Aller au contenu

Ce que fait le logicielLa vue d’ensembleL’analyse de risqueLes exigencesLes écarts à traiterLes composants (SBOM)Le registre de signalementLes pièces du dossierLa veille et les révisionsFaire le diagnosticVoir la démonstrationTarifsCréer mon accès
Signalement en 24 heuresExigences de l’annexe IComposants (SBOM)Documentation technique et déclarationPériode d’assistance
Le règlementLe champLe CRA vise vos produits connectés, un par unQuatre rôles, et un piège : votre marque fait de vous un fabricantImportateur : vous vérifiez le travail du fabricant avant de vendreDistributeur : vous vérifiez avant de vendre, et vous alertez ensuiteUn logiciel libre entre dans le CRA quand il sert une activité commercialeLe CRA vise vos produits, NIS 2 votre organisationLe produitLa classe de votre produit décide qui le vérifieAucun certificat CRA unique : chaque produit suit une évaluation de la conformitéDéjà applicableObjets radio connectés : la cybersécurité est obligatoire depuis le 1er août 2025Amendes du CRA : jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondialL’état du droit
Tarifs

LE PRODUIT · ÉVALUATION ET CERTIFICATION

Aucun certificat CRA unique : chaque produit suit une évaluation de la conformité

Contrôle interne, organisme notifié ou schéma européen : la voie de certification CRA dépend de la classe du produit. L'état au 20 octobre 2026.

Commencer le diagnosticVoir le dossier
Sur cette page
  1. Faut-il une certification pour le CRA ?
  2. Quelle procédure d'évaluation choisir pour mon produit ?
  3. Qui habilite les organismes notifiés en France ?
  4. Un certificat EUCC vaut-il conformité au CRA ?
  5. Une attestation obtenue pour un équipement radio reste-t-elle valable ?
  6. Une « certification CRA » vendue aujourd'hui, que vaut-elle ?
  7. Comment préparer l'évaluation de conformité de mon produit ?

Au 20 octobre 2026, le Cyber Resilience Act (CRA) ne prévoit aucun certificat unique, valable pour tout produit.

Vous démontrez la conformité de chaque produit par une procédure que fixe le règlement. Puis vous établissez la déclaration UE de conformité et vous apposez le marquage CE.

Article 32, paragraphe 1

Faut-il une certification pour le CRA ?

Non pour la plupart des produits : vous évaluez vous-même leur conformité.

Vous éditez un logiciel de gestion, ou vous fabriquez un capteur connecté absent des listes du règlement ? C'est un produit par défaut, et vous suivez le contrôle interne, sans organisme extérieur.

  • Le contrôle interne

    Vous vérifiez vous-même, sur la base de votre documentation technique.

    Sans tiers

  • L'examen UE de type

    Un organisme notifié examine la conception et la gestion des failles, puis délivre une attestation.

    Organisme notifié

  • L'assurance complète de la qualité

    Un organisme notifié approuve votre système qualité, puis l'audite.

    Organisme notifié

  • La certification européenne

    Un certificat délivré selon un schéma, c'est-à-dire un référentiel européen de certification. La dispense de l'organisme notifié attend un acte délégué, non adopté à ce jour.

    Certificat européen

L'auto-évaluation, sans frais et sans compte, mesure votre écart avant le contrôle interne, exigence par exigence.

Le texte en détail : article 32, paragraphe 1, et annexe VIII

Le contrôle interne est le module A, l'examen UE de type suivi de la conformité au type les modules B et C. L'assurance complète de la qualité est le module H (article 32, paragraphe 1).

Article 32, paragraphes 2 à 4

Quelle procédure d'évaluation choisir pour mon produit ?

La classe de votre produit décide de la voie, et de l'intervention d'un organisme notifié.

Un organisme notifié est un organisme de contrôle indépendant, habilité par un État. Établissez d'abord la classe de votre produit.

  1. Votre produit est-il critique ?

    OuiCertificat européen si la Commission l'impose, sinon comme la classe IINonquestion 2

  2. Est-il important de classe II ?

    OuiOrganisme notifié, ou certificat européen de niveau au moins substantielNonquestion 3

  3. Est-il important de classe I ?

    Ouiquestion 4NonLe contrôle interne vous est ouvert

  4. Appliquez-vous en entier une norme harmonisée, une spécification commune ou un schéma européen ?

    OuiContrôle interne possible ; à ce jour, ni norme citée ni spécification communeNonUn organisme notifié intervient

  • Le contrôle interne vous est ouvert

  • Contrôle interne possible ; à ce jour, ni norme citée ni spécification commune

  • Un organisme notifié intervient

  • Organisme notifié, ou certificat européen de niveau au moins substantiel

  • Certificat européen si la Commission l'impose, sinon comme la classe II

Faire le diagnostic sur votre produit

Une norme harmonisée est une norme européenne citée au Journal officiel de l'Union. Une spécification commune est un texte technique que la Commission adopte en secours. À ce jour, aucune norme n'est citée, et aucune spécification n'est adoptée, voyez l'état du droit. Pour un produit de classe I, l'organisme notifié devient donc la voie par défaut.

Le texte en détail : article 32, paragraphe 4, et article 8, paragraphe 1

Produits critiques : un schéma imposé par acte délégué de l'article 8, paragraphe 1, sinon le régime de la classe II (paragraphe 4). Cet acte n'est pas adopté, et aucun projet n'est publié à ce jour.

Chapitre IV, articles 35 à 51

Qui habilite les organismes notifiés en France ?

En France, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) est l'autorité notifiante, depuis un décret du 9 octobre 2026.

Elle désigne les organismes notifiés et les contrôle. Un organisme s'adresse à elle après son accréditation par le Comité français d'accréditation, qui atteste sa compétence.

La Commission publie la liste des organismes notifiés dans sa base New Approach Notified and Designated Organisations (NANDO).

Les règles de notification s'appliquent depuis le 11 juin 2026. À partir du 11 décembre 2027, chaque produit mis sur le marché doit avoir passé sa procédure d'évaluation. À ce jour, aucun organisme notifié n'est enregistré au titre du CRA.

  1. Les règles de notification s'appliquent
  3. doit avoir passé sa procédure d'évaluation
Le texte en détail : articles 36 et 39, et décret n° 2026-944

Le décret n° 2026-944 du 9 octobre 2026, paru au Journal officiel du 11 octobre 2026, fait de l'ANSSI l'autorité notifiante (article 36, paragraphe 1).

Un organisme notifié s'abstient de toute activité qui menace son indépendance, « en particulier pour les services de conseil » (article 39, paragraphe 4).

Article 27, paragraphes 8 et 9

Un certificat EUCC vaut-il conformité au CRA ?

À partir du 11 décembre 2027, le règlement présume conforme un produit certifié selon un schéma européen, pour ce que couvre son certificat.

Cette présomption n'attend aucun acte délégué. Au 20 octobre 2026, un seul schéma est adopté au titre du règlement (UE) 2019/881, le schéma européen fondé sur les critères communs (EUCC).

La Commission peut aussi préciser, par acte délégué, les schémas utilisables pour le CRA. Un certificat au moins « substantiel », l'un des niveaux d'assurance européens, dispense alors de l'organisme notifié pour les exigences couvertes.

Le 15 octobre 2026, elle a inscrit sur son portail « Donnez votre avis » un tel acte, consacré à l'EUCC. Son adoption est prévue au premier trimestre 2027, et il n'est pas adopté à ce jour.

Le texte en détail : article 27, paragraphes 8 et 9

Le paragraphe 8 vise les produits pour lesquels « une déclaration de conformité de l'Union ou un certificat de cybersécurité européen ont été délivrés ». Le schéma doit avoir été adopté au titre du règlement (UE) 2019/881. Ces produits sont présumés conformes « dans la mesure où » le certificat couvre les exigences.

Le paragraphe 9 fonde l'acte délégué, et la dispense de l'évaluation par un tiers de l'article 32, paragraphes 2 et 3. L'article 27 s'applique à partir du 11 décembre 2027 (article 71, paragraphe 2).

Le schéma EUCC est établi par le règlement d'exécution (UE) 2024/482.

Article 69, paragraphe 1

Une attestation obtenue pour un équipement radio reste-t-elle valable ?

Une attestation d'examen UE de type délivrée pour la cybersécurité au titre d'un autre texte reste valable jusqu'au 11 juin 2028.

La directive sur les équipements radio (RED) en est un exemple. Une déclaration établie par vous seul pour un objet radio, en appliquant l'EN 18031, n'en est pas une.

Le texte en détail : article 69, paragraphe 1

Ces attestations et décisions d'approbation « restent valables jusqu'au 11 juin 2028 », sauf expiration antérieure ou disposition contraire de l'autre législation. La Commission cite les équipements radio en exemple (FAQ, question 7.1).

Avant de payer

Une « certification CRA » vendue aujourd'hui, que vaut-elle ?

Aucune pièce achetée aujourd'hui ne remplace l'évaluation que le règlement vous impose.

À ce jour, aucun organisme n'est notifié au titre du CRA, et aucun schéma européen n'est désigné pour dispenser de l'organisme notifié. Un document vendu sous ce nom peut servir d'audit, mais s'il n'est pas un certificat européen de cybersécurité, il ne crée aucune présomption de conformité.

Avant de payer une « certification CRA », demandez sur quel texte elle repose.

  • Sur quel texte repose-t-elle ? Exigez la référence : règlement, norme citée ou schéma européen.
  • L'organisme a-t-il un numéro ? Un organisme notifié porte un numéro de la Commission, visible dans la base NANDO.
  • Vous conseille-t-il aussi ? Un organisme notifié ne peut pas conseiller le produit qu'il évalue.

À partir du 11 décembre 2027, une procédure d'évaluation manquée expose à une amende jusqu'à 10 ou 15 millions d'euros, selon l'obligation en cause.

Le texte en détail : articles 13, 64 et 71

L'article 32, paragraphes 1 à 3, relève du plafond de 10 millions d'euros ou 2 % (article 64, paragraphe 3).

Le fabricant doit aussi appliquer la procédure choisie au titre de l'article 13, paragraphe 12, qui relève du plafond de 15 millions d'euros ou 2,5 % (paragraphe 2). Le montant le plus élevé est retenu, à partir du 11 décembre 2027 (article 71, paragraphe 2).

Notre rôle

Comment préparer l'évaluation de conformité de mon produit ?

Quelle que soit la voie, l'évaluation part de votre documentation technique, et vous la préparez d'abord.

Avec le dossier, à 490 € HT par produit, vous obtenez la documentation technique, le rapport d'écarts et le projet de déclaration UE. Vous arrivez à l'examen en sachant déjà ce qui manque.

DATIVO ne certifie rien et n'est pas un organisme notifié. Vous signez la déclaration, et vous en répondez.

Une question sur votre cas ? DATIVO vous répond sous deux jours ouvrés, par le formulaire de contact. Votre produit entre-t-il dans le CRA ? Faites le diagnostic, sans frais et sans compte.

Questions fréquentes

Qu'est-ce que la certification CRA ?

Le règlement ne prévoit pas de certificat unique. Il impose une évaluation de la conformité, propre à la classe du produit (article 32).

Qui délivre la certification CRA d'un produit ?

Personne pour un produit par défaut : vous l'évaluez vous-même (module A). Dans les modules B et H, un organisme notifié (annexe VIII).

Mon produit doit-il passer par un organisme notifié ?

Non s'il est par défaut. Oui en classe II, sauf certificat européen au moins substantiel. En classe I, oui sans norme, spécification commune ou schéma appliqués en entier (article 32, paragraphes 2 et 3).

Combien coûte une évaluation par un organisme notifié ?

Le règlement ne fixe aucun tarif. Les redevances sont réduites selon les besoins des micro, petites et moyennes entreprises (article 32, paragraphe 6).

Un logiciel libre de classe I doit-il passer par un organisme notifié ?

Non, pas forcément. S'il répond aux critères de logiciel libre et ouvert, il peut suivre toute procédure, à condition de publier sa documentation technique (article 32, paragraphe 5).

Le CRA s'applique-t-il à mon produit ?

Faites le diagnostic, sans frais et sans compte.

Le règlement commenté

Sources

Savoir si le règlement vous concerne

Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.

Commencer le diagnostic

Vous savez déjà que le règlement vous concerne ?

Déclarez vos produits dans votre espace. Le signalement des fabricants s’applique depuis le 11 septembre 2026 : l’espace calcule les échéances de chaque incident. L’accès est sans frais.

Créer votre accès