Un « non » documenté vaut autant qu'un « oui » : comment un fabricant se défend

L'asymétrie : l'autorité vérifie le processus, pas seulement le résultat

Quand un inspecteur regarde un dossier, il ne demande pas « avez-vous signalé ou non ? ». Il demande si vous étiez en mesure de décider, et si vous avez décidé de manière traçable. C'est le point que presque tout le monde manque : un dossier défendable avec un « non » écrit bat à chaque fois un « oui » non documenté, parce que le premier montre un processus qui fonctionne et le second seulement de la chance.

Un fabricant qui a tout signalé, par prudence, mais ne sait pas expliquer pourquoi, est en position plus faible qu'un autre qui n'a rien signalé parce que — cas par cas — aucun événement n'atteignait le seuil, et peut le prouver. L'obligation n'est pas de signaler : c'est de qualifier correctement chaque événement et d'agir selon la qualification. Les obligations de signalement de l'art. 14 présupposent une évaluation ; l'évaluation est ce que l'autorité inspecte.

Ce que contient un bon enregistrement

Un enregistrement qui tient n'est pas un long document. C'en est un court qui répond à six questions sans détour. L'événement : ce qui est arrivé et par quel canal. Le moment de la prise de connaissance : l'horodatage depuis lequel court toute échéance, consigné quand il s'est produit. La qualification : exploitée ou non, incident ou non — avec l'article appliqué écrit à côté, parce que cet article est ce qui fixe les échéances.

Puis le raisonnement : deux ou trois phrases sur pourquoi l'événement a été qualifié ainsi. Les preuves : le journal, l'e-mail, la sortie du scanner, la note de l'analyste — ce sur quoi le raisonnement s'appuie. Et enfin les échéances calculées : même quand la conclusion est « pas d'obligation », écrire les échéances auxquelles vous auriez fait face prouve que vous saviez que l'horloge existait. Sans l'étape de qualification, on ne peut rien calculer — le défaut le plus courant dans les processus internes qu'on nous montre.

L'autorité peut demander à bref délai

L'autorité de surveillance du marché peut demander la documentation démontrant la conformité, et elle peut le faire à bref délai et sans obligation d'expliquer pourquoi elle demande. Un dossier de preuves existe précisément pour répondre avec ce qui existe déjà, plutôt que de reconstituer des mois de décisions sous pression — une reconstitution qui, si honnête soit-elle, se lit toujours comme faite après coup.

La différence entre les deux situations n'est pas la qualité de votre ingénierie. C'est de savoir si la décision a été capturée au moment où elle a été prise. Un enregistrement écrit le jour même est une preuve ; le même contenu tapé la semaine de l'inspection est un récit, et les inspecteurs connaissent la différence.

La diligence et la coopération réduisent l'exposition

Les sanctions ne sont pas théoriques. Un manquement aux obligations des art. 13 et 14 peut atteindre quinze millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Mais le règlement demande aux autorités de peser la nature et la gravité du manquement, son caractère négligent ou intentionnel, et le degré de coopération montré. Un processus documenté est la forme concrète que prend la « diligence ».

Deux fabricants avec le même signalement manqué ne sont pas traités de la même façon. Celui qui peut montrer qu'il a évalué l'événement, atteint de bonne foi une conclusion défendable et coopéré une fois l'erreur apparue, argumente depuis une position que l'autre n'a pas. Le dossier ne prévient pas seulement l'omission — il façonne la réponse quand quelque chose tourne mal quand même.

Un exemple concret : la dépendance jugée « non exploitée »

Un scanner signale une vulnérabilité connue dans une bibliothèque tierce embarquée dans votre produit. L'ingénieur la regarde et conclut qu'elle n'est pas exploitable dans votre configuration : le chemin de code vulnérable n'est jamais atteint. La conclusion est probablement juste. Consignée nulle part, elle ne vaut rien dans six mois.

Voici le paragraphe qui tiendrait. « CVE-XXXX-NNNN signalée par le scan SBOM le 5 août 2026, 09 h 12, dans la bibliothèque X v2.3, composant du produit Y. Évaluée le jour même : pas de preuve fiable d'exploitation dans la nature ; la fonction concernée n'est pas invoquée dans notre build (graphe d'appels joint). Qualifiée de vulnérabilité non exploitée au sens de l'art. 3(42) : obligation d'alerte précoce de l'art. 14 non déclenchée. Correctif prévu pour la prochaine version de maintenance. Relecteur : [nom]. » Cela suffit. Il nomme l'événement, la prise de connaissance horodatée, la qualification avec son article, le raisonnement, les preuves, et le fait que l'horloge des échéances a été consciemment vérifiée et trouvée non démarrée.

Multipliez ce paragraphe par la poignée d'événements qui traversent votre canal chaque mois et vous avez un dossier de preuves qui coûte des minutes à tenir et répond à une inspection sans une seule reconstitution. Le « non » est documenté, et un « non » documenté vaut autant qu'un « oui ».