliquent aux importateurs et aux distributeurs
------+Article 22 Autres cas dans lesquels les obligations des fabricants s’appliquent
---------+Article 22 1.
---------+Article 22 2.
------+Article 23 Identification des opérateurs économiques
---------+Article 23 1.
---------+Article 23 2.
------+Article 24 Obligations des intendants de logiciels ouverts
---------+Article 24 1.
---------+Article 24 2.
---------+Article 24 3.
------+Article 25 Attestation de sécurité des logiciels libres et ouverts
------+Article 26 Orientations
---------+Article 26 1.
---------+Article 26 2.
---------+Article 26 3.
---+CHAPITRE III CONFORMITÉ DU PRODUIT COMPORTANT DES ÉLÉMENTS NUMÉRIQUES
------+Article 27 Présomption de conformité
---------+Article 27 1.
---------+Article 27 2.
---------+Article 27 3.
---------+Article 27 4.
---------+Article 27 5.
---------+Article 27 6.
---------+Article 27 7.
---------+Article 27 8.
---------+Article 27 9.
------+Article 28 Déclaration UE de conformité
---------+Article 28 1.
---------+Article 28 2.
---------+Article 28 3.
---------+Article 28 4.
---------+Article 28 5.
------+Article 29 Principes généraux du marquage CE
------+Article 30 Règles et conditions d’apposition du marquage CE
---------+Article 30 1.
---------+Article 30 2.
---------+Article 30 3.
---------+Article 30 4.
---------+Article 30 5.
---------+Article 30 6.
------+Article 31 Documentation technique
---------+Article 31 1.
---------+Article 31 2.
---------+Article 31 3.
---------+Article 31 4.
---------+Article 31 5.
------+Article 32 Procédures d’évaluation de la conformité pour les produits comportant des éléments numériques
---------+Article 32 1.
---------+Article 32 2.
---------+Article 32 3.
---------+Article 32 4.
---------+Article 32 5.
---------+Article 32 6.
------+Article 33 Mesures de soutien pour les microentreprises et les petites et moyennes entreprises, y compris les jeunes pousses
---------+Article 33 1.
---------+Article 33 2.
---------+Article 33 3.
---------+Article 33 4.
---------+Article 33 5.
------+Article 34 Accords de reconnaissance mutuelle
---+CHAPITRE IV NOTIFICATION DES ORGANISMES D’ÉVALUATION DE LA CONFORMITÉ
------+Article 35 Notification
---------+Article 35 1.
---------+Article 35 2.
------+Article 36 Autorités notifiantes
---------+Article 36 1.
---------+Article 36 2.
---------+Article 36 3.
---------+Article 36 4.
------+Article 37 Exigences concernant les autorités notifiantes
---------+Article 37 1.
---------+Article 37 2.
---------+Article 37 3.
---------+Article 37 4.
---------+Article 37 5.
---------+Article 37 6.
------+Article 38 Obligation des autorités notifiantes en matière d’information
---------+Article 38 1.
---------+Article 38 2.
------+Article 39 Exigences relatives aux organismes notifiés
---------+Article 39 1.
---------+Article 39 2.
---------+Article 39 3.
---------+Article 39 4.
---------+Article 39 5.
---------+Article 39 6.
---------+Article 39 7.
---------+Article 39 8.
---------+Article 39 9.
---------+Article 39 10.
---------+Article 39 11.
---------+Article 39 12.
------+Article 40 Présomption de conformité des organismes notifiés
------+Article 41 Filiales et sous-traitants des organismes notifiés
---------+Article 41 1.
---------+Article 41 2.
---------+Article 41 3.
---------+Article 41 4.
------+Article 42 Demande de notification
---------+Article 42 1.
---------+Article 42 2.
---------+Article 42 3.
------+Article 43 Procédure de notification
---------+Article 43 1.
---------+Article 43 2.
---------+Article 43 3.
---------+Article 43 4.
---------+Article 43 5.
---------+Article 43 6.
------+Article 44 Numéros d’identification et liste des organismes notifiés
---------+Article 44 1.
---------+Article 44 2.
------+Article 45 Modifications apportées à la notification
---------+Article 45 1.
---------+Article 45 2.
------+Article 46 Contestation de la compétence des organismes notifiés
---------+Article 46 1.
---------+Article 46 2.
---------+Article 46 3.
---------+Article 46 4.
------+Article 47 Obligations opérationnelles des organismes notifiés
---------+Article 47 1.
---------+Article 47 2.
---------+Article 47 3.
---------+Article 47 4.
---------+Article 47 5.
---------+Article 47 6.
------+Article 48 Recours contre les décisions des organismes notifiés
------+Article 49 Obligation des organismes notifiés en matière d’information
---------+Article 49 1.
---------+Article 49 2.
------+Article 50 Partage d’expérience
------+Article 51 Coordination des organismes notifiés
---------+Article 51 1.
---------+Article 51 2.
---+CHAPITRE V SURVEILLANCE DU MARCHÉ ET CONTRÔLE DE L’APPLICATION DE LA LÉGISLATION
------+Article 52 Surveillance du marché et contrôle des produits comportant des éléments numériques sur le marché de l’Union
---------+Article 52 1.
---------+Article 52 2.
---------+Article 52 3.
---------+Article 52 4.
---------+Article 52 5.
---------+Article 52 6.
---------+Article 52 7.
---------+Article 52 8.
---------+Article 52 9.
---------+Article 52 10.
---------+Article 52 11.
---------+Article 52 12.
---------+Article 52 13.
---------+Article 52 14.
---------+Article 52 15.
---------+Article 52 16.
------+Article 53 Accès aux données et à la documentation
------+Article 54 Procédure au niveau national concernant les produits comportant des éléments numériques qui présentent un risque de cybersécurité important
---------+Article 54 1.
---------+Article 54 2.
---------+Article 54 3.
---------+Article 54 4.
---------+Article 54 5.
---------+Article 54 6.
---------+Article 54 7.
---------+Article 54 8.
---------+Article 54 9.
------+Article 55 Procédure de sauvegarde de l’Union
---------+Article 55 1.
---------+Article 55 2.
---------+Article 55 3.
---------+Article 55 4.
---------+Article 55 5.
------+Article 56 Procédure au niveau de l’Union concernant les produits comportant des éléments numériques qui présentent un risque de cybersécurité important
---------+Article 56 1.
---------+Article 56 2.
---------+Article 56 3.
---------+Article 56 4.
---------+Article 56 5.
---------+Article 56 6.
---------+Article 56 7.
------+Article 57 Produits conformes comportant des éléments numériques qui présentent un risque de cybersécurité important
---------+Article 57 1.
---------+Article 57 2.
---------+Article 57 3.
---------+Article 57 4.
---------+Article 57 5.
---------+Article 57 6.
---------+Article 57 7.
---------+Article 57 8.
---------+Article 57 9.
---------+Article 57 10.
---------+Article 57 11.
------+Article 58 Non-conformité formelle
---------+Article 58 1.
---------+Article 58 2.
------+Article 59 Activités conjointes des autorités de surveillance du marché
---------+Article 59 1.
---------+Article 59 2.
---------+Article 59 3.
---------+Article 59 4.
---------+Article 59 5.
------+Article 60 Opérations «coup de balai»
---------+Article 60 1.
---------+Article 60 2.
---------+Article 60 3.
---------+Article 60 4.
---------+Article 60 5.
---+CHAPITRE VI POUVOIRS DÉLÉGUÉS ET PROCÉDURE DE COMITÉ
------+Article 61 Exercice de la délégation
---------+Article 61 1.
---------+Article 61 2.
---------+Article 61 3.
---------+Article 61 4.
---------+Article 61 5.
---------+Article 61 6.
------+Article 62 Comité
---------+Article 62 1.
---------+Article 62 2.
---------+Article 62 3.
---+CHAPITRE VII CONFIDENTIALITÉ ET SANCTIONS
------+Article 63 Confidentialité
---------+Article 63 1.
---------+Article 63 2.
---------+Article 63 3.
---------+Article 63 4.
------+Article 64 Sanctions
---------+Article 64 1.
---------+Article 64 2.
---------+Article 64 3.
---------+Article 64 4.
---------+Article 64 5.
---------+Article 64 6.
---------+Article 64 7.
---------+Article 64 8.
---------+Article 64 9.
---------+Article 64 10.
------+Article 65 Actions représentatives
---+CHAPITRE VIII DISPOSITIONS TRANSITOIRES ET FINALES
------+Article 66 Modification du règlement (UE) 2019/1020
------+Article 67 Modification de la directive (UE) 2020/1828
------+Article 68 Modification du règlement (UE) no168/2013
------+Article 69 Dispositions transitoires
---------+Article 69 1.
---------+Article 69 2.
---------+Article 69 3.
------+Article 70 Évaluation et réexamen
---------+Article 70 1.
---------+Article 70 2.
------+Article 71 Entrée en vigueur et application
---------+Article 71 1.
---------+Article 71 2.
---+ANNEXE I EXIGENCES ESSENTIELLES DE CYBERSÉCURITÉ
---+ANNEXE II INFORMATIONS ET INSTRUCTIONS DESTINÉES À L’UTILISATEUR
---+ANNEXE III PRODUITS IMPORTANTS COMPORTANT DES ÉLÉMENTS NUMÉRIQUES
---+ANNEXE IV PRODUITS CRITIQUES COMPORTANT DES ÉLÉMENTS NUMÉRIQUES
---+ANNEXE V DÉCLARATION UE DE CONFORMITÉ
---+ANNEXE VI DÉCLARATION UE DE CONFORMITÉ SIMPLIFIÉE
---+ANNEXE VII CONTENU DE LA DOCUMENTATION TECHNIQUE
---+ANNEXE VIII PROCÉDURES D’ÉVALUATION DE LA CONFORMITÉ
|
English -
European Union -
RÈGLEMENT (UE) 2024/2847 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 23 octobre 2024 concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques et modifiant les règlements (UE) n o 168/2013 et (UE) 2019/1020 et la directive (UE) 2020/1828 (règlement sur la cyberrésilience) (Texte présentant de l’intérêt pour l’EEE)
RÈGLEMENT (UE) 2024/2847 DU PARLEMENT EUROPÉEN ET DU CONSEIL
du 23 octobre 2024
concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques et modifiant les règlements (UE) no 168/2013 et (UE) 2019/1020 et la directive (UE) 2020/1828 (règlement sur la cyberrésilience)
(Texte présentant de l’intérêt pour l’EEE)
Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.
1. Vue d’ensemble
| Intitulé |
Réglementation |
|
CHAPITRE I DISPOSITIONS GÉNÉRALES
|
CHAPITRE I DISPOSITIONS GÉNÉRALES
|
|
CHAPITRE II OBLIGATIONS DES OPÉRATEURS ÉCONOMIQUES ET DISPOSITIONS RELATIVES AUX LOGICIELS LIBRES ET OUVERTS
|
CHAPITRE II OBLIGATIONS DES OPÉRATEURS ÉCONOMIQUES ET DISPOSITIONS RELATIVES AUX LOGICIELS LIBRES ET OUVERTS
|
|
CHAPITRE III CONFORMITÉ DU PRODUIT COMPORTANT DES ÉLÉMENTS NUMÉRIQUES
|
CHAPITRE III CONFORMITÉ DU PRODUIT COMPORTANT DES ÉLÉMENTS NUMÉRIQUES
|
|
CHAPITRE IV NOTIFICATION DES ORGANISMES D’ÉVALUATION DE LA CONFORMITÉ
|
CHAPITRE IV NOTIFICATION DES ORGANISMES D’ÉVALUATION DE LA CONFORMITÉ
|
|
CHAPITRE V SURVEILLANCE DU MARCHÉ ET CONTRÔLE DE L’APPLICATION DE LA LÉGISLATION
|
CHAPITRE V SURVEILLANCE DU MARCHÉ ET CONTRÔLE DE L’APPLICATION DE LA LÉGISLATION
|
|
CHAPITRE VI POUVOIRS DÉLÉGUÉS ET PROCÉDURE DE COMITÉ
|
CHAPITRE VI POUVOIRS DÉLÉGUÉS ET PROCÉDURE DE COMITÉ
|
|
CHAPITRE VII CONFIDENTIALITÉ ET SANCTIONS
|
CHAPITRE VII CONFIDENTIALITÉ ET SANCTIONS
|
|
CHAPITRE VIII DISPOSITIONS TRANSITOIRES ET FINALES
|
CHAPITRE VIII DISPOSITIONS TRANSITOIRES ET FINALES
|
|
ANNEXE I EXIGENCES ESSENTIELLES DE CYBERSÉCURITÉ
|
ANNEXE I
EXIGENCES ESSENTIELLES DE CYBERSÉCURITÉ
Partie I Exigences de cybersécurité relatives aux propriétés des produits comportant des éléments numériques
1) Les produits comportant des éléments numériques sont conçus, développés et fabriqués de manière à garantir un niveau de cybersécurité approprié en fonction des risques.
2) Sur la base de l’évaluation des risques de cybersécurité visée à l’article 13, paragraphe 2, les produits comportant des éléments numériques doivent, le cas échéant:
a)
être mis à disposition sur le marché sans vulnérabilité exploitable connue;
b)
être mis à disposition sur le marché avec une configuration de sécurité par défaut, sauf accord contraire entre le fabricant et l’entreprise utilisatrice en ce qui concerne un produit sur mesure comportant des éléments numériques, y compris la possibilité de réinitialiser le produit à son état d’origine;
c)
►C2
être conçus de façon à ce que leurs vulnérabilités puissent être corrigées ◄ par des mises à jour de sécurité, y compris, le cas échéant, par des mises à jour automatiques de sécurité régulières activées par défaut, mais faciles à désactiver, par la communication aux utilisateurs des mises à jour disponibles et par la possibilité de les différer temporairement;
d)
assurer la protection contre les accès non autorisés par des mécanismes de contrôle appropriés, y compris, mais sans s’y limiter, par des systèmes d’authentification, d’identité ou de gestion des accès et signaler tout accès non autorisé;
e)
protéger la confidentialité des données stockées, transmises ou traitées de toute autre manière, à caractère personnel ou autres, par exemple en chiffrant les données pertinentes au repos ou en transit au moyen de mécanismes de pointe et par d’autres moyens techniques;
f)
protéger l’intégrité des données stockées, transmises ou traitées de toute autre manière, à caractère personnel ou autres, des commandes, des programmes et de la configuration contre toute manipulation ou modification non autorisée par l’utilisateur et signaler les corruptions;
g)
ne traiter que les données, à caractère personnel ou autres, qui sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité prévue du produit comportant des éléments numériques (minimisation des données);
h)
protéger la disponibilité des fonctions essentielles et de base, notamment après un incident, y compris par des mesures de résilience et d’atténuation face aux attaques par déni de service;
i)
réduire au maximum les répercussions négatives générées par les produits eux-mêmes ou par les appareils connectés sur la disponibilité des services fournis par d’autres dispositifs ou réseaux;
j)
être conçus, développés et fabriqués de manière à limiter les surfaces d’attaque, y compris les interfaces externes;
k)
être conçus, développés et fabriqués de manière à réduire les répercussions d’un incident, en utilisant des mécanismes et des techniques appropriés de limitation de l’exploitation de failles;
l)
fournir des informations relatives à la sécurité en enregistrant et en surveillant les activités internes pertinentes, y compris l’accès ou la modification des données, des services ou des fonctions, tout en laissant à l’utilisateur la possibilité de désactiver le mécanisme;
m)
donner aux utilisateurs la possibilité de supprimer facilement, en toute sécurité et de manière permanente toutes les données et tous les paramètres et, lorsque ces données peuvent être transférées vers d’autres produits ou systèmes, veiller à ce que cela puisse se faire de manière sécurisée.
Partie II Exigences relatives à la gestion des vulnérabilités
Les fabricants des produits comportant des éléments numériques:
1)
recensent et documentent les vulnérabilités et les composants des produits, notamment par l’établissement d’une nomenclature des logiciels dans un format couramment utilisé et lisible par machine couvrant au moins les dépendances de niveau supérieur des produits;
2)
gèrent et corrigent sans retard les vulnérabilités qui touchent les produits comportant des éléments numériques, y compris par des mises à jour de sécurité; lorsque cela est techniquement possible, de nouvelles mises à jour de sécurité sont fournies séparément des mises à jour de fonctionnalité;
3)
soumettent régulièrement les produits comportant des éléments numériques à des tests et examens de sécurité efficaces;
4)
dès la publication d’une mise à jour de sécurité, communiquent sur les vulnérabilités corrigées, en publiant notamment une description des vulnérabilités, des informations permettant aux utilisateurs d’identifier le produit comportant des éléments numérique concerné, les conséquences de ces vulnérabilités, leur gravité et des informations claires et accessibles aidant les utilisateurs à y remédier; dans des cas dûment justifiés, lorsque les fabricants considèrent que les risques pour la sécurité liés à la publication l’emportent sur les avantages en matière de sécurité, ils peuvent retarder la publication des informations relatives à une vulnérabilité corrigée jusqu’à ce que les utilisateurs aient eu la possibilité d’appliquer le correctif adapté;
5)
mettent en place et appliquent une politique de divulgation coordonnée des vulnérabilités;
6)
prennent des mesures pour faciliter le partage d’informations sur les vulnérabilités potentielles de leurs produits comportant des éléments numériques ainsi que des composants tiers contenus dans ces produits, y compris en fournissant une adresse de contact pour le signalement des vulnérabilités découvertes dans les produits concernés;
7)
prévoient des mécanismes de distribution sécurisée des mises à jour pour les produits comportant des éléments numériques afin de garantir que les vulnérabilités soient corrigées ou atténuées rapidement et, le cas échéant, automatisent les mises à jour de sécurité;
8)
veillent à ce que, lorsque des correctifs ou des mises à jour de sécurité sont disponibles pour remédier à des problèmes de sécurité constatés, ils soient diffusés sans retard et, sauf accord contraire entre un fabricant et un utilisateur professionnel en ce qui concerne un produit sur mesure comportant des éléments numériques, gratuitement et accompagnées de messages consultatifs fournissant aux utilisateurs les informations pertinentes, y compris sur les éventuelles mesures à prendre.
|
|
ANNEXE II INFORMATIONS ET INSTRUCTIONS DESTINÉES À L’UTILISATEUR
|
ANNEXE II
INFORMATIONS ET INSTRUCTIONS DESTINÉES À L’UTILISATEUR
Le produit comportant des éléments numériques doit au moins être accompagné des informations et instructions suivantes:
1)
le nom, la raison sociale ou la marque déposée du fabricant et l’adresse postale, l’adresse électronique ou tout autre contact numérique ainsi que, le cas échéant, le site internet sur lequel le fabricant peut être contacté;
2)
le point de contact unique où les informations sur les vulnérabilités du produit comportant des éléments numériques peuvent être signalées et reçues, et où peut être trouvée la politique du fabricant en matière de divulgation coordonnée des vulnérabilités;
3)
nom et type, ainsi que toute information supplémentaire permettant l’identification unique du produit comportant des éléments numériques;
4)
l’utilisation prévue du produit comportant des éléments numériques, y compris l’environnement de sécurité fourni par le fabricant, ainsi que les fonctionnalités essentielles du produit et les informations sur ses propriétés de sécurité;
5)
toutes circonstances connues ou prévisibles liées à l’utilisation du produit comportant des éléments numériques conformément à son utilisation prévue ou dans des conditions de mauvaise utilisation raisonnablement prévisible, susceptibles d’entraîner des risques de cybersécurité importants;
6)
le cas échéant, l’adresse internet à laquelle la déclaration UE de conformité peut être consultée;
7)
le type d’assistance technique en matière de sécurité proposé par le fabricant et la date de fin de la période d’assistance pendant laquelle les utilisateurs peuvent s’attendre à recevoir des mises à jour de sécurité;
8)
des instructions détaillées ou une adresse internet renvoyant à des instructions détaillées et informations sur:
a)
les mesures nécessaires lors de la mise en service initiale du produit comportant des éléments numériques et pendant toute sa durée de vie pour assurer sa sécurité d’utilisation;
b)
la façon dont les modifications apportées au produit comportant des éléments numériques peuvent affecter la sécurité des données;
c)
la façon dont les mises à jour pertinentes pour la sécurité peuvent être installées;
d)
la mise hors service sécurisée du produit comportant des éléments numériques, en ce compris des informations sur la manière dont les données utilisateur peuvent être supprimées en toute sécurité;
e)
la manière dont le réglage par défaut permettant l’installation automatique des mises à jour de sécurité, conformément à l’annexe I, partie I, point c), peut être désactivé;
f)
lorsque le produit comportant des éléments numériques est destiné à être intégré dans d’autres produits comportant des éléments numériques, les informations nécessaires à l’intégrateur pour se conformer aux exigences essentielles de cybersécurité énoncées à l’annexe I et aux exigences en matière de documentation énoncées à l’annexe VII;
9)
lorsque le fabricant décide de mettre à la disposition de l’utilisateur la nomenclature des logiciels, des informations sur l’endroit où celle-ci peut être consultée.
|
|
ANNEXE III PRODUITS IMPORTANTS COMPORTANT DES ÉLÉMENTS NUMÉRIQUES
|
ANNEXE III
PRODUITS IMPORTANTS COMPORTANT DES ÉLÉMENTS NUMÉRIQUES
Classe I
1. Systèmes de gestion des identités et logiciels et dispositifs de gestion des accès privilégiés, dont lecteurs d’authentification et de contrôle d’accès et lecteurs biométriques
2. Navigateurs autonomes et intégrés
3. Gestionnaires de mots de passe
4. Logiciels qui recherchent, suppriment ou mettent en quarantaine des logiciels malveillants
5. Produits comportant des éléments numériques avec la fonction de réseau privé virtuel (VPN)
▼C4
6. Systèmes de gestion de réseau
▼B
7. Systèmes de gestion des informations et des événements de sécurité (SIEM)
8. Gestionnaires de démarrage
9. Infrastructure à clé publique et logiciels d’émission de certificats numériques
10. Interfaces réseau physiques et virtuelles
11. Systèmes d’exploitation
12. Routeurs, modems destinés à la connexion à l’internet et commutateurs
13. Microprocesseurs dotés de fonctionnalités liées à la sécurité
14. Microcontrôleurs dotés de fonctionnalités liées à la sécurité
15. Circuits intégrés spécifiques à l’application (ASIC) et réseaux de portes programmables (FPGA) dotés de fonctionnalités liées à la sécurité
16. Assistants virtuels polyvalents pour maison intelligente
17. Produits domestiques intelligents dotés de fonctionnalités de sécurité, notamment serrures, caméras de sécurité, systèmes de surveillance pour bébé et systèmes d’alarme
18. Jouets connectés couverts par la directive 2009/48/CE du Parlement européen et du Conseil (
4
) qui présentent des caractéristiques sociales interactives (par exemple, parler ou filmer) ou qui possèdent des fonctions de localisation
19. Produits portables personnels destinés à être portés ou mis sur un corps humain à des fins de surveillance de la santé (suivi par exemple) et auxquels le règlement (UE) 2017/745 ou (UE) 2017/746 ne s’appliquent pas, ou produits portables personnels destinés à être utilisés par et pour les enfants
Classe II
1. Hyperviseurs et systèmes d’exécution de conteneurs prenant en charge l’exécution virtualisée de systèmes d’exploitation et d’environnements similaires
2. Pare-feu, systèmes de détection et de prévention des intrusions
3. Microprocesseurs résistants aux manipulations
4. Microcontrôleurs résistants aux manipulations
|
|
ANNEXE IV PRODUITS CRITIQUES COMPORTANT DES ÉLÉMENTS NUMÉRIQUES
|
ANNEXE IV
PRODUITS CRITIQUES COMPORTANT DES ÉLÉMENTS NUMÉRIQUES
1. Dispositifs matériels avec boîtier de sécurité
2. «Passerelles pour compteur intelligent» au sein des systèmes intelligents de mesure tels que définis à l’article 2, point 23), de la directive (UE) 2019/944 du Parlement européen et du Conseil (
5
) et autres dispositifs à des fins de sécurité avancées, y compris pour un traitement cryptographique sécurisé
3. Cartes à puce ou dispositifs similaires, y compris éléments sécurisés
|
|
ANNEXE V DÉCLARATION UE DE CONFORMITÉ
|
ANNEXE V
DÉCLARATION UE DE CONFORMITÉ
La déclaration UE de conformité prévue à l’article 28 contient l’ensemble des informations suivantes:
1)
nom et type, ainsi que toute information supplémentaire permettant l’identification unique du produit comportant des éléments numériques
2)
nom et adresse du fabricant ou de son mandataire
3)
attestation certifiant que la déclaration UE de conformité est établie sous la seule responsabilité du fournisseur
4)
objet de la déclaration (identification du produit comportant des éléments numériques permettant sa traçabilité et pouvant inclure une photographie)
5)
une mention indiquant que l’objet de la déclaration décrit ci-dessus est conforme à la législation d’harmonisation de l’Union applicable
6)
les références de toute norme harmonisée pertinente appliquée ou de toute autre spécification commune ou certification de cybersécurité par rapport auxquelles la conformité est déclarée
7)
le cas échéant, le nom et le numéro de l’organisme notifié, une description de la procédure d’évaluation de la conformité suivie et la référence du certificat délivré
8)
informations supplémentaires:
Signé par et au nom de:
(date et lieu d’établissement):
(nom, fonction) (signature):
|
|
ANNEXE VI DÉCLARATION UE DE CONFORMITÉ SIMPLIFIÉE
|
ANNEXE VI
DÉCLARATION UE DE CONFORMITÉ SIMPLIFIÉE
La déclaration UE de conformité simplifiée visée à l’article 13, paragraphe 20, est établie comme suit:
… [nom du fabricant] déclare que le produit comportant des éléments numériques de type … [désignation du type de produit comportant un élément numérique] est conforme au règlement (UE) 2024/2847 (
6
). Le texte complet de la déclaration UE de conformité est disponible à l’adresse internet suivante: …
|
|
ANNEXE VII CONTENU DE LA DOCUMENTATION TECHNIQUE
|
ANNEXE VII
CONTENU DE LA DOCUMENTATION TECHNIQUE
La documentation technique visée à l’article 31 contient au moins les informations ci-après, selon le produit comportant des éléments numériques concerné:
1)
une description générale du produit comportant des éléments numériques, y compris:
b)
les versions de logiciel ayant des incidences sur la conformité aux exigences essentielles de cybersécurité;
c)
lorsque le produit comportant des éléments numériques est un produit matériel, des photographies ou des illustrations montrant les caractéristiques extérieures, le marquage et la disposition intérieure;
d)
les informations et instructions destinées à l’utilisateur figurant à l’annexe II;
2)
une description de la conception, du développement et de la fabrication du produit comportant des éléments numériques et des processus de gestion des vulnérabilités, y compris:
a)
les informations nécessaires sur la conception et le développement du produit comportant des éléments numériques, y compris, le cas échéant, des dessins et des schémas et/ou une description de l’architecture du système expliquant comment les composants logiciels s’appuient les uns sur les autres ou s’alimentent et s’intègrent dans le traitement global;
b)
les informations et spécifications nécessaires concernant le processus de gestion des vulnérabilités mis en place par le fabricant, en ce compris la nomenclature des logiciels, la politique coordonnée de divulgation des vulnérabilités, la preuve de la fourniture d’une adresse de contact pour le signalement des vulnérabilités et une description des solutions techniques choisies pour la distribution sécurisée des mises à jour;
c)
les informations et spécifications nécessaires concernant les processus de production et de suivi du produit comportant des éléments numériques et la validation de ces processus;
3)
une évaluation des risques de cybersécurité sur la base de laquelle le produit comportant des éléments numériques est conçu, développé, produit, livré et entretenu, en vertu de l’article 13, y compris la manière dont les exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, sont applicables;
4)
les informations qui ont été prises en compte pour déterminer la période d’assistance en vertu de l’article 13, paragraphe 8, du produit comportant des éléments numériques;
5)
une liste des normes harmonisées, appliquées entièrement ou en partie, dont les références ont été publiées au Journal officiel de l’Union européenne, des spécifications communes telles que définies à l’article 27 du présent règlement ou des schémas européens de certification de cybersécurité adoptés au titre du règlement (UE) 2019/881, conformément à l’article 27, paragraphe 8, du présent règlement, lorsque ces normes harmonisées, spécifications communes ou schémas européens de certification de cybersécurité n’ont pas été appliqués, une présentation des solutions adoptées pour répondre aux exigences essentielles de cybersécurité énoncées à l’annexe I, parties I et II, y compris une liste des autres spécifications techniques pertinentes appliquées. Dans le cas où des normes harmonisées, spécifications communes ou schémas européens de certifications de cybersécurité ont été appliquées en partie, la documentation technique précise les parties appliquées;
6)
les rapports des essais effectués pour vérifier la conformité du produit comportant des éléments numériques et des processus de gestion des vulnérabilités aux exigences essentielles de cybersécurité applicables énoncées à l’annexe I, parties I et II;
7)
une copie de la déclaration UE de conformité;
8)
le cas échéant, la nomenclature des logiciels, à la suite d’une demande motivée d’une autorité de surveillance du marché, pour autant que celle-ci soit nécessaire pour permettre à cette autorité de vérifier le bon respect des exigences essentielles de cybersécurité énoncées à l’annexe I.
|
|
ANNEXE VIII PROCÉDURES D’ÉVALUATION DE LA CONFORMITÉ
|
ANNEXE VIII
PROCÉDURES D’ÉVALUATION DE LA CONFORMITÉ
Partie I Procédure d’évaluation de la conformité basée sur le contrôle interne (basée sur le module A)
1. Le contrôle interne correspond à la procédure d’évaluation de la conformité par laquelle le fabricant remplit les obligations énoncées aux points 2, 3 et 4 de la présente partie, assure et déclare sous sa seule responsabilité que les produits comportant des éléments numériques satisfont à toutes les exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et par laquelle le fabricant satisfait aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
2. Le fabricant établit la documentation technique décrite à l’annexe VII.
3. Conception, développement, production et gestion des vulnérabilités des produits comportant des éléments numériques
Le fabricant prend toutes les mesures nécessaires pour que les processus de conception, de développement, de production et de gestion des vulnérabilités ainsi que leur suivi garantissent la conformité des produits comportant des éléments numériques fabriqués ou développés et des processus mis en place par lui avec les exigences essentielles de cybersécurité énoncées à l’annexe I, parties I et II.
4. Marquage de conformité et déclaration de conformité
4.1. Le fabricant appose le marquage CE sur chaque produit comportant des éléments numériques qui répond aux exigences applicables énoncées dans le présent règlement.
4.2. Le fabricant établit une déclaration UE de conformité écrite pour chaque produit comportant des éléments numériques conformément à l’article 28 et la tient, accompagnée de la documentation technique, à la disposition des autorités nationales pendant dix ans à partir du moment où le produit concerné a été mis sur le marché ou pendant la période d’assistance, la durée la plus longue étant retenue. La déclaration UE de conformité précise le produit comportant des éléments numériques pour lequel elle a été établie. Une copie de la déclaration UE de conformité est mise à la disposition des autorités compétentes sur demande.
Les obligations du fabricant énoncées au point 4 peuvent être remplies par son mandataire, en son nom et sous sa responsabilité, pour autant que les obligations en question soient spécifiées dans le mandat.
Partie II Examen UE de type (basé sur le module B)
1. L’examen UE de type correspond à la partie d’une procédure d’évaluation de la conformité dans laquelle un organisme notifié examine la conception technique et le développement d’un produit comportant des éléments numériques et les processus de gestion des vulnérabilités mis en place par le fabricant, et atteste qu’un produit comportant des éléments numériques satisfait aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et que le fabricant satisfait aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
2. L’examen UE de type consiste en une évaluation de l’adéquation de la conception technique et du développement du produit comportant des éléments numériques par un examen de la documentation technique et des preuves visées au point 3, avec examen d’échantillons d’une ou de plusieurs parties critiques du produit (combinaison du type de fabrication et du type de conception).
3. Le fabricant introduit une demande d’examen UE de type auprès d’un seul organisme notifié de son choix.
Cette demande comporte:
3.1.
le nom et l’adresse du fabricant, ainsi que le nom et l’adresse du mandataire si la demande est introduite par celui-ci;
3.2.
une déclaration écrite certifiant que la même demande n’a pas été introduite auprès d’un autre organisme notifié;
3.3.
la documentation technique, qui permet d’évaluer la conformité du produit comportant des éléments numériques aux exigences essentielles applicables de cybersécurité énoncées à l’annexe I, partie I, et les processus de gestion des vulnérabilités du fabricant énoncés à l’annexe I, partie II, et comprend une analyse et une évaluation adéquates du ou des risques. La documentation technique précise les exigences applicables et couvre, dans la mesure nécessaire à l’évaluation, la conception, la fabrication et le fonctionnement du produit comportant des éléments numériques. La documentation technique contient, le cas échéant, au moins les éléments énoncés à l’annexe VII;
3.4.
les preuves à l’appui de l’adéquation des solutions de conception technique et de développement et des processus de gestion des vulnérabilités. Ces preuves mentionnent tous les documents qui ont été utilisés, en particulier lorsque les normes harmonisées ou les spécifications techniques applicables n’ont pas été appliquées dans leur intégralité. Elles comprennent, si nécessaire, les résultats des essais effectués par le laboratoire approprié du fabricant ou par un autre laboratoire d’essai en son nom et sous sa responsabilité.
4.1.
examine la documentation technique et les éléments de preuve pour évaluer l’adéquation de la conception technique et du développement du produit comportant des éléments numériques aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et des processus de gestion des vulnérabilités mis en place par le fabricant aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II;
4.2.
vérifie que le ou les échantillons ont été développés ou fabriqués en conformité avec la documentation technique et relève les éléments qui ont été conçus et développés conformément aux dispositions applicables des normes harmonisées ou des spécifications techniques pertinentes, ainsi que les éléments dont la conception et le développement ne s’appuient pas sur les dispositions pertinentes desdites normes;
4.3.
effectue ou fait effectuer les examens et les essais appropriés pour vérifier que, si le fabricant a choisi d’appliquer les solutions indiquées dans les normes harmonisées ou les spécifications techniques pertinentes pour les exigences énoncées à l’annexe I, l’application a été faite correctement;
4.4.
effectue ou fait effectuer les contrôles et les essais appropriés pour vérifier que, si les solutions indiquées dans les normes harmonisées ou les spécifications techniques pertinentes pour les exigences de l’annexe I n’ont pas été appliquées, les solutions adoptées par le fabricant satisfont aux exigences essentielles de cybersécurité correspondantes;
4.5.
convient avec le fabricant de l’endroit où les examens et les essais seront effectués.
5. L’organisme notifié établit un rapport d’évaluation répertoriant les activités effectuées conformément au point 4 et leurs résultats. Sans préjudice de ses obligations vis-à-vis des autorités notifiantes, l’organisme notifié ne divulgue le contenu de ce rapport, en totalité ou en partie, qu’avec l’accord du fabricant.
6. Lorsque le type et les processus de gestion des vulnérabilités satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, l’organisme notifié délivre au fabricant une attestation d’examen UE de type. L’attestation contient le nom et l’adresse du fabricant, les conclusions de l’examen, les conditions (éventuelles) de sa validité et les données nécessaires à l’identification du type et des processus de gestion des vulnérabilités approuvés. Une ou plusieurs annexes peuvent être jointes à l’attestation.
L’attestation et ses annexes contiennent toutes les informations nécessaires pour permettre l’évaluation de la conformité des produits comportant des éléments numériques fabriqués ou développés au type examiné et des processus de gestion des vulnérabilités à évaluer et pour permettre un contrôle en service.
Lorsque le type et les processus de gestion des vulnérabilités ne satisfont pas aux exigences essentielles de cybersécurité applicables énoncées à l’annexe I, l’organisme notifié refuse de délivrer une attestation d’examen UE de type et en informe le demandeur, en lui précisant les raisons de son refus.
7. L’organisme notifié suit l’évolution de l’état de la technique généralement reconnu, et lorsque cette évolution donne à penser que le type et les processus de gestion des vulnérabilités approuvés pourraient ne plus être conformes aux exigences essentielles de cybersécurité applicables énoncées à l’annexe I, il détermine si des examens complémentaires sont nécessaires. Si tel est le cas, l’organisme notifié en informe le fabricant.
Le fabricant informe l’organisme notifié qui détient la documentation technique relative à l’attestation d’examen UE de type de toutes les modifications du type et des processus de gestion des vulnérabilités approuvés qui peuvent remettre en cause la conformité aux exigences essentielles de cybersécurité énoncées à l’annexe I, ou les conditions de validité de l’attestation. Ces modifications nécessitent une nouvelle approbation sous la forme d’un complément à l’attestation initiale d’examen UE de type.
8. L’organisme notifié effectue périodiquement des audits afin de s’assurer que les processus de traitement des vulnérabilités décrits à l’annexe I, partie II, sont mis en œuvre de manière adéquate.
9. Chaque organisme notifié informe ses autorités notifiantes des attestations d’examen UE de type et des compléments qu’il a délivrés ou retirés et leur transmet, périodiquement ou sur demande, la liste des attestations et des compléments qu’il a refusés, suspendus ou soumis à d’autres restrictions.
Chaque organisme notifié informe les autres organismes notifiés des attestations d’examen UE de type ou des compléments qu’il a refusés, retirés, suspendus ou soumis à d’autres restrictions et, sur demande, des attestations et des compléments qu’il a délivrés.
La Commission, les États membres et les autres organismes notifiés peuvent, sur demande, obtenir une copie des attestations d’examen UE de type et de leurs compléments. Sur demande, la Commission et les États membres peuvent obtenir une copie de la documentation technique et des résultats des examens réalisés par l’organisme notifié. L’organisme notifié conserve une copie de l’attestation d’examen UE de type, de ses annexes et compléments, ainsi que le dossier technique, y compris la documentation communiquée par le fabricant, jusqu’à la fin de la validité de ladite attestation.
10. Le fabricant tient à la disposition des autorités nationales une copie de l’attestation d’examen UE de type, de ses annexes et compléments, ainsi que la documentation technique, pour une durée de dix ans à partir du moment où le produit comportant des éléments numériques a été mis sur le marché ou pendant la période d’assistance, la plus longue des deux durées étant retenue.
11. Le mandataire du fabricant peut introduire la demande visée au point 3 et s’acquitter des obligations énoncées aux points 7 et 10 pour autant que lesdites obligations soient spécifiées dans le mandat.
Partie III Conformité au type sur la base du contrôle interne de la fabrication (basée sur le module C)
1. La conformité au type sur la base du contrôle interne de la fabrication correspond à la partie de la procédure d’évaluation de la conformité par laquelle le fabricant remplit les obligations énoncées aux points 2 et 3 de la présente partie, et garantit et déclare que les produits comportant des éléments numériques concernés sont conformes au type décrit dans l’attestation d’examen UE de type et satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et que lui-même respecte les exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
Le fabricant prend toutes les mesures nécessaires pour que la production et le suivi de celle-ci garantissent la conformité des produits comportant des éléments numériques fabriqués au type approuvé décrit dans l’attestation d’examen UE de type et aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et que lui-même respecte les exigences essentielles énoncées à l’annexe I, partie II.
3. Marquage de conformité et déclaration de conformité
3.1.
Le fabricant appose le marquage CE sur chaque produit comportant des éléments numériques conforme au type décrit dans l’attestation d’examen UE de type et satisfait aux exigences de cybersécurité applicables énoncées dans l’instrument législatif.
3.2.
Le fabricant établit une déclaration écrite de conformité concernant un modèle de produit et la tient à la disposition des autorités nationales pendant une durée de dix ans à partir du moment où le produit comportant des éléments numériques a été mis sur le marché ou pendant la période d’assistance, la durée la plus longue étant retenue. La déclaration de conformité précise le modèle de produit pour lequel elle a été établie. Une copie de la déclaration de conformité est mise à la disposition des autorités compétentes sur demande.
Les obligations du fabricant énoncées au point 3 peuvent être remplies par son mandataire, en son nom et sous sa responsabilité, pour autant que lesdites obligations soient spécifiées dans le mandat.
Partie IV Conformité sur la base de l’assurance complète de la qualité (basée sur le module H)
1. La conformité sur la base de l’assurance complète de la qualité correspond à la procédure d’évaluation de la conformité par laquelle le fabricant remplit les obligations énoncées aux points 2 et 5 de la présente partie, et garantit et déclare sous sa seule responsabilité que les produits comportant des éléments numériques (ou catégories de produits) concernés satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et que les processus de gestion des vulnérabilités mis en place par le fabricant satisfont aux exigences énoncées à l’annexe I, partie II.
2. Conception, développement, production et gestion des vulnérabilités des produits comportant des éléments numériques.
Le fabricant applique un système de qualité approuvé, tel que spécifié au point 3, pour la conception, le développement et l’inspection finale et l’essai des produits comportant des éléments numériques concernés et pour la gestion des vulnérabilités, maintient son efficacité tout au long de la période d’assistance des produits concernés et fait l’objet d’une surveillance, tel que spécifié au point 4.
3.1.
Le fabricant introduit, auprès d’un organisme notifié de son choix, une demande d’évaluation de son système de qualité pour les produits comportant des éléments numériques concernés.
Cette demande comporte:
a)
le nom et l’adresse du fabricant, ainsi que le nom et l’adresse du mandataire si la demande est introduite par celui-ci;
b)
la documentation technique, pour un modèle de chaque catégorie de produits comportant des éléments numériques destinés à être fabriqués ou développés. La documentation technique contient, le cas échéant, au minimum, les éléments énoncés à l’annexe VII;
c)
la documentation relative au système de qualité; et
d)
une déclaration écrite certifiant que la même demande n’a pas été introduite auprès d’un autre organisme notifié.
3.2.
Le système de qualité garantit la conformité des produits comportant des éléments numériques avec les exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et la conformité des processus de gestion des vulnérabilités mis en place par le fabricant avec les exigences énoncées à l’annexe I, partie II.
Tous les éléments, exigences et dispositions adoptés par le fabricant sont réunis de manière systématique et ordonnée dans une documentation sous la forme de mesures, de procédures et d’instructions écrites. Cette documentation relative au système de qualité facilite une interprétation homogène des programmes, des plans, des manuels et des dossiers concernant la qualité.
Elle contient en particulier une description adéquate des éléments suivants:
a)
les objectifs de qualité, l’organigramme ainsi que les responsabilités et les compétences du personnel d’encadrement en matière de qualité de la conception, du développement et des produits, ainsi que de gestion des vulnérabilités;
b)
les spécifications de la conception technique et du développement, y compris les normes, qui seront appliquées et, lorsque les normes harmonisées ou les spécifications techniques pertinentes ne sont pas appliquées intégralement, les moyens qui seront utilisés pour faire en sorte de respecter les exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, qui s’appliquent aux produits comportant des éléments numériques;
c)
les spécifications des procédures, y compris les normes, qui seront appliquées et, lorsque les normes harmonisées ou les spécifications techniques pertinentes ne sont pas appliquées intégralement, les moyens qui seront utilisés pour faire en sorte de respecter les exigences essentielles de cybersécurité énoncées à l’annexe I, partie II, qui s’appliquent au fabricant;
d)
le contrôle de la conception et du développement, ainsi que les techniques de vérification de la conception et du développement, les procédés et les actions systématiques qui seront utilisés lors de la conception et du développement des produits comportant des éléments numériques appartenant à la catégorie couverte;
e)
les techniques correspondantes de production, de contrôle de la qualité et d’assurance de la qualité, les procédés et les actions systématiques qui seront utilisés;
f)
les examens et les essais qui seront effectués avant, pendant et après la production et la fréquence à laquelle ils auront lieu;
g)
des dossiers de qualité tels que les rapports d’inspection et les données d’essais et d’étalonnage, et les rapports sur la qualification du personnel concerné;
h)
les moyens de surveillance permettant de contrôler l’obtention de la qualité requise en matière de conception et de produit et le bon fonctionnement du système de qualité.
3.3.
L’organisme notifié évalue le système de qualité pour déterminer s’il répond aux exigences visées au point 3.2.
Il présume la conformité à ces exigences pour les éléments du système de qualité qui sont conformes aux spécifications correspondantes de la norme nationale transposant la norme harmonisée applicable ou la spécification technique.
L’équipe d’auditeurs doit posséder une expérience des systèmes de gestion de la qualité et comporter au moins un membre ayant de l’expérience en tant qu’évaluateur dans le groupe de produits et la technologie concernés, ainsi qu’une connaissance des exigences applicables énoncées dans le présent règlement. L’audit comprend une visite d’évaluation dans les installations du fabricant, si de telles installations existent. L’équipe d’auditeurs examine la documentation technique visée au point 3.1, deuxième tiret, afin de vérifier la capacité du fabricant à déterminer les exigences applicables énoncées dans le présent règlement et à réaliser les examens nécessaires en vue de garantir la conformité du produit comportant des éléments numériques à ces exigences.
La décision est notifiée au fabricant ou à son mandataire.
La notification contient les conclusions de l’audit et la décision d’évaluation motivée.
3.4.
Le fabricant s’engage à remplir les obligations découlant du système de qualité tel qu’il est approuvé et à faire en sorte qu’il demeure adéquat et efficace.
3.5.
Le fabricant informe l’organisme notifié ayant approuvé le système de qualité de tout projet de modification de celui-ci.
L’organisme notifié examine les modifications envisagées et décide si le système de qualité modifié continuera de répondre aux exigences énoncées au point 3.2 ou si une nouvelle évaluation s’impose.
Il notifie sa décision au fabricant. La notification contient les conclusions de l’examen et la décision d’évaluation motivée.
4. Surveillance sous la responsabilité de l’organisme notifié
4.1.
Le but de la surveillance est de s’assurer que le fabricant remplit correctement les obligations découlant du système de qualité approuvé.
4.2.
Le fabricant autorise l’organisme notifié à accéder, à des fins d’évaluation, aux lieux de conception, de développement, de production, d’inspection, d’essai et de stockage et lui fournit toutes les informations nécessaires, notamment:
a)
la documentation sur le système de qualité;
b)
les dossiers de qualité prévus dans la partie du système de qualité consacrée à la conception, tels que les résultats des analyses, des calculs et des essais;
c)
les dossiers de qualité prévus par la partie du système de qualité consacrée à la fabrication, tels que les rapports d’inspection, les données d’essais et d’étalonnage et les rapports sur la qualification du personnel concerné.
4.3.
L’organisme notifié effectue périodiquement des audits pour s’assurer que le fabricant maintient et applique le système de qualité, et il transmet un rapport d’audit au fabricant.
5. Marquage de conformité et déclaration de conformité
5.1.
Sur chaque produit comportant des éléments numériques qui satisfait aux exigences énoncées à l’annexe I, partie I, du présent règlement, le fabricant doit apposer le marquage CE et, sous la responsabilité de l’organisme notifié visé au point 3.1, le numéro d’identification de ce dernier.
5.2.
Le fabricant établit une déclaration écrite de conformité concernant chaque modèle de produit et la tient à la disposition des autorités nationales pendant une durée de dix ans à partir du moment où le produit comportant des éléments numériques a été placé sur le marché ou pendant la période d’assistance, la durée la plus longue étant retenue. La déclaration de conformité précise le modèle de produit pour lequel elle a été établie.
Une copie de la déclaration de conformité est mise à la disposition des autorités compétentes sur demande.
6. Pendant une période d’au moins dix ans à compter de la mise sur le marché du produit comportant des éléments numériques ou pendant la période d’assistance, la durée la plus longue étant retenue, le fabricant doit tenir à la disposition des autorités nationales:
a)
la documentation technique visée au point 3.1;
b)
la documentation concernant le système de qualité visée au point 3.1;
c)
les modifications approuvées visées au point 3.5;
d)
les décisions et rapports de l’organisme notifié visés aux points 3.5 et 4.3.
7. Chaque organisme notifié informe ses autorités notifiantes des approbations de systèmes de qualité délivrées ou retirées et leur transmet, périodiquement ou sur demande, la liste des approbations qu’il a refusées, suspendues ou soumises à d’autres restrictions.
Chaque organisme notifié informe les autres organismes notifiés des approbations de systèmes de qualité qu’il a refusées, suspendues ou retirées et, sur demande, des approbations qu’il a délivrées.
Les obligations du fabricant visées aux points 3.1, 3.5, 5 et 6 peuvent être remplies par son mandataire, en son nom et sous sa responsabilité, pour autant que lesdites obligations soient spécifiées dans le mandat.
Une déclaration a été faite en ce qui concerne le présent acte et figure au JO C, 2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj.
|
,
1.1 Références
1.2 Exigences identifiées
1.3 Normes associées
2. Exigences identifiées
Exigences
| Source |
Exigence |
3. Normes associées
Tickets liés
|