CLASSIFICATION DES PRODUITS
La classe de votre produit décide qui le vérifie
Par défaut, classe I, classe II ou critique : les exigences sont les mêmes. La classe décide qui vérifie votre produit, et donc votre calendrier.
Les exigences de sécurité sont les mêmes pour tous les produits.
Le Cyber Resilience Act (CRA) distingue pourtant quatre régimes : par défaut, important de classe I, important de classe II, et critique.
Seule change la façon de prouver que vous les respectez, donc votre calendrier et votre budget.
Article 32
La classe change qui vérifie, pas ce qu'il faut faire
La classe ne change pas ce que votre produit doit faire : elle change qui vérifie qu'il le fait.
Un organisme notifié est un organisme de contrôle extérieur, désigné par les autorités.
Produit par défaut
Tout produit qui n'est dans aucune liste. C'est la grande majorité.
Vous pouvez vous évaluer seul.
Important de classe I
19 catégories : navigateurs, gestionnaires de mots de passe, routeurs, serrures connectées...
Vous vous évaluez seul si vous appliquez intégralement une norme harmonisée, une spécification commune ou une certification. Sinon, un organisme notifié vérifie.
Important de classe II
4 catégories : hyperviseurs, pare-feu, puces résistantes aux manipulations.
Un organisme notifié vérifie, ou une certification européenne de niveau au moins substantiel.
Critique
3 catégories : boîtiers de sécurité matériels, passerelles de compteurs intelligents, cartes à puce.
Un certificat européen si la Commission l'impose. Sinon, le régime de la classe II.
Le texte en détail : article 32, paragraphes 1 à 4
Produit par défaut : aucune liste, c'est tout produit qui n'est ni à l'annexe III ni à l'annexe IV. Le fabricant choisit librement l'une des procédures de l'article 32, paragraphe 1, dont le contrôle interne (module A).
Important classe I : annexe III, classe I, 19 catégories. Contrôle interne possible seulement si des normes harmonisées, des spécifications communes ou un schéma de certification sont appliqués intégralement ; sinon, organisme notifié (article 32, paragraphe 2).
Important classe II : annexe III, classe II, 4 catégories. Organisme notifié, ou schéma européen de certification de niveau au moins substantiel (article 32, paragraphe 3).
Critique : annexe IV, 3 catégories. Certificat européen de cybersécurité si un acte délégué de l'article 8, paragraphe 1 l'impose ; à défaut, le régime de la classe II (article 32, paragraphe 4).
Vous classez chaque produit d'après sa fonction principale. Le règlement l'appelle sa fonctionnalité de base. Exemple : votre logiciel de gestion intègre un gestionnaire de mots de passe. Cette intégration ne suffit pas à le faire basculer dans le régime renforcé.
Le texte en détail : article 7, paragraphe 1
Un produit est important si sa fonctionnalité de base est celle d'une catégorie listée à l'annexe III (article 7, paragraphe 1). Le même article précise qu'intégrer un tel produit dans un autre ne fait pas basculer le produit d'accueil dans le régime renforcé.
Article 32, paragraphe 1
Produit par défaut : vous pouvez vous évaluer seul
C'est le régime de la grande majorité des produits.
En tant que fabricant, vous choisissez l'une de quatre procédures :
le contrôle interne, où vous vérifiez vous-même ;
l'examen UE de type, où un organisme notifié examine votre produit, puis vous garantissez que la production lui est conforme ;
l'assurance complète de la qualité, où un organisme notifié évalue votre système qualité ;
ou une certification européenne de cybersécurité, quand elle existe et s'il y a lieu.
Le contrôle interne n'est pas une simple déclaration. Vous tenez la documentation technique. Vos processus de conception, de développement et de gestion des failles garantissent la conformité. Puis vous apposez le marquage CE et établissez une déclaration UE de conformité écrite. Vous la conservez dix ans, ou pendant la période d'assistance si elle est plus longue.
Le texte en détail : article 32, paragraphe 1 et annexe VIII
Les quatre procédures de l'article 32, paragraphe 1 : le contrôle interne (module A, annexe VIII, partie I) ; l'examen UE de type suivi de la conformité au type (modules B puis C) ; l'assurance complète de la qualité (module H) ; un schéma européen de certification de cybersécurité lorsqu'il est disponible et s'il y a lieu (article 27, paragraphe 9).
Le contrôle interne suppose la documentation technique de l'annexe VII, des processus de conception, de développement et de gestion des vulnérabilités qui garantissent la conformité, puis le marquage CE et une déclaration UE de conformité écrite, conservée dix ans ou pendant la période d'assistance si elle est plus longue (annexe VIII, partie I, points 2 à 4).
Annexe III, classe I
Classe I : dix-neuf catégories, du navigateur au jouet connecté
Les dix-neuf catégories, regroupées ici en six familles.
Identités, accès et secrets
gestion des identités et des accès, lecteurs biométriques, gestionnaires de mots de passe, émission de certificats.
Poste de travail et navigation
navigateurs, logiciels contre les logiciels malveillants, gestionnaires de démarrage, systèmes d'exploitation.
Réseau
VPN, systèmes de gestion de réseau, interfaces réseau physiques et virtuelles, routeurs, modems et commutateurs.
Supervision de la sécurité
SIEM, les outils qui collectent et analysent les événements de sécurité.
Puces
microprocesseurs, microcontrôleurs, ASIC et FPGA dotés de fonctions de sécurité.
Maison connectée
assistants vocaux, serrures, caméras, babyphones et alarmes connectés.
Jouets et objets portés
jouets qui parlent, filment ou localisent ; objets portés de suivi de santé hors dispositif médical ; objets portés pour enfants.
Le texte en détail : annexe III, classe I, libellés du règlement
Identités, accès et secrets : systèmes de gestion des identités et logiciels et dispositifs de gestion des accès privilégiés, dont lecteurs d'authentification et de contrôle d'accès et lecteurs biométriques (1) ; gestionnaires de mots de passe (3) ; infrastructure à clé publique et logiciels d'émission de certificats numériques (9).
Poste de travail et navigation : navigateurs autonomes et intégrés (2) ; logiciels qui recherchent, suppriment ou mettent en quarantaine des logiciels malveillants (4) ; gestionnaires de démarrage (8) ; systèmes d'exploitation (11).
Réseau : produits comportant des éléments numériques avec la fonction de réseau privé virtuel, VPN (5) ; systèmes de gestion de réseau (6) ; interfaces réseau physiques et virtuelles (10) ; routeurs, modems destinés à la connexion à l'internet et commutateurs (12).
Supervision de la sécurité : systèmes de gestion des informations et des événements de sécurité, SIEM (7).
Puces : microprocesseurs dotés de fonctionnalités liées à la sécurité (13) ; microcontrôleurs dotés de fonctionnalités liées à la sécurité (14) ; circuits intégrés spécifiques à l'application, ASIC, et réseaux de portes programmables, FPGA, dotés de fonctionnalités liées à la sécurité (15).
Maison connectée : assistants virtuels polyvalents pour maison intelligente (16) ; produits domestiques intelligents dotés de fonctionnalités de sécurité, notamment serrures, caméras de sécurité, systèmes de surveillance pour bébé et systèmes d'alarme (17).
Jouets et objets portés : jouets connectés couverts par la directive 2009/48/CE qui présentent des caractéristiques sociales interactives, par exemple parler ou filmer, ou qui possèdent des fonctions de localisation (18) ; produits portables personnels destinés à être portés ou mis sur un corps humain à des fins de surveillance de la santé et auxquels le règlement (UE) 2017/745 ou (UE) 2017/746 ne s'appliquent pas, ou produits portables personnels destinés à être utilisés par et pour les enfants (19).
Annexe III, classe II
Classe II : un organisme vérifie toujours
Quatre catégories, celles qui tiennent l'infrastructure des autres :
les hyperviseurs et moteurs de conteneurs, qui font tourner des systèmes virtualisés ;
les pare-feu et les systèmes de détection et de prévention des intrusions ;
les microprocesseurs résistants aux manipulations ;
les microcontrôleurs résistants aux manipulations.
Ici, vous ne pouvez jamais vous évaluer seul. Vous passez par l'examen UE de type ou par l'assurance complète de la qualité. Ou par une certification européenne de niveau au moins substantiel.
Le texte en détail : annexe III, classe II et article 32, paragraphe 3
Libellés du règlement : hyperviseurs et systèmes d'exécution de conteneurs prenant en charge l'exécution virtualisée de systèmes d'exploitation et d'environnements similaires (1) ; pare-feu, systèmes de détection et de prévention des intrusions (2) ; microprocesseurs résistants aux manipulations (3) ; microcontrôleurs résistants aux manipulations (4).
Le contrôle interne n'est ouvert dans aucun cas de figure. Le fabricant démontre la conformité par l'examen UE de type suivi de la conformité au type, par l'assurance complète de la qualité, ou par un schéma européen de certification de cybersécurité d'un niveau d'assurance au moins substantiel (article 32, paragraphe 3).
Annexe IV
Produits critiques : à ce jour, le régime de la classe II
Trois catégories :
les boîtiers de sécurité matériels ;
les passerelles de compteurs intelligents ;
les cartes à puce et éléments sécurisés.
La Commission peut leur imposer un certificat européen de cybersécurité, par un acte délégué. Aucun acte de ce type n'est adopté à ce jour. Ces produits suivent donc le régime de la classe II.
Le texte en détail : annexe IV, article 8, paragraphe 1 et article 32, paragraphe 3
Libellés du règlement : dispositifs matériels avec boîtier de sécurité (1) ; passerelles pour compteur intelligent au sein des systèmes intelligents de mesure et autres dispositifs à des fins de sécurité avancées, y compris pour un traitement cryptographique sécurisé (2) ; cartes à puce ou dispositifs similaires, y compris éléments sécurisés (3).
Leur régime dépend d'un acte délégué que la Commission peut adopter au titre de l'article 8, paragraphe 1, et qui imposerait un certificat de cybersécurité européen. Tant qu'aucun acte de ce type n'est adopté, ces produits relèvent des procédures de l'article 32, paragraphe 3, c'est-à-dire du régime de la classe II.
Article 32, paragraphe 2
Classe I : sans norme harmonisée, prévoyez un organisme notifié
Pour un produit de classe I, vous ne vous évaluez seul qu'à une condition.
Vous appliquez intégralement une norme harmonisée, une spécification commune ou une certification de niveau au moins substantiel. Une norme harmonisée est une norme européenne citée au Journal officiel de l'Union.
À ce jour, aucune norme harmonisée n'est citée au Journal officiel : pour un produit de classe I, l'organisme notifié devient la voie par défaut. Aucune spécification commune n'est adoptée non plus.
Ce n'est pas un motif d'attendre, mais de vous organiser tôt.
Ce qui prend du temps ne dépend pas des normes : l'évaluation des risques, la documentation technique, la gestion des failles. Elles sont exigées dans tous les cas, et un organisme les examine en premier.
Suivez l'état des textes, daté, sur la page où en est le droit aujourd'hui.
Le texte en détail : article 32, paragraphes 2, 5 et 6
L'article 32, paragraphe 2 bascule le produit de classe I vers l'organisme notifié dans trois cas : le fabricant n'a pas appliqué de normes harmonisées, de spécifications communes ou de schémas de certification d'un niveau au moins substantiel ; il ne les a appliqués qu'en partie ; ou ces normes, spécifications et schémas n'existent pas.
En l'état des textes publiés, c'est le troisième cas qui s'applique.
Sont exigés dans tous les cas : l'évaluation des risques de cybersécurité (article 13, paragraphe 2), la documentation technique de l'annexe VII et les processus de gestion des vulnérabilités de l'annexe I, partie II.
Les redevances des procédures d'évaluation doivent être réduites proportionnellement aux besoins des microentreprises et des petites et moyennes entreprises (article 32, paragraphe 6).
Un fabricant dont le produit répond aux critères de logiciel libre et ouvert et relève d'une catégorie de l'annexe III peut utiliser les procédures de l'article 32, paragraphe 1, à condition de rendre publique la documentation technique au moment de la mise sur le marché (article 32, paragraphe 5).
Article 7, paragraphe 4
Un cas limite ? La description technique de chaque catégorie tranche
Votre produit est à la frontière de deux catégories ?
Les listes du règlement sont rédigées en termes courts. La Commission a donc adopté une description technique de chaque catégorie. C'est elle qu'il faut ouvrir pour trancher.
Le texte en détail : article 7, paragraphe 4
L'article 7, paragraphe 4 imposait à la Commission d'adopter un acte d'exécution précisant la description technique des catégories des annexes III et IV. C'est le règlement d'exécution (UE) 2025/2392.
Quelle que soit sa classe, votre produit doit satisfaire les mêmes exigences de sécurité.
Selon sa classe, votre produit peut devoir passer par un organisme extérieur. À ce jour, aucun n'est enregistré. Un dossier prêt tôt vous place en tête de file.
De quel régime relève votre produit, et à quel titre ? Réponse en deux minutes, treize questions au maximum, sans compte : commencer le diagnostic.
Questions fréquentes
Comment savoir si mon produit est un produit important au sens du CRA ?
Regardez sa fonction principale. Il est important si sa fonctionnalité de base est celle d'une catégorie de l'annexe III (article 7, paragraphe 1). Une fonction secondaire ne compte pas. Pour un cas limite, ouvrez le règlement d'exécution (UE) 2025/2392, adopté sur le fondement de l'article 7, paragraphe 4.
Mon produit intègre un composant de classe I. Devient-il lui-même important ?
Non, pas de ce seul fait. L'intégration n'amène pas en tant que telle le produit d'accueil à être soumis aux procédures de l'article 32, paragraphes 2 et 3 (article 7, paragraphe 1). Le composant, lui, reste un produit à part entière s'il est aussi mis sur le marché séparément.
L'auto-évaluation est-elle vraiment possible pour un produit de classe I ?
En droit, oui : si vous appliquez intégralement des normes harmonisées, des spécifications communes ou un schéma européen de certification d'un niveau au moins substantiel (article 32, paragraphe 2). À ce jour, aucune norme harmonisée n'est citée au Journal officiel de l'Union et aucune spécification commune n'est adoptée. En pratique, votre produit relève donc de l'examen UE de type ou de l'assurance complète de la qualité.
Un produit critique doit-il obligatoirement être certifié ?
Seulement si un acte délégué pris au titre de l'article 8, paragraphe 1 l'impose pour sa catégorie. Cela suppose qu'un schéma européen de certification couvrant ces produits existe et soit disponible. À défaut, le produit suit les procédures de l'article 32, paragraphe 3, c'est-à-dire le régime de la classe II. Aucun acte délégué de ce type n'est adopté à ce jour.
La classe peut-elle changer après la mise sur le marché ?
Oui, de deux façons. La Commission peut modifier l'annexe III par acte délégué, avec en principe une transition d'au moins douze mois (article 7, paragraphe 3), et l'annexe IV avec au moins six mois (article 8, paragraphe 2). Votre produit peut aussi évoluer au point de changer de fonctionnalité de base, sans qu'aucun texte ne bouge.
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.