1. Délimiter le produit et identifier l’opérateur responsable
Un consultant CRA doit déterminer le périmètre du produit, le rôle juridique et la procédure d’évaluation avant de commander des essais ou de rédiger une déclaration. Le livrable utile est une décision motivée pour chaque famille de produits, non une offre de certificat générique.
Le règlement (UE) 2024/2847 est en vigueur. Les obligations des fabricants de signaler les vulnérabilités activement exploitées et les incidents graves s’appliquent depuis le 11 septembre 2026; la plupart des autres obligations à compter du 11 décembre 2027. Il faut distinguer ces étapes.
1. Délimiter le produit et identifier l’opérateur responsable
Déterminez ce qui est réellement fourni sur le marché européen et par qui. Les termes commerciaux « plateforme » ou « IoT » ne suffisent pas à décider de l’application du CRA.
- Recensez matériel, logiciels, composants commercialisés séparément, versions, usages prévus, interfaces et traitements à distance nécessaires aux fonctions du produit.
- Identifiez fabricant, titulaire de marque, importateur et distributeur; examinez sous-traitance et modifications substantielles sans attribuer toutes les obligations à l’usine.
- Vérifiez fourniture commerciale, exclusions et textes sectoriels de l’UE; pour les logiciels libres, analysez la réalité de l’activité, pas la seule licence.
2. Matrice des voies: catégorie et intensité des essais diffèrent
Comparez la fonction principale aux annexes III (produits importants) et IV (produits critiques), avec les descriptions techniques de la Commission, avant de choisir selon l’article 32.
| Catégorie du produit | Voie stratégique d’évaluation |
|---|---|
| Catégorie par défaut | Le contrôle interne selon le module A est possible; un laboratoire externe n’est pas systématiquement obligatoire. |
| Important, classe I | Le module A est possible si les conditions applicables relatives aux normes harmonisées, aux spécifications communes ou aux certifications éligibles sont entièrement remplies; à défaut, la procédure B+C ou H avec organisme notifié est requise, sauf si la dérogation spécifique prévue à l’article 32, paragraphe 5, pour les logiciels libres et à code source ouvert s’applique. |
| Important, classe II | Prévoyez B+C ou H avec organisme notifié, ou un système européen de certification de cybersécurité expressément applicable et légalement disponible; vérifiez séparément la dérogation prévue à l’article 32, paragraphe 5, pour les logiciels libres et à code source ouvert. |
| Critique (annexe IV) | Partez du principe de l’intervention d’un organisme notifié; vérifiez l’article 32 et toute alternative de certification légalement disponible. |
Exception pour les produits répondant aux critères des logiciels libres et ouverts : conformément à l’article 32, paragraphe 5, les fabricants de produits relevant de l’annexe III peuvent recourir à une procédure prévue au paragraphe 1, y compris le module A, à condition de rendre publique la documentation technique visée à l’article 31 lors de la mise sur le marché. Il ne s’agit pas d’une exemption générale du CRA.
Pour la classe I, citer un projet de norme ou tester une clause n’établit pas le droit au module A. Consignez disposition de classement, justification technique et hypothèses ouvertes.
3. Ce qui peut modifier la recommandation
La procédure découle de la classification, non du nom commercial ou d’un marquage CE préexistant.
- Fonction de sécurité essentielle: un pare-feu intégré peut compter davantage que le nom de l’appareil; l’intégration d’un composant ne requalifie pas automatiquement le produit fini.
- Modèle de fourniture: composant vendu seul, micrologiciel, dépendance au nuage, code libre non commercial et modification substantielle après commercialisation exigent des analyses distinctes.
- État des normes: distinguez normes harmonisées publiées couvrant les exigences, projets, normes volontaires et preuves insuffisantes pour la condition légale de la voie choisie.
4. Analyse des écarts: transformer chaque manque en décision
Comparez les obligations applicables de l’annexe I aux contrôles réels et aux preuves utilisables. L’absence de processus diffère de l’absence de document.
| Lacune ou déclencheur | Preuve et décision |
|---|---|
| Catégorie incertaine | Suspendre le choix de voie; obtenir d’abord architecture, usage prévu et analyse des catégories des annexes. |
| Risque de conception sécurisée | Relier modèle de menace, réglages sûrs par défaut, contrôle d’accès et essais à l’évaluation des risques du produit. |
| Gestion des vulnérabilités non prouvée | Vérifier responsable des notifications, réception des signalements, divulgation coordonnée, correctifs, mises à jour et justification de la durée de support. |
| Chaîne de preuves faible | Rapprocher inventaire des composants/SBOM, données fournisseurs, portée des essais, versions et dossier technique; repérer les éléments à refaire. |
Priorisez les lacunes qui modifient la voie juridique ou bloquent la maîtrise des risques. Distinguez lacune, responsable, preuve, décision et incertitude résiduelle.
5. Réutiliser les preuves sans adopter des conclusions non fondées
Tests d’intrusion, documents ISO/IEC 27001, rapports fournisseurs et dossiers CE peuvent éviter des répétitions, mais ne prouvent pas seuls la conformité CRA.
- Ne réutilisez un rapport que pour produit/version, risque, exigence et méthode comparables; notez périmètre obsolète et nouveaux essais nécessaires.
- Rattachez composants tiers et dépendances logicielles à la propre analyse du fabricant; les certificats fournisseurs ne transfèrent pas automatiquement sa responsabilité.
- Alignez évaluation des risques, documentation technique et traitement des vulnérabilités avec la voie retenue.
6. Ordonner les décisions avant la mise en œuvre
Le conseil stratégique doit produire une feuille de route traçable, non promettre une approbation automatique.
- Établir un registre par produit des périmètres, rôles et exclusions; signaler les classements incertains.
- Rédiger une note motivée citant annexes, état des normes et procédure, y compris le recours éventuel à un organisme notifié.
- Prioriser les écarts d’annexe I, les dossiers et les processus de support; attribuer équipes et réutilisation des preuves.
- Activer séparément le dispositif de notification obligatoire depuis le 11 septembre 2026, puis planifier les travaux pour le 11 décembre 2027 en vérifiant transitions et changements par produit.
7. Frontière entre conseil et exécution
Cette page traite du choix stratégique en amont. La mise en œuvre, la coordination des essais et le dossier technique font l’objet d’une prestation distincte; le budget nécessite une analyse des facteurs de coûts. Exigez une classification motivée et les hypothèses non résolues.
Sources officielles primaires
Questions fréquentes
Un backend SaaS destiné à l’UE relève-t-il automatiquement du CRA?
Non. Vérifiez si le traitement à distance fait partie du produit à éléments numériques et est nécessaire à ses fonctions; un service autonome ne se confond pas avec du matériel. Étudiez l’architecture et les contrats.
La classe I autorise-t-elle toujours l’autoévaluation?
Non. Vérifiez les conditions de l’article 32, paragraphe 2, relatives aux normes harmonisées, aux spécifications communes ou à la certification applicable. À défaut, une procédure avec organisme notifié est requise, sauf si la dérogation spécifique de l’article 32, paragraphe 5, pour les logiciels libres et à code source ouvert s’applique.
L’usage de code libre exclut-il le produit final?
Non. La mise sur le marché commerciale et le rôle de l’entreprise comptent. Les activités non commerciales liées aux logiciels libres et les organismes qui soutiennent durablement le développement de logiciels libres et à code source ouvert nécessitent une analyse distincte.
Que faire des appareils déjà commercialisés dans l’UE?
Les obligations de signalement des fabricants s’appliquent depuis le 11 septembre 2026, y compris aux produits couverts déjà disponibles. Pour 2027, analysez première mise sur le marché, modifications substantielles ultérieures et règles transitoires.
Un test d’intrusion ou certificat ISO remplace-t-il l’évaluation CRA?
Non. Réutilisez les preuves pertinentes mais démontrez séparément champ d’application, risques, conditions de procédure, conformité et obligations sur le cycle de vie.