RÈGLEMENT (UE) 2024/2847 · CHAMP D'APPLICATION
Le CRA vise vos produits connectés, un par un
Le CRA vise chaque produit connecté, matériel ou logiciel, sans seuil de taille ni de secteur. Un logiciel en ligne pur n'est pas concerné.
Sur cette page
- Un boîtier, une application, un composant : ce sont des produits
- Un produit qui se connecte, même indirectement, est concerné
- Objets connectés, logiciels et composants entrent dans le champ
- Un logiciel en ligne pur n'est pas concerné
- Six familles de produits sont exclues du champ
- Votre rôle et la classe du produit fixent ce que vous devez faire
Le règlement ne regarde ni votre taille ni votre secteur, il regarde chaque produit que vous vendez.
Un même catalogue peut donc mêler un produit dans le champ, un produit couvert par la réglementation de son secteur, et un service qui n'y entre pas.
Pour chaque produit, trois questions décident. Est-ce un produit numérique ? Se connecte-t-il ? Échappe-t-il à une exclusion sectorielle ? Les entreprises qui y répondent maintenant prennent plus d'un an d'avance sur celles qui le découvriront fin 2027.
Article 3, point 1
Un boîtier, une application, un composant : ce sont des produits
Si vous en vendez un, le règlement s'applique à ce produit, et non à votre entreprise.
Il les appelle « produits comportant des éléments numériques », et ce qu'il leur demande dépend de ce qu'ils font, pas de qui les vend.
- Le matériel et le logiciel sont traités de la même façon. Un logiciel vendu seul est un produit, au même titre qu'un boîtier.
- Un composant vendu séparément est un produit à lui seul, même si un autre l'intègre ensuite.
- Le service en ligne qui fait fonctionner votre produit en fait partie, s'il est développé par vous ou sous votre responsabilité, et si sans lui le produit perd une de ses fonctions.
Le texte en détail : article 3, points 1 et 2
L'article 3, point 1 définit le produit comportant des éléments numériques comme « un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément ».
L'article 3, point 2 définit les solutions de traitement de données à distance comme le traitement à distance dont le logiciel est conçu et développé par le fabricant ou sous la responsabilité de ce dernier, et dont l'absence empêcherait le produit d'exécuter une de ses fonctions.
Article 2, paragraphe 1
Un produit qui se connecte, même indirectement, est concerné
Un capteur qui envoie ses mesures à une passerelle est connecté, comme un appareil que vous configurez par USB.
Le CRA s'applique dès qu'un produit se relie à un appareil ou à un réseau, directement ou non.
Ce qui compte, c'est l'usage prévu ou raisonnablement prévisible, et non votre intention de départ. Vos clients relient tous votre produit, alors que vous ne l'aviez pas prévu ? Cet usage était prévisible, et il compte.
Vous concluez que votre produit ne se connecte pas ? Écrivez pourquoi, avant qu'on vous le demande.
Le texte en détail : article 2, paragraphe 1
La condition de connexion est posée à l'article 2, paragraphe 1. Elle s'apprécie selon l'usage prévu ou raisonnablement prévisible du produit, et la connexion peut être directe ou indirecte.
Les exemples
Objets connectés, logiciels et composants entrent dans le champ
Vous vous reconnaissez dans une de ces cartes ? Votre produit est dans le champ dès qu'il se connecte.
un objet connecté
vendu au grand public ou aux entreprises
un équipement réseau
un logiciel installé chez le client
quel que soit son mode de distribution
un système d'exploitation, un micrologiciel, un pilote
une bibliothèque ou un composant logiciel
mis sur le marché pour être intégré par d'autres
une application mobile
le service en ligne développé par le fabricant
sans lequel son produit ne fonctionne plus
Ces cas, en revanche, n'en relèvent pas :
un produit sans aucune connexion directe ni indirecte
et dont l'usage raisonnablement prévisible n'en comporte pas
un service en ligne pur
qui ne fait fonctionner aucun produit vendu par ailleurs
les catégories exclues par une réglementation sectorielle
détaillées plus bas
Le texte en détail : article 2, paragraphe 1 et article 3, points 1 et 2
Ces listes ne sont pas une nomenclature officielle : le règlement ne procède pas par liste d'exemples, et la qualification définitive dépend de la description technique précise du produit.
Ces exemples ne sont nommés nulle part dans le règlement. Ils se rattachent à la combinaison de trois dispositions :
- l'article 3, point 1, qui range sous le même terme le matériel, le logiciel et le composant mis sur le marché séparément ;
- l'article 3, point 2, qui rattache au produit le traitement de données à distance conçu sous la responsabilité du fabricant et sans lequel le produit perd une de ses fonctions ;
- et l'article 2, paragraphe 1, qui pose la condition de connexion.
Article 3, point 2
Un logiciel en ligne pur n'est pas concerné
Mais s'il fait fonctionner un produit que vous vendez, il entre dans le champ avec ce produit.
Vous vendez un abonnement à une application ouverte dans un navigateur, et rien ne quitte vos serveurs ? Le CRA n'est pas votre sujet. Le vôtre est la sécurité de votre organisation, voyez ce qui sépare le CRA de NIS 2.
Votre application mobile, votre boîtier ou votre capteur a besoin de vos serveurs pour faire ce que le client a acheté ? Alors cette infrastructure fait partie du produit, et elle le suit dans le champ. Si rien n'est installé, embarqué ou livré chez le client, le service reste hors champ.
Le texte en détail : article 3, point 2
Le règlement ne formule pas cette limite comme une exclusion : il la pose dans sa définition.
L'article 3, point 2 ne retient comme traitement de données à distance que celui « pour lequel le logiciel est conçu et développé par le fabricant ou sous la responsabilité de ce dernier, et dont l'absence empêcherait le produit comportant des éléments numériques d'exécuter une de ses fonctions ».
Un service en ligne qui ne remplit pas ces deux conditions n'est pas une solution de traitement de données à distance au sens de l'article 3, point 1, et n'entre donc pas dans le champ.
C'est ce renvoi qu'il faut citer, plutôt que le considérant 12 souvent invoqué sur ce point : le texte authentique d'EUR-Lex, complété de ses rectificatifs, ne reprend pas les préambules.
Article 2, paragraphes 2 à 7
Six familles de produits sont exclues du champ
Ces produits relèvent déjà d'un régime de sécurité propre à leur secteur.
Le CRA exclut :
- les dispositifs médicaux et les dispositifs de diagnostic in vitro ;
- les véhicules ;
- les produits certifiés en aviation civile ;
- les équipements marins ;
- les produits développés ou modifiés exclusivement pour la sécurité nationale ou la défense, ainsi que ceux conçus pour traiter des informations classifiées ;
- les pièces de rechange qui remplacent des composants identiques, fabriquées selon les mêmes spécifications.
Un fabricant de dispositifs médicaux vend aussi une passerelle connectée générique ? Pour cette passerelle, il reste dans le champ, car l'exclusion vise le produit et non l'entreprise.
Documentez aussi votre exclusion. C'est elle qui justifiera l'absence de dossier le jour où la question sera posée.
Le texte en détail : article 2, paragraphes 2 à 7
- Dispositifs médicaux et dispositifs de diagnostic in vitro : article 2, paragraphe 2, points a) et b), par renvoi au règlement (UE) 2017/745 et au règlement (UE) 2017/746.
- Véhicules : article 2, paragraphe 2, point c), par renvoi au règlement (UE) 2019/2144.
- Produits certifiés conformément au règlement (UE) 2018/1139, en aviation civile : article 2, paragraphe 3.
- Équipements qui relèvent de la directive 2014/90/UE, sur les équipements marins : article 2, paragraphe 4.
- Produits développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense, et produits spécifiquement conçus pour traiter des informations classifiées : article 2, paragraphe 7.
- Pièces de rechange mises à disposition pour remplacer des composants identiques, fabriquées conformément aux mêmes spécifications que les composants qu'elles sont destinées à remplacer : article 2, paragraphe 6.
À cette liste s'ajoute une porte que le règlement laisse ouverte sans la refermer lui-même : l'article 2, paragraphe 5 permet de limiter ou d'exclure l'application du CRA à des produits relevant d'autres règles de l'Union qui couvrent les mêmes risques, par acte délégué. Aucune limitation de ce type n'est acquise du seul fait du règlement.
Après le champ
Votre rôle et la classe du produit fixent ce que vous devez faire
Une fois votre produit dans le champ, ces deux réponses fixent votre charge réelle, et donc votre budget.
Votre rôle
Fabricant, importateur, distributeur, ou intendant de logiciels ouverts, ce que l'on appelle couramment le logiciel libre ou l'open source. Les obligations n'ont ni la même étendue ni le même calendrier. Revendre sous votre marque un produit fabriqué par un tiers fait de vous un fabricant. Voir les quatre rôles, et le cas de la marque propre.
La classe du produit
Produit par défaut, produit important de classe I ou de classe II, ou produit critique. La classe ne change pas les exigences à satisfaire. Elle change la façon de prouver que vous les satisfaites. Voir les classes de produits.
Le texte en détail : annexes III et IV
La classe du produit se détermine sur la base des annexes III et IV du règlement.
Le diagnostic pose ces questions sur votre produit précis. Il tient en treize questions au plus, deux minutes, sans frais et sans compte. Vous savez alors quels produits ont besoin d'un dossier, et vous n'en ouvrez que pour eux, à 490 € HT par produit.
DATIVO écrit ces pages à partir du texte authentique du règlement : chaque renvoi se vérifie dans les sources ci-dessous. Commencer le diagnostic.
Questions fréquentes
Mon logiciel en ligne est-il concerné par le CRA ?
Non, s'il est pur, c'est-à-dire si le client y accède sans que rien soit installé ou livré chez lui. Oui, s'il fait fonctionner un produit que vous vendez par ailleurs : il entre alors dans le champ avec ce produit. Demandez-vous si vous vendez quelque chose qui a besoin de ce code pour fonctionner chez le client (art. 3, points 1 et 2).
Mon produit n'est pas connecté à internet, suis-je concerné ?
Peut-être. Le critère n'est pas la connexion à internet, mais la connexion, directe ou indirecte, à un appareil ou à un réseau, selon l'usage prévu ou raisonnablement prévisible. Un produit mis à jour par USB, ou qui transmet ses données à une passerelle, remplit ce critère. Les produits vraiment hors champ à ce titre sont moins nombreux qu'on ne le croit. Si vous concluez que le vôtre en fait partie, écrivez pourquoi (art. 2, paragraphe 1).
Je vends un dispositif médical, le CRA s'applique-t-il ?
Non, les dispositifs médicaux et les dispositifs de diagnostic in vitro sont exclus, car ils relèvent d'un régime sectoriel propre. Mais l'exclusion porte sur le produit, pas sur l'entreprise : vos autres produits numériques s'examinent séparément. L'exclusion est portée par l'article 2, paragraphe 2, points a) et b), qui renvoie au règlement (UE) 2017/745 et au règlement (UE) 2017/746.
Je suis revendeur, le CRA me concerne-t-il ?
Oui, avec des obligations propres. L'importateur, établi dans l'Union, met sur le marché un produit portant le nom ou la marque d'une personne établie hors de l'Union (art. 3, point 16). Le distributeur met un produit à disposition sur le marché sans altérer ses propriétés (art. 3, point 17). Vous devenez fabricant, avec toutes ses obligations, notamment si vous vendez sous votre propre marque : voir les quatre rôles.
Quelle est la différence entre le CRA et NIS 2 ?
Le CRA porte sur vos produits, NIS 2 porte sur votre organisation. Ils ne se recouvrent pas, et relever de l'un ne dispense de rien sur l'autre. Ils se rejoignent sur un point, la sécurité de la chaîne d'approvisionnement : voir CRA et NIS 2.
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.
Vous savez déjà que le règlement vous concerne ?
Déclarez vos produits dans votre espace. Le signalement des fabricants s’applique depuis le 11 septembre 2026 : l’espace calcule les échéances de chaque incident. L’accès est sans frais.