# Annexe III : les produits importants, et la procédure qu'impose leur classe

_Vérifié le 25 octobre 2026._

> EN BREF
> Si la fonction principale de votre produit figure à l'annexe III, son évaluation se durcit le 11 décembre 2027.
> La classe change la preuve à apporter, jamais les exigences de sécurité.
> Un composant de la liste intégré à votre produit ne le classe pas à lui seul.
> Le rapport d'écarts de DATIVO montre ce qui manque à votre produit avant toute évaluation, quelle que soit sa classe.

## Ce que dit l’annexe

**À partir du 11 décembre 2027, un produit dont la fonction principale figure à l'annexe III suit une procédure d'évaluation plus stricte.** Cette annexe du Cyber Resilience Act (CRA) liste les produits dits importants. Elle les range en deux classes : dix-neuf catégories en classe I, quatre en classe II.

Vous éditez un gestionnaire de mots de passe ? Il figure en classe I. Vous fabriquez un pare-feu ? Il figure en classe II. Votre logiciel de facturation n'est dans aucune liste : c'est un produit par défaut.

**Les exigences de sécurité ne changent pas : seule change la manière de prouver que votre produit les respecte.** Un produit important respecte la même [annexe I](/reglement/annexe-1/) que tout autre produit. Sa classe décide de la procédure d'évaluation, et de l'intervention d'un organisme notifié. C'est un organisme de contrôle extérieur, habilité par un État.

**La classe I réunit des logiciels de sécurité, des logiciels système, du réseau, des puces et des objets du quotidien.**

> CARTES
> Protéger les accès | Gestion des identités et des accès privilégiés, lecteurs biométriques compris. Gestionnaires de mots de passe. Infrastructures à clés publiques et émission de certificats.
> Protéger le poste et les échanges | Antivirus. Réseaux privés virtuels (VPN). Outils qui collectent et corrèlent les événements de sécurité.
> Faire tourner la machine | Navigateurs, autonomes ou intégrés. Gestionnaires de démarrage. Systèmes d'exploitation.
> Relier les équipements | Systèmes de gestion de réseau. Interfaces réseau physiques et virtuelles. Routeurs, modems d'accès à l'internet et commutateurs.
> Les puces | Microprocesseurs, microcontrôleurs et circuits intégrés spécialisés ou programmables, dotés de fonctions de sécurité.
> La maison et les objets portés | Assistants virtuels de la maison. Serrures, caméras, babyphones et alarmes connectés. Jouets connectés qui parlent, filment ou localisent. Objets portés de suivi de santé hors dispositif médical, et objets portés pour enfants.

**La classe II ne compte que quatre catégories, regroupées ici en trois familles.** Le règlement y range les produits dont un incident pourrait avoir des répercussions plus graves.

> CARTES
> Virtualisation | Hyperviseurs et systèmes d'exécution de conteneurs.
> Défense du réseau | Pare-feu, systèmes de détection et de prévention des intrusions.
> Puces renforcées | Microprocesseurs et microcontrôleurs résistants aux manipulations.

> DETAIL: Le texte en détail : annexe III, article 7, paragraphe 2, et considérant 44
> Les familles de la classe I sont les nôtres. Elles réunissent les points 1, 3 et 9, puis 4, 5 et 7, puis 2, 8 et 11. Suivent 6, 10 et 12, puis 13 à 15, enfin 16 à 19.
>
> Chaque catégorie remplit au moins l'un des critères de l'article 7, paragraphe 2. Le point a) vise les fonctions essentielles pour la cybersécurité d'autres produits, réseaux ou services.
>
> Le point b) vise notamment une fonction capable de perturber, contrôler ou endommager un grand nombre d'autres produits. Il cite « la gestion du réseau, le contrôle de la configuration, la virtualisation ou le traitement des données à caractère personnel ».
>
> Selon le considérant 44, un incident en classe II pourrait avoir des répercussions négatives plus importantes qu'en classe I.

**Seule compte la fonction principale du produit.** Le règlement parle de sa fonctionnalité de base. Une application d'actualités qui embarque un navigateur ne devient pas un navigateur. Un smartphone n'est pas, en règle générale, un système d'exploitation ni un gestionnaire de mots de passe.

**Intégrer un composant de la liste ne fait pas, à lui seul, entrer votre produit dans l'annexe.** Vous devez quand même prouver la sécurité du produit entier, composant compris. Pour un cas limite, la Commission a adopté une description technique de chaque catégorie, le 28 novembre 2025.

> DETAIL: Le texte en détail : article 7, paragraphes 1 et 4, et règlement d'exécution (UE) 2025/2392
> Un produit est important si sa « fonctionnalité de base » est celle d'une catégorie de l'annexe III (article 7, paragraphe 1). Intégrer un tel produit ne suffit pas à classer le produit d'accueil.
>
> Le règlement d'exécution (UE) 2025/2392, pris sur l'article 7, paragraphe 4, donne la description technique de chaque catégorie.
>
> Son considérant 3 prend l'exemple d'une application d'actualités qui intègre un navigateur. Cette intégration « ne rend pas en soi cette application soumise à la procédure d'évaluation de la conformité » des navigateurs. Le fabricant évalue toutefois la sécurité du produit entier.
>
> Son considérant 5 écarte « généralement » le smartphone des catégories du système d'exploitation et du gestionnaire de mots de passe. Son considérant 7 rend ses exemples indicatifs et non exhaustifs.

**En classe I, vous pouvez vous évaluer seul à une condition.** Vous appliquez en entier une norme harmonisée, une spécification commune ou une certification européenne de niveau au moins substantiel. Sinon, un organisme notifié intervient. En classe II, il intervient toujours, sauf certification européenne de même niveau.

Au 20 octobre 2026, aucune norme harmonisée n'est citée et aucune spécification commune n'est adoptée. Aucun organisme notifié n'est enregistré non plus. Les procédures sont détaillées sur [la page de la certification](/certification-cra/).

> DETAIL: Le texte en détail : article 32, paragraphes 2, 3 et 5
> En classe I, l'article 32, paragraphe 2 renvoie aux modules B et C, examen UE de type puis conformité au type. Il ouvre aussi le module H, l'assurance complète de la qualité.
>
> Ce renvoi joue si le fabricant n'applique pas en entier une norme harmonisée, une spécification commune ou un schéma européen de niveau au moins « substantiel ».
>
> En classe II, le paragraphe 3 ouvre les mêmes modules, ou un schéma européen de niveau au moins « substantiel ». Le contrôle interne (module A) n'y figure pas.
>
> Le logiciel libre et ouvert fait exception, sous condition de documentation publique (paragraphe 5).
>
> Au 20 octobre 2026, la base New Approach Notified and Designated Organisations (NANDO) de la Commission ne recense aucun organisme notifié au titre du règlement.

**La version française initiale classait à tort les systèmes de gestion de la qualité en classe I.**

> ENCART: avertissement
> Erreur de traduction corrigée. La publication initiale française portait en classe I « Systèmes de gestion de la qualité ». Le texte anglais écrit « Network management systems », c'est-à-dire les systèmes de gestion de réseau. Le rectificatif du 25 mars 2026 fait lire « Systèmes de gestion de réseau ». Une lecture faite sur la publication initiale classait donc à tort des logiciels de gestion de la qualité en classe I.

Un logiciel de gestion de la qualité n'est pas un produit important, sauf si sa fonction principale relève d'une autre catégorie.

La description technique de la Commission porte encore, en français, l'ancien intitulé. Sa définition vise pourtant bien la gestion de réseau.

> DETAIL: Le texte en détail : annexe III, classe I, point 6, rectificatif du 25 mars 2026 et règlement d'exécution (UE) 2025/2392
> Le Journal officiel du 20 novembre 2024 portait, en français, « 6. Systèmes de gestion de la qualité ». Le rectificatif du 25 mars 2026, publié en français seulement, fait lire « 6. Systèmes de gestion de réseau ».
>
> La version anglaise du règlement écrit « Network management systems ». L'article 7, paragraphe 2, point b) cite « la gestion du réseau » parmi les fonctions qui justifient la liste.
>
> La version anglaise et la description technique du règlement d'exécution (UE) 2025/2392 visent les systèmes de gestion de réseau. Cette description vise les produits « qui gèrent des éléments de réseau connectés ».
>
> L'intitulé français de ce règlement d'exécution reprend pourtant l'erreur, et aucun rectificatif n'est publié à ce jour. Nous retenons le sens « gestion de réseau ». Constat du 20 octobre 2026.

## À qui elle s’applique

**L'annexe III vise le fabricant dont le produit a pour fonction principale l'une des vingt-trois catégories.** Vous fabriquez une serrure connectée ? C'est à vous de choisir et de mener la procédure de la classe I.

**L'importateur vérifie que la bonne procédure a été suivie.** Avant de mettre un produit sur le marché, il s'assure que le fabricant a mené l'évaluation qu'impose sa classe. Voyez [la page de l'importateur](/importateur/).

**Un composant de la liste vendu séparément garde sa classe.** Son fabricant mène la procédure de cette classe. Celui qui l'intègre n'en hérite pas.

**Un produit absent de toute liste est un produit par défaut, et c'est la grande majorité.** Son fabricant peut s'évaluer seul. Les produits critiques, eux, relèvent d'une autre annexe : voyez [les classes de produits](/classes-de-produits/).

> DETAIL: Le texte en détail : articles 3, 19 et 32
> L'importateur veille à ce que le fabricant ait mené à bien les procédures appropriées de l'article 32 (article 19, paragraphe 2, point a)).
>
> Un composant mis sur le marché séparément est lui-même un produit comportant des éléments numériques (article 3, point 1).
>
> Un produit par défaut suit l'une des procédures de l'article 32, paragraphe 1, au choix de son fabricant.

## Depuis quand

**La classification et ses procédures s'appliquent le 11 décembre 2027.** La liste existe depuis l'entrée en vigueur du règlement, le 10 décembre 2024, mais rien n'en est avancé.

Un produit mis sur le marché avant cette date n'a pas à passer la procédure. Seule une modification substantielle, à partir du 11 décembre 2027, l'y soumettrait. La mise sur le marché s'apprécie exemplaire par exemplaire (FAQ de la Commission ; par analogie, Guide bleu 2022).

**La liste peut évoluer.** La Commission peut ajouter, déplacer ou retirer une catégorie par acte délégué. Elle prévoit alors, en principe, au moins douze mois de transition. Au 20 octobre 2026, aucun acte de ce type n'est adopté.

**Les règles de notification des organismes d'évaluation s'appliquent depuis le 11 juin 2026.** Les États doivent s'efforcer d'en avoir assez au plus tard le 11 décembre 2026. Au 20 octobre 2026, aucun n'est enregistré au titre du règlement.

La version française a été corrigée le 25 mars 2026. La note placée sous le texte officiel, plus bas, le montre.

> DETAIL: Le texte en détail : articles 7, 35, 69 et 71
> L'article 71, paragraphe 2 n'avance que l'article 14 et le chapitre IV, articles 35 à 51. Les articles 7 et 32 s'appliquent donc le 11 décembre 2027.
>
> L'article 69, paragraphe 2 soustrait aux exigences les produits mis sur le marché avant cette date, sauf modification substantielle ultérieure.
>
> L'article 7, paragraphe 3 habilite la Commission à modifier l'annexe III par actes délégués. Ils prévoient, le cas échéant, une période transitoire d'au moins douze mois, sauf urgence impérieuse.
>
> Au 20 octobre 2026, le seul acte qui modifie le règlement est le règlement (UE) 2025/327. Il ne touche pas l'annexe III.
>
> L'objectif d'organismes notifiés en nombre suffisant au 11 décembre 2026 est fixé par l'article 35, paragraphe 2.

## Ce que vous devez faire

**Classez chaque produit d'après sa fonction principale, puis préparez la procédure de sa classe.**

> CONTROLE
> La fonction principale de chaque produit | Écrivez-la en une phrase, puis comparez-la à la description technique des catégories.
> Les cas limites | Gardez par écrit les raisons qui font entrer votre produit dans une catégorie, ou l'en écartent.
> Les composants de la liste | Un navigateur ou un système d'exploitation intégré ne vous classe pas, mais sa sécurité entre dans votre évaluation des risques.
> Votre procédure | En classe I sans norme appliquée en entier, comme en classe II, prévoyez un organisme notifié.
> Votre documentation technique | Toute procédure part d'elle, et votre demande à l'organisme notifié la contient.

[Le dossier](/le-dossier/) établit la documentation technique de votre produit, quelle que soit sa classe. Son rapport d'écarts vous montre ce qui manque avant toute évaluation.

Dans l’outil : Chaque écart arrive avec l'action à mener et l'effort à prévoir. (Capture d’écran « Écarts à traiter », sur le compte de démonstration.)

Votre produit entre-t-il dans le CRA ? [Faites le diagnostic](/diagnostic/), sans frais et sans compte.

## Questions fréquentes

### Comment savoir si mon produit est un produit important ?
Partez de sa fonction principale, sa « fonctionnalité de base » (article 7, paragraphe 1). Comparez-la à la description technique des catégories, dans le règlement d'exécution (UE) 2025/2392.

### Un logiciel de gestion de la qualité est-il un produit de classe I ?
Non. Depuis le rectificatif du 25 mars 2026, le point 6 de la classe I vise les systèmes de gestion de réseau. Le règlement d'exécution (UE) 2025/2392 porte encore l'ancien intitulé en français, mais sa description vise bien la gestion de réseau.

### Puis-je évaluer seul un produit de classe I ?
En droit, oui, à une condition (article 32, paragraphe 2). Vous appliquez en entier une norme harmonisée, une spécification commune ou un schéma européen de niveau au moins substantiel. Au 20 octobre 2026, aucune norme n'est citée et aucune spécification n'est adoptée. En pratique, prévoyez un organisme notifié.

### Quelle différence entre un produit important et un produit critique ?
Les produits critiques figurent à l'annexe IV : boîtiers de sécurité matériels, passerelles de compteurs intelligents, cartes à puce. La Commission peut leur imposer un certificat européen (article 8, paragraphe 1). À défaut, ils suivent les procédures de la classe II (article 32, paragraphe 4).

### Un logiciel libre de classe I passe-t-il par un organisme notifié ?
Non, pas forcément. S'il répond aux critères du logiciel libre et ouvert, son fabricant peut suivre toute procédure, contrôle interne compris (article 32, paragraphe 5). Il rend alors publique la documentation technique dès la mise sur le marché. Voyez [le logiciel libre](/logiciel-libre/).

## Sources
- Règlement (UE) 2024/2847, texte authentique au Journal officiel : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32024R2847
- Rectificatif du 25 mars 2026 au règlement (UE) 2024/2847, annexe III, point 6 : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202690243
- Règlement (UE) 2024/2847, version anglaise au Journal officiel (en anglais) : https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32024R2847
- Règlement d'exécution (UE) 2025/2392, description technique des catégories de produits : https://eur-lex.europa.eu/eli/reg_impl/2025/2392/oj/fra
- Règlement d'exécution (UE) 2025/2392, version anglaise (en anglais) : https://eur-lex.europa.eu/eli/reg_impl/2025/2392/oj/eng
- Commission européenne, base NANDO des organismes notifiés : https://webgate.ec.europa.eu/single-market-compliance-space/#/notified-bodies
- Commission européenne, « Guide bleu » relatif à la mise en œuvre de la réglementation de l'UE sur les produits 2022, section 2.3 : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:52022XC0629%2804%29
- Commission européenne, FAQ sur la mise en œuvre du CRA, version 1.4 du 4 septembre 2026, question 7.2 (en anglais) : https://digital-strategy.ec.europa.eu/en/library/cyber-resilience-act-implementation-frequently-asked-questions


## Le texte officiel

### Notes sur le texte français

1. Rectificatif du 25 mars 2026 (JO L, 2026/90243), français seulement : Classe I, point 6. Au lieu de « 6. Systèmes de gestion de la qualité », lire « 6. Systèmes de gestion de réseau ». (https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202690243)

### ANNEXE III : PRODUITS IMPORTANTS COMPORTANT DES ÉLÉMENTS NUMÉRIQUES

#### Classe I

1\. Systèmes de gestion des identités et logiciels et dispositifs de gestion des accès privilégiés, dont lecteurs d’authentification et de contrôle d’accès et lecteurs biométriques

2\. Navigateurs autonomes et intégrés

3\. Gestionnaires de mots de passe

4\. Logiciels qui recherchent, suppriment ou mettent en quarantaine des logiciels malveillants

5\. Produits comportant des éléments numériques avec la fonction de réseau privé virtuel (VPN)

6\. Systèmes de gestion de la qualité

7\. Systèmes de gestion des informations et des événements de sécurité (SIEM)

8\. Gestionnaires de démarrage

9\. Infrastructure à clé publique et logiciels d’émission de certificats numériques

10\. Interfaces réseau physiques et virtuelles

11\. Systèmes d’exploitation

12\. Routeurs, modems destinés à la connexion à l’internet et commutateurs

13\. Microprocesseurs dotés de fonctionnalités liées à la sécurité

14\. Microcontrôleurs dotés de fonctionnalités liées à la sécurité

15\. Circuits intégrés spécifiques à l’application (ASIC) et réseaux de portes programmables (FPGA) dotés de fonctionnalités liées à la sécurité

16\. Assistants virtuels polyvalents pour maison intelligente

17\. Produits domestiques intelligents dotés de fonctionnalités de sécurité, notamment serrures, caméras de sécurité, systèmes de surveillance pour bébé et systèmes d’alarme

18\. Jouets connectés couverts par la directive 2009/48/CE du Parlement européen et du Conseil (1) qui présentent des caractéristiques sociales interactives (par exemple, parler ou filmer) ou qui possèdent des fonctions de localisation

19\. Produits portables personnels destinés à être portés ou mis sur un corps humain à des fins de surveillance de la santé (suivi par exemple) et auxquels le règlement (UE) 2017/745 ou (UE) 2017/746 ne s’appliquent pas, ou produits portables personnels destinés à être utilisés par et pour les enfants

#### Classe II

1\. Hyperviseurs et systèmes d’exécution de conteneurs prenant en charge l’exécution virtualisée de systèmes d’exploitation et d’environnements similaires

2\. Pare-feu, systèmes de détection et de prévention des intrusions

3\. Microprocesseurs résistants aux manipulations

4\. Microcontrôleurs résistants aux manipulations


(1) Directive 2009/48/CE du Parlement européen et du Conseil du 18 juin 2009 relative à la sécurité des jouets (JO L 170 du 30.6.2009, p. 1).

Source : règlement (UE) 2024/2847 du 23 octobre 2024, Journal officiel de l’Union européenne, série L, 20 novembre 2024, version française publiée sur EUR-Lex. Seule la publication au Journal officiel fait foi. https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32024R2847#anx_III