Les classes de produits, et ce que la classe change
Produit par défaut, important classe I ou II, critique. Ce que la classe change pour l'évaluation de la conformité.
Sur cette page
Le Cyber Resilience Act (CRA) distingue quatre régimes de produits : le produit par défaut, le produit important de classe I, le produit important de classe II et le produit critique. Les exigences de fond sont les mêmes pour tous : ce sont celles de l'annexe I. Ce que la classe change, c'est la façon dont vous devez démontrer que vous les respectez, et donc votre calendrier et votre budget.
Quatre régimes, une seule question : qui vérifie
La classe ne modifie pas ce que votre produit doit faire, elle modifie qui atteste qu'il le fait. Un produit par défaut peut être évalué par son fabricant seul ; à l'autre bout, un produit critique peut se voir imposer un certificat européen de cybersécurité.
Le classement se fait produit par produit, sur un critère unique : la fonctionnalité de base. Un produit est important si sa fonctionnalité de base est celle d'une catégorie listée à l'annexe III (art. 7, paragraphe 1). Le même article précise qu'intégrer un tel produit dans un autre ne fait pas basculer le produit d'accueil dans le régime renforcé.
Pour savoir en deux minutes de quel régime relève votre produit et à quel titre vous y êtes tenu, le diagnostic pose treize questions au maximum, sans création de compte : commencer le diagnostic.
Le produit par défaut : le fabricant peut évaluer seul
C'est le régime de la grande majorité des produits. Le fabricant choisit l'une des quatre procédures de l'article 32, paragraphe 1 : le contrôle interne (module A, annexe VIII, partie I), l'examen UE de type suivi de la conformité au type (modules B puis C), l'assurance complète de la qualité (module H), ou un schéma européen de certification de cybersécurité lorsqu'il est disponible et s'il y a lieu (art. 27, paragraphe 9).
Le contrôle interne n'est pas une formalité déclarative. Il suppose la documentation technique de l'annexe VII, des processus de conception, de développement et de gestion des vulnérabilités qui garantissent la conformité, puis le marquage CE et une déclaration UE de conformité écrite, conservée dix ans ou pendant la période d'assistance si elle est plus longue (annexe VIII, partie I, points 2 à 4).
Les produits importants de classe I
Dix-neuf catégories, dans les libellés du règlement, regroupées ici pour la lecture.
Identités, accès et secrets : systèmes de gestion des identités et logiciels et dispositifs de gestion des accès privilégiés, dont lecteurs d'authentification et de contrôle d'accès et lecteurs biométriques (1) ; gestionnaires de mots de passe (3) ; infrastructure à clé publique et logiciels d'émission de certificats numériques (9).
Poste de travail et navigation : navigateurs autonomes et intégrés (2) ; logiciels qui recherchent, suppriment ou mettent en quarantaine des logiciels malveillants (4) ; gestionnaires de démarrage (8) ; systèmes d'exploitation (11).
Réseau : produits comportant des éléments numériques avec la fonction de réseau privé virtuel, VPN (5) ; systèmes de gestion de réseau (6) ; interfaces réseau physiques et virtuelles (10) ; routeurs, modems destinés à la connexion à l'internet et commutateurs (12).
Supervision de la sécurité : systèmes de gestion des informations et des événements de sécurité, SIEM (7).
Silicium : microprocesseurs dotés de fonctionnalités liées à la sécurité (13) ; microcontrôleurs dotés de fonctionnalités liées à la sécurité (14) ; circuits intégrés spécifiques à l'application, ASIC, et réseaux de portes programmables, FPGA, dotés de fonctionnalités liées à la sécurité (15).
Maison connectée et objets personnels : assistants virtuels polyvalents pour maison intelligente (16) ; produits domestiques intelligents dotés de fonctionnalités de sécurité, notamment serrures, caméras de sécurité, systèmes de surveillance pour bébé et systèmes d'alarme (17) ; jouets connectés couverts par la directive 2009/48/CE qui présentent des caractéristiques sociales interactives, par exemple parler ou filmer, ou qui possèdent des fonctions de localisation (18) ; produits portables personnels destinés à être portés ou mis sur un corps humain à des fins de surveillance de la santé et auxquels le règlement (UE) 2017/745 ou (UE) 2017/746 ne s'appliquent pas, ou produits portables personnels destinés à être utilisés par et pour les enfants (19).
Les produits importants de classe II
Quatre catégories seulement, et elles visent les produits qui tiennent l'infrastructure des autres : hyperviseurs et systèmes d'exécution de conteneurs prenant en charge l'exécution virtualisée de systèmes d'exploitation et d'environnements similaires (1) ; pare-feu, systèmes de détection et de prévention des intrusions (2) ; microprocesseurs résistants aux manipulations (3) ; microcontrôleurs résistants aux manipulations (4).
Ici, le contrôle interne n'est ouvert dans aucun cas de figure. Le fabricant démontre la conformité par l'examen UE de type suivi de la conformité au type, par l'assurance complète de la qualité, ou par un schéma européen de certification de cybersécurité d'un niveau d'assurance au moins substantiel (art. 32, paragraphe 3).
Les produits critiques
Trois catégories à l'annexe IV : dispositifs matériels avec boîtier de sécurité (1) ; passerelles pour compteur intelligent au sein des systèmes intelligents de mesure et autres dispositifs à des fins de sécurité avancées, y compris pour un traitement cryptographique sécurisé (2) ; cartes à puce ou dispositifs similaires, y compris éléments sécurisés (3).
Leur régime dépend d'un acte délégué que la Commission peut adopter au titre de l'article 8, paragraphe 1 et qui imposerait un certificat de cybersécurité européen. Tant qu'aucun acte de ce type n'est adopté, et aucun ne l'est à ce jour, ces produits relèvent des procédures de l'article 32, paragraphe 3, c'est-à-dire du régime de la classe II.
Le point qui décide de votre calendrier
Pour un produit de classe I, la voie du contrôle interne n'est ouverte qu'à une condition. L'article 32, paragraphe 2 bascule le produit vers l'organisme notifié dans trois cas : le fabricant n'a pas appliqué de normes harmonisées, de spécifications communes ou de schémas de certification d'un niveau au moins substantiel ; il ne les a appliqués qu'en partie ; ou ces normes, spécifications et schémas n'existent pas.
Ce constat n'est pas un motif d'attendre, c'est un motif de s'organiser tôt. Ce qui prend du temps dans un dossier d'examen UE de type ne dépend pas des normes : l'évaluation des risques de cybersécurité (art. 13, paragraphe 2), la documentation technique de l'annexe VII et les processus de gestion des vulnérabilités de l'annexe I, partie II sont exigés dans tous les cas, et ils sont ce qu'un organisme examine en premier. L'état des textes est suivi et daté sur la page où en est le droit aujourd'hui.
Deux atténuations méritent d'être connues. Les redevances des procédures d'évaluation doivent être réduites proportionnellement aux besoins des microentreprises et des petites et moyennes entreprises (art. 32, paragraphe 6). Et un fabricant dont le produit répond aux critères de logiciel libre et ouvert et relève d'une catégorie de l'annexe III peut utiliser les procédures de l'article 32, paragraphe 1, à condition de rendre publique la documentation technique au moment de la mise sur le marché (art. 32, paragraphe 5).
Comment savoir dans quelle case tombe votre produit
Le critère est la fonctionnalité de base du produit, pas la liste de ses options. Les catégories des annexes III et IV étant rédigées en termes courts, l'article 7, paragraphe 4 imposait à la Commission d'adopter un acte d'exécution précisant leur description technique : c'est le règlement d'exécution (UE) 2025/2392, et c'est lui qu'il faut ouvrir pour trancher un cas limite.
Le détail des exigences que votre produit devra satisfaire, quelle que soit sa classe, est sur la page les exigences de l'annexe I.
Questions fréquentes
Comment savoir si mon produit est un produit important au sens du CRA ?
Un produit est important si sa fonctionnalité de base est celle d'une des catégories énumérées à l'annexe III (art. 7, paragraphe 1). Le critère porte sur la fonction principale, pas sur une fonctionnalité secondaire. Pour les cas limites, la description technique de chaque catégorie figure dans le règlement d'exécution (UE) 2025/2392, adopté sur le fondement de l'article 7, paragraphe 4.
Mon produit intègre un composant de classe I. Devient-il lui-même important ?
Non, pas de ce seul fait. L'article 7, paragraphe 1 précise que l'intégration dans un produit d'un produit dont la fonctionnalité de base est celle d'une catégorie de l'annexe III n'amène pas en tant que telle le produit d'accueil à être soumis aux procédures de l'article 32, paragraphes 2 et 3. Le composant intégré, lui, reste un produit à part entière s'il est également mis sur le marché séparément.
L'auto-évaluation est-elle vraiment possible pour un produit de classe I ?
Elle l'est en droit, à condition que le fabricant applique intégralement des normes harmonisées, des spécifications communes ou un schéma européen de certification de cybersécurité d'un niveau d'assurance au moins substantiel (art. 32, paragraphe 2). Aucune norme harmonisée n'est citée au Journal officiel de l'Union à ce jour et aucune spécification commune n'a été adoptée. En l'état des textes publiés, cette voie n'est donc pas ouverte en pratique et le produit relève de l'examen UE de type ou de l'assurance complète de la qualité.
Un produit critique doit-il obligatoirement être certifié ?
Seulement si un acte délégué adopté au titre de l'article 8, paragraphe 1 l'impose pour sa catégorie, ce qui suppose qu'un schéma européen de certification couvrant ces produits existe et soit à la disposition des fabricants. À défaut, les produits de l'annexe IV sont soumis aux procédures de l'article 32, paragraphe 3, c'est-à-dire au régime de la classe II. Aucun acte délégué de ce type n'est adopté à ce jour.
La classe peut-elle changer après la mise sur le marché ?
Oui, par deux voies. La Commission peut modifier l'annexe III par acte délégué, avec en principe une période transitoire d'au moins douze mois (art. 7, paragraphe 3), et l'annexe IV avec une période transitoire d'au moins six mois (art. 8, paragraphe 2). Une évolution de votre produit qui déplace sa fonctionnalité de base produit le même effet, sans qu'aucun texte n'ait bougé.
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.