Règlement (UE) 2024/2847 · Chapitre III
Article 32 : la classe du produit décide de la procédure d'évaluation
Contrôle interne, organisme notifié ou certificat européen : la classe du produit fixe sa procédure d'évaluation, à partir du 11 décembre 2027.
Ce que dit l’article
À partir du 11 décembre 2027, avant de mettre un produit sur le marché, vous prouvez qu'il respecte les exigences de sécurité du règlement.
Cet article du Cyber Resilience Act (CRA) fixe les procédures qui servent à le prouver. La classe de votre produit décide de la procédure, et de l'intervention d'un organisme notifié.
Vous éditez un logiciel de comptabilité ? Il ne figure dans aucune liste du règlement, donc vous évaluez vous-même sa conformité. Vous fabriquez un routeur ? Il est important de classe I : sans norme harmonisée appliquée en entier, un organisme notifié l'examine. Votre pare-feu, de classe II, passe toujours par un organisme notifié, ou par un certificat européen.
Un organisme notifié est un organisme d'évaluation indépendant, désigné par un État et notifié à la Commission européenne.
Le règlement connaît quatre procédures. Les lettres A, B, C et H désignent des modules européens d'évaluation, fixés en 2008.
Le contrôle interne
Vous vérifiez vous-même la conformité, et vous la déclarez sous votre seule responsabilité. C'est le module A.
L'examen UE de type, puis la conformité au type
Un organisme notifié examine la conception et la gestion des failles, puis délivre une attestation. Vous garantissez ensuite que chaque produit suit le type examiné. Ce sont les modules B et C.
L'assurance complète de la qualité
Un organisme notifié approuve votre système qualité, de la conception à la gestion des failles, puis l'audite. C'est le module H.
La certification européenne
Un certificat délivré selon un schéma européen de certification de cybersécurité, quand un schéma utilisable existe.
Pour un produit absent des listes du règlement, vous pouvez évaluer vous-même sa conformité. Vous choisissez librement l'une des quatre procédures, y compris avec un organisme notifié.
Pour un produit important de classe I, le contrôle interne suppose un référentiel appliqué en entier. C'est une norme harmonisée, une spécification commune, ou un certificat européen de niveau au moins « substantiel ». Sinon, un organisme notifié intervient.
Une norme harmonisée est une norme européenne dont la référence est publiée au Journal officiel de l'Union. Une spécification commune est un texte technique que la Commission adopte quand les normes manquent. « Substantiel » est le niveau intermédiaire des trois niveaux d'assurance européens.
Pour un produit important de classe II, le contrôle interne n'est jamais ouvert. Un organisme notifié intervient, sauf certificat européen de niveau au moins « substantiel ».
Pour un produit critique, la Commission peut imposer un certificat européen, par un acte délégué. Tant qu'elle ne l'a pas fait, ces produits suivent le régime de la classe II.
Un logiciel libre classé important peut suivre toute procédure, à condition de publier sa documentation technique. Vous vendez un gestionnaire de mots de passe sous licence libre ? Vous pouvez l'évaluer vous-même, même sans norme harmonisée.
Les redevances d'évaluation doivent être réduites pour les micro, petites et moyennes entreprises. Le règlement ne fixe aucun tarif : il demande que les redevances tiennent compte des besoins de ces entreprises.
Un système de dossiers médicaux électroniques, dit « système de DME », suivra la procédure de son propre règlement. Le règlement sur l'espace européen des données de santé a inséré cette règle dans l'article, à compter du 26 mars 2027.
Le texte en détail : article 32, paragraphes 1 à 6, et considérants 90 et 91
Le paragraphe 1 ouvre les modules A, B suivi de C, et H, issus de la décision n° 768/2008/CE (considérants 90 et 91). S'y ajoute un schéma de l'article 27, paragraphe 9, « lorsqu'il est disponible et s'il y a lieu ».
Le paragraphe 2 vise la classe I de l'annexe III. Le tiers intervient si le référentiel n'a pas été appliqué, ne l'a été qu'en partie, ou n'existe pas. Il intervient « pour ce qui a trait à ces exigences ».
Le paragraphe 3 vise la classe II : modules B et C, module H, ou un schéma de niveau au moins substantiel. Les trois niveaux, élémentaire, substantiel et élevé, viennent du règlement (UE) 2019/881, article 52.
Le paragraphe 4 vise l'annexe IV : un schéma imposé au titre de l'article 8, paragraphe 1, à défaut les procédures du paragraphe 3. Au 20 octobre 2026, cet acte délégué n'est pas adopté, et aucun projet n'est publié.
Le paragraphe 5 vise les logiciels libres et ouverts des catégories de l'annexe III, classes I et II. Leur documentation technique est « mise à la disposition du public au moment de la mise sur le marché ».
Le paragraphe 5 bis est inséré par l'article 104 du règlement (UE) 2025/327, applicable à partir du 26 mars 2027. Il renvoie à la procédure du chapitre III de ce règlement.
Au paragraphe 6, les catégories d'entreprises sont celles de la recommandation 2003/361/CE (article 3, point 19).
À ce jour, le contrôle interne reste fermé en pratique pour un produit de classe I. Au 20 octobre 2026, aucune norme harmonisée n'est citée et aucun organisme notifié n'est enregistré au titre du règlement. Aucune spécification commune n'est adoptée non plus : voyez l'état du droit.
La voie de la certification attend elle aussi un texte. Elle renvoie aux schémas que la Commission précise par un acte délégué. Le schéma européen de certification de cybersécurité fondé sur les critères communs (EUCC) existe depuis 2024.
Le 15 octobre 2026, la Commission a inscrit sur son portail « Donnez votre avis » un acte délégué consacré à l'EUCC. Son adoption est prévue au premier trimestre 2027 : il n'est pas adopté à ce jour.
Le texte en détail : article 27, paragraphes 8 et 9, et considérant 82
L'article 27, paragraphe 8 présume conformes les produits certifiés dans un schéma du règlement (UE) 2019/881, « dans la mesure où » le certificat couvre les exigences. Cette présomption n'attend aucun acte délégué. Au 20 octobre 2026, le seul schéma adopté est l'EUCC.
Le paragraphe 9 habilite la Commission à préciser par acte délégué les schémas utilisables. Un certificat au moins substantiel délivré au titre de tels schémas supprime l'évaluation par un tiers.
Le considérant 82 annonce un acte qui préciserait « comment la certification EUCC crée une présomption de conformité ». Le schéma est établi par le règlement d'exécution (UE) 2024/482.
À qui il s’applique
Cet article vise le fabricant : c'est lui qui choisit la procédure, et qui l'applique ou la fait appliquer.
Son mandataire peut accomplir certaines démarches, si le mandat le prévoit.
Vous importez des caméras connectées fabriquées hors de l'Union ? Avant de les vendre, vous vérifiez que leur fabricant a mené la bonne procédure. Vendre un produit sous votre propre marque fait de vous son fabricant : voyez les quatre rôles.
Les organismes notifiés conduisent l'examen UE de type et l'évaluation des systèmes qualité. Le contrôle interne et la conformité au type restent l'affaire du fabricant seul.
Le texte en détail : articles 13, 18 et 19, et annexe VIII
Les fabricants « appliquent ou font appliquer » les procédures choisies de l'article 32 (article 13, paragraphe 12).
L'annexe VIII ouvre au mandataire le marquage, la déclaration et la demande d'examen, si le mandat les spécifie. La documentation technique reste au fabricant (article 18, paragraphe 2).
L'importateur veille à ce que le fabricant ait mené à bien les procédures appropriées (article 19, paragraphe 2, point a).
Depuis quand
L'article s'applique à partir du 11 décembre 2027, avec le reste du règlement.
Chaque produit mis sur le marché à partir de cette date doit avoir passé sa procédure. Un exemplaire mis sur le marché avant n'y est pas soumis, sauf modification substantielle : voyez l'article 69 commenté.
Les organismes notifiés peuvent être désignés depuis le 11 juin 2026. Au 20 octobre 2026, la base New Approach Notified and Designated Organisations (NANDO) de la Commission n'en enregistre aucun au titre du CRA.
En France, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) est l'autorité notifiante depuis un décret du 9 octobre 2026. Elle désigne les organismes notifiés et les contrôle.
Le texte en détail : articles 35 et 71, et décret n° 2026-944
Seuls l'article 14 et le chapitre IV, articles 35 à 51, s'appliquent avant le 11 décembre 2027 (article 71, paragraphe 2). L'article 32 n'en fait pas partie.
Les États s'efforcent d'avoir assez d'organismes notifiés au plus tard le 11 décembre 2026 (article 35, paragraphe 2).
Le décret n° 2026-944 du 9 octobre 2026, paru au Journal officiel du 11 octobre, fait de l'ANSSI l'autorité notifiante.
Aucun des quatre rectificatifs publiés en français ne porte sur l'article 32, au 20 octobre 2026.
Ce que vous devez faire
Établissez la classe de chaque produit, puis prévoyez tôt l'organisme notifié s'il vous en faut un.
- La classe de chaque produit Elle se lit d'après sa fonction principale : voyez les classes de produits.
- La procédure retenue Notez laquelle vous suivez, et pourquoi : votre déclaration UE de conformité la décrira, le cas échéant.
- La documentation technique Vous l'établissez dans tous les cas, et un organisme notifié l'examine en premier.
- Le calendrier En classe I sans norme, en classe II ou pour un produit critique, prévoyez l'examen avant le 11 décembre 2027.
À partir du 11 décembre 2027, une procédure manquée peut tomber sous deux plafonds d'amende : voyez l'article 64 commenté.
Le dossier établit le rapport d'écarts, la documentation technique et le projet de déclaration UE de conformité. Nous ne certifions rien, et DATIVO n'est pas un organisme notifié : vous signez la déclaration et vous en répondez.
Le texte en détail : articles 13 et 64, et annexe V, point 7
L'article 32, paragraphes 1 à 3, relève du plafond de 10 millions d'euros ou 2 % (article 64, paragraphe 3).
Appliquer la procédure est aussi une obligation de l'article 13, paragraphe 12, qui relève du plafond de 15 millions d'euros ou 2,5 % (paragraphe 2).
La déclaration décrit, le cas échéant, la procédure suivie (annexe V, point 7).
Votre produit entre-t-il dans le CRA ? Faites le diagnostic, sans frais et sans compte.
Le texte officiel
Notes sur le texte français
Modification applicable le 26 mars 2027 : Règlement (UE) 2025/327, article 104 (JO L, 2025/327)
Paragraphe 5 bis, inséré : « 5 bis. Les fabricants de produits comportant des éléments numériques qui sont classés comme systèmes de DME en vertu du règlement (UE) 2025/327 du Parlement européen et du Conseil (*1) démontrent la conformité aux exigences essentielles énoncées à l’annexe I du présent règlement en suivant la procédure d’évaluation de la conformité pertinente prévue au chapitre III du règlement (UE) 2025/327. »
Texte officiel de l’article 32
Article 32
Procédures d’évaluation de la conformité pour les produits comportant des éléments numériques
1. Le fabricant effectue une évaluation de la conformité du produit comportant des éléments numériques et des processus mis en place par le fabricant pour déterminer si les exigences essentielles de cybersécurité énoncées à l’annexe I sont respectées. Le fabricant démontre la conformité avec les exigences essentielles de cybersécurité en suivant l’une des procédures suivantes:
a) la procédure de contrôle interne (module A) visée à l’annexe VIII;
b) la procédure d’examen UE de type (module B) prévue à l’annexe VIII, suivie de la conformité au type «UE» sur la base du contrôle interne de la production (module C), prévue à l’annexe VIII;
c) l’évaluation de la conformité sur la base de l’assurance complète de la qualité (module H) prévue à l’annexe VIII; ou
d) lorsqu’il est disponible et s’il y a lieu, un schéma européen de certification de cybersécurité en vertu de l’article 27, paragraphe 9.
2. Lorsque, lors de l’évaluation de la conformité d’un produit important comportant des éléments numériques qui relève de la classe I figurant à l’annexe III et des processus mis en place par son fabricant avec les exigences essentielles de cybersécurité énoncées à l’annexe I, le fabricant n’a pas appliqué ou n’a appliqué qu’en partie des normes harmonisées, des spécifications communes ou des schémas européens de certification de cybersécurité au minimum au niveau d’assurance dit «substantiel» visés à l’article 27, ou lorsque ces normes harmonisées, spécifications communes ou schémas européens de certification de cybersécurité n’existent pas, le produit comportant des éléments numériques concerné et les processus mis en place par le fabricant sont soumis, pour ce qui a trait à ces exigences essentielles de cybersécurité, à l’une des procédures suivantes:
a) la procédure d’examen UE de type (module B) prévue à l’annexe VIII, suivie de la conformité au type «UE» sur la base du contrôle interne de la production (module C), prévue à l’annexe VIII; ou
b) une évaluation de la conformité sur la base de l’assurance complète de la qualité (module H) prévue à l’annexe VIII.
3. Lorsque le produit est un produit important comportant des éléments numériques qui relève de la classe II figurant à l’annexe III, le fabricant démontre la conformité avec les exigences essentielles de cybersécurité énoncées à l’annexe I en suivant l’une des procédures suivantes:
a) la procédure d’examen UE de type (module B) prévue à l’annexe VIII, suivie de la conformité au type «UE» sur la base du contrôle interne de la production (module C), prévue à l’annexe VIII;
b) une évaluation de la conformité sur la base de l’assurance complète de la qualité (module H) prévue à l’annexe VIII; ou
c) lorsqu’il est disponible et s’il y a lieu, un schéma européen de certification de cybersécurité conformément à l’article 27, paragraphe 9, du présent règlement au minimum au niveau d’assurance dit «substantiel» en vertu du règlement (UE) 2019/881.
4. Les produits critiques comportant des éléments numériques répertoriés à l’annexe IV démontrent la conformité avec les exigences essentielles de cybersécurité énoncées à l’annexe I au moyen de l’une des procédures suivantes:
a) un schéma européen de certification de cybersécurité, conformément à l’article 8, paragraphe 1; ou
b) lorsque les conditions énoncées à l’article 8, paragraphe 1, ne sont pas remplies, l’une des procédures visées au paragraphe 3 du présent article.
5. Les fabricants de produits comportant des éléments numériques qui répondent aux critères de logiciels libres voir la note 1 et ouverts et relèvent des catégories énoncées à l’annexe III ont la faculté de démontrer la conformité avec les exigences essentielles de cybersécurité énoncées à l’annexe I en utilisant l’une des procédures visées au paragraphe 1 du présent article, à condition que la documentation technique visée à l’article 31 soit mise à la disposition du public au moment de la mise sur le marché de ces produits.
6. Les intérêts et besoins spécifiques des microentreprises et des petites et moyennes entreprises, y compris les jeunes pousses, sont pris en compte lors de la fixation des redevances imposées pour les procédures d’évaluation de la conformité, et ces redevances sont réduites proportionnellement auxdits intérêts et besoins spécifiques.
Source : règlement (UE) 2024/2847 du 23 octobre 2024, Journal officiel de l’Union européenne, série L, 20 novembre 2024, version française publiée sur EUR-Lex. Seule la publication au Journal officiel fait foi. Le texte sur EUR-Lex.
Les pages du site qui en traitent
Questions fréquentes
Mon produit doit-il passer par un organisme notifié ?
Non s'il est absent des listes du règlement. Oui en classe II, sauf certificat européen au moins substantiel. En classe I, oui sans référentiel appliqué en entier : c'est le cas au 20 octobre 2026 (art. 32, paragraphes 2 et 3).
Puis-je choisir un organisme notifié dans un autre pays ?
Vous déposez votre demande d'examen auprès « d'un seul organisme notifié de son choix » (annexe VIII, partie II, point 3). Le texte ne pose aucune condition de pays. Vous certifiez par écrit n'avoir pas déposé la même demande ailleurs.
Combien coûte une évaluation par un organisme notifié ?
Le règlement ne fixe aucun tarif. Les redevances doivent être réduites selon les besoins des micro, petites et moyennes entreprises (art. 32, paragraphe 6, et considérant 96).
Un certificat EUCC dispense-t-il de l'organisme notifié ?
La dispense suit un certificat au moins substantiel, délivré au titre des schémas que précise l'acte délégué de l'article 27, paragraphe 9. L'acte consacré à l'EUCC n'est pas adopté au 20 octobre 2026.
Pour un logiciel, que veut dire « conformité au type » ?
Chaque exemplaire diffusé correspond au type examiné (annexe VIII, partie III). Le considérant 92 assimile à la production d'un logiciel sa compilation, son conditionnement et sa mise à disposition au téléchargement.
Une mise à jour oblige-t-elle à refaire l'évaluation ?
Non, pas toute mise à jour. Après une modification substantielle, le considérant 41 prévoit de vérifier à nouveau la conformité. Avec l'examen UE de type, une modification qui peut remettre en cause la conformité demande un complément à l'attestation (annexe VIII, partie II, point 7).
Mon produit est aussi un système d'intelligence artificielle à haut risque. Quelle procédure ?
En principe, celle du règlement (UE) 2024/1689 sur l'intelligence artificielle (art. 12, paragraphe 2). Un produit important ou critique que ce règlement laisse au contrôle interne suit pourtant les procédures du CRA (art. 12, paragraphe 3).
Sources
- Règlement (UE) 2024/2847, texte authentique au Journal officiel
- Règlement (UE) 2025/327, article 104, modification du règlement (UE) 2024/2847
- Décision n° 768/2008/CE, cadre commun pour la commercialisation des produits
- Règlement (UE) 2019/881, article 52, niveaux d'assurance
- Règlement d'exécution (UE) 2024/482, schéma européen de certification fondé sur les critères communs (EUCC)
- Commission européenne, initiative sur l'acte délégué relatif au schéma EUCC
- Recommandation 2003/361/CE, définition des micro, petites et moyennes entreprises
- Décret n° 2026-944 du 9 octobre 2026, Légifrance
- Commission européenne, normalisation (en anglais)
- Commission européenne, base NANDO des organismes notifiés
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.