Délimiter le produit avant de choisir les essais
La commercialisation d’une serrure connectée dans l’UE ne se résume pas à obtenir un « certificat CE ». Une serrure Bluetooth à piles peut être à la fois un équipement radio, un équipement électrique, un produit de sécurité numérique et un élément de porte. L’analyse doit porter sur le modèle complet, ses communications, son logiciel et la porte visée, et non sur le seul certificat du module radio.
Délimiter le produit avant de choisir les essais
Décrivez chaque référence, version du micrologiciel et ensemble vendu. Serrure, passerelle facultative, application, adaptateur et cylindre vendu séparément peuvent relever de classifications différentes.
- Radio : BLE, Wi‑Fi, Thread/Zigbee, NFC, fréquences, puissance, antenne, restrictions nationales et passerelle.
- Connectivité : la serrure échange-t-elle des données internet directement ou via téléphone/passerelle ? Distinguer ouverture distante et locale.
- Données : identités, clés temporaires, journaux d’accès, biométrie, cloud, conservation et responsable.
- Installation : motorisation ajoutée ou serrure électromécanique complète ; issue de secours, panne de pile, déverrouillage manuel.
- Ensemble vendu : piles, chargeur, emballage, marque, premier État membre de vente et importateur.
Version sans radio : une serrure électronique à clavier ne relève pas de la RED du seul fait d’une application mobile ou d’un accessoire séparé. Pour un appareil électronique concerné, examiner la directive CEM 2014/30/UE ; la directive basse tension 2014/35/UE ne vise que les équipements concernés fonctionnant entre 50 et 1 000 V en courant alternatif ou 75 et 1 500 V en courant continu, sous réserve des exclusions. Pour une serrure radio complète, les objectifs de sécurité électrique et de CEM relèvent déjà de la RED : ne pas appliquer automatiquement ces procédures en double au même appareil.
Matrice des régimes européens applicables à la serrure
| Régime / condition | Conséquence | Preuve / décision |
|---|---|---|
| RED 2014/53/UE – équipement radio | Vise normalement la serrure finale émettant ou recevant volontairement des ondes : sécurité, CEM, spectre. Les objectifs de sécurité RED s’appliquent sans seuil de tension. | Architecture RF, essais radio/CEM/sécurité, normes harmonisées citées au JO, déclaration UE et CE. |
| Cybersécurité RED – internet/données/paiement | Depuis le 1er août 2025, 2022/30 active l’art. 3(3)(d) pour l’équipement radio connecté, (e) selon les données traitées, (f) pour les transferts de fonds/valeur. Pas pour toute radio sans distinction. | Schéma des connexions, analyse des clés distantes, applicabilité EN 18031 et exclusions. |
| RoHS 2011/65/UE – électronique | En principe pertinente pour la serrure électronique dans son champ : restriction de substances, selon catégories et exemptions. | Déclarations matières/composants et preuve concernant le produit final. |
| DEEE 2012/19/UE – fin de vie | Enregistrement national éventuel du producteur, financement de collecte et poubelle barrée ; il ne s’agit pas d’une seconde certification CE. | Catégorie DEEE, responsabilités REP par pays et symbole de collecte. |
| Piles 2023/1542 – batteries fournies | Vérifier leur catégorie et les obligations ; la démontabilité/remplaçabilité des batteries portables (art. 11) s’applique à partir du 18 février 2027 sous réserve d’exceptions. | Fiche pile, filière déchets, notice et revue de conception à venir. |
| RGPD 2016/679 – données personnelles | Comptes, clés numériques, biométrie ou historique attribuable à une personne imposent une analyse des rôles, bases légales, information et sécurité ; le RGPD n’est pas le CE. | Flux et responsables, information, accès, durées de conservation et contrats. |
| CRA 2024/2847 – sécurité numérique | L’annexe III désigne les produits de sécurité de la maison connectée, dont les serrures intelligentes, comme produits importants de classe I, mais le classement n’est pas automatique. Selon le règlement d’exécution 2025/2392 (catégorie 17), le produit numérique doit protéger la sécurité physique de consommateurs dans un cadre résidentiel et pouvoir être commandé ou géré à distance depuis d’autres systèmes; les contrôleurs centraux sont aussi visés. Une serrure réservée aux hôtels ou dépourvue de cette commande ne relève pas automatiquement de la catégorie 17: examiner le produit complet et les autres catégories CRA. Obligations principales en principe dès le 11 décembre 2027; signalements de l’art. 14 depuis le 11 septembre 2026, y compris pour des produits déjà commercialisés relevant du CRA (art. 69 § 3). | Consigner l’usage résidentiel/professionnel, la gestion à distance, la fonction principale, la classification 2025/2392, les signalements et la future procédure. |
| Bâtiment/évacuation et RSGP 2023/988 | Une installation annoncée pour porte coupe-feu ou issue de secours implique une analyse distincte du produit de construction, de la quincaillerie et des règles d’installation. Le RSGP complète les risques non couverts. | Allégations, EN 14846 et dispositifs d’évacuation, analyse de défaillance, limites de pose. |
| Emballages 2025/40 | Le règlement PPWR s’applique progressivement, en principe depuis le 12 août 2026 ; les exigences et la REP nationales sont distinctes du dossier RED. | Composition de l’emballage, données fournisseur, REP et calendrier des marquages. |
Ne pas confondre deux critères : la catégorie 17 du CRA concerne la commande ou la gestion à distance par un autre système de produits protégeant les consommateurs à domicile. Contrairement au critère cyber de la RED, cette description n’exige pas une connexion à internet. Une serrure BLE pilotée localement par téléphone peut donc devoir être examinée au titre du CRA, classe I, catégorie 17, même si elle n’est pas connectée à internet au sens du règlement RED 2022/30. Le qualificatif « intelligente » ne suffit pas.
Internet, données personnelles et paiements : trois déclencheurs distincts
Une application sur téléphone ne suffit pas à établir que la serrure est « connectée à internet » au sens du règlement délégué : déterminer si le matériel radio peut échanger des données internet lui-même, directement ou via un dispositif intermédiaire, selon l’architecture réelle. Le règlement délégué 2026/339 abroge les exigences cyber 2022/30 à compter du 11 décembre 2027, lors du démarrage des obligations principales du CRA ; la surveillance des produits soumis à ces règles et mis sur le marché du 1er août 2025 au 10 décembre 2027 est maintenue.
| Version | Question au titre de RED 3(3) | Vérification indispensable |
|---|---|---|
| BLE local uniquement ; application sans transfert internet de données | La RED de base demeure ; internet sur le téléphone ne prouve pas à lui seul la connexion de la serrure. | Prouver le fonctionnement hors ligne et examiner les autres catégories. |
| Passerelle cloud ; ouverture distante ou invités | La connexion active potentiellement (d) et, selon le traitement de données concernées, (e). | Tracer serrure–hub–cloud, authentification, correctifs, révocation et journalisation. |
| Empreintes conservées localement | Les biométries soulèvent des questions de données et d’accès physique, sans établir automatiquement la connexion internet. | Traitement biométrique, rôles, ouverture de secours et autres catégories RED (e). |
| Paiement ou transfert de valeur depuis la serrure | Le point (f) suppose un appareil radio connecté permettant les transferts de fonds/valeur ; un abonnement payé sur un site externe ne suffit pas. | Fonction de transfert, EN 18031-3 et réserves publiées au JO. |
Quincaillerie, évacuation et risques mécaniques
Une résistance à l’effraction alléguée ne prouve pas l’aptitude à une porte coupe-feu ou une issue de secours. EN 14846 concerne certaines serrures et gâches électromécaniques, pas toutes les motorisations ajoutées. Vérifiez la réglementation des produits de construction ainsi que les justificatifs portant sur l’ensemble de porte. Évaluer la sortie côté intérieur, le secours mécanique, la batterie vide, le pêne bloqué, l’alarme incendie et la compatibilité du bloc-porte. Aucune aptitude à l’évacuation sans preuve pour la configuration installée.
Dossier de preuves techniques de la serrure
| Pièce / responsable | Contenu à démontrer |
|---|---|
| Identification finale – fabricant | Versions, portes, alimentation, bandes radio, hub, application, logiciels et accessoires. |
| Cartographie juridique – conformité | Décisions datées pour RED, cyber, RoHS, piles, déchets, emballages, RGPD, CRA et porte. |
| Rapports radio/CEM/sécurité – laboratoire | Antenne, boîtier et alimentation finaux, risques et normes harmonisées retenues. |
| Modèle de menaces – sécurité | Appairage, expiration/révocation des clés, ouverture abusive, mises à jour OTA, panne cloud, mots de passe. |
| Essais mécaniques – ingénierie | Sortie en panne de pile, pêne coincé ou incendie, restrictions de pose et essais. |
| Documents fournisseurs – achats | Déclarations RoHS, piles et modifications ; le CE du module radio ne suffit pas. |
| Déclaration et marquages – fabricant/importateur | Déclaration UE signée, identification, CE/RED et notices dans les langues nécessaires. |
| Suivi post-commercialisation – responsable | Signalements de vulnérabilités, corrections/rappels, assistance, versions et REP. |
Responsable de la déclaration et recours à un organisme notifié
Le titulaire de marque qui vend la serrure finie sous son nom est généralement fabricant, même s’il sous-traite l’assemblage. Pour les produits couverts, un opérateur économique établi dans l’UE est requis ; l’importateur possède aussi des obligations de vérification et de traçabilité. Au titre de la RED, le fabricant conserve dossier technique et déclaration UE pendant dix ans après mise sur le marché.
Le CE suit l’évaluation de conformité ; il n’existe pas de « certificat CE » universel délivré par l’UE. L’article 17 de la RED permet un contrôle interne pour l’article 3(1). Pour les exigences spectrales et cyber activées des articles 3(2)/(3), l’application intégrale des normes harmonisées publiées au JO détermine l’accès à ce contrôle ou la nécessité d’un organisme notifié. Les EN 18031 sont publiées avec restrictions par la décision 2025/138. Le futur parcours CRA classe I se traite séparément.
Pour un produit CRA de classe I, le contrôle interne selon l’art. 32 § 2 n’est possible que si les normes harmonisées, spécifications communes ou schémas de certification de cybersécurité admissibles sont entièrement appliqués. À défaut, ou en cas d’application partielle, une procédure tierce B+C ou H est requise pour les exigences concernées. Une décision relative à l’organisme notifié sous RED ne vaut pas décision CRA.
Étiquetage et contrôles avant commercialisation
- Figer serrure, passerelle, piles, adaptateur, micrologiciel et fonctionnalités cloud vendus.
- Clore l’analyse des règles et de l’organisme notifié avant la déclaration.
- Faire correspondre RF, CEM, sécurité, substances, cybersécurité et mécanique à la version finale.
- Vérifier CE, modèle, fabricant/importateur, fréquences/puissance, instructions et informations RED.
- Fournir les instructions et avertissements dans les langues exigées dans chaque État cible.
- Contrôler séparément DEEE, piles, emballages, REP et étape PPWR en vigueur.
- Éprouver perte du téléphone, ouverture hors ligne et correctifs ; aucune publicité « issue de secours » sans justificatif.
Trois configurations et décisions de mise sur le marché
| Configuration | Parcours initial | Blocage de lancement |
|---|---|---|
| Motorisation BLE locale à piles échangeables | RED, probablement RoHS, puis piles, DEEE, emballages, risques résiduels. Justifier l’absence de connexion internet. | Pas de preuves radio/hors ligne ou de déverrouillage manuel fiable. |
| Serrure Wi‑Fi/cloud avec clés invitées | RED et 2022/30 selon cas, RGPD, RoHS, déchets, emballages et préparation CRA. | Révocation, mises à jour, limites EN 18031 ou données non étudiées. |
| Serrure d’hôtel destinée aux issues de secours | Parcours précédents plus évaluation de quincaillerie, évacuation et porte complète. | Sortie et compatibilité du bloc-porte non prouvées ou revendication feu non justifiée. |
Maîtriser les changements après le lancement
Reliez chaque pièce au matériel et au micrologiciel évalués. Réexaminer avant la série suivante si :
- Puce RF, antenne, alimentation ou boîtier changent → revoir radio, CEM, sécurité et RED.
- Passerelle, ouverture distante ou paiement ajoutés → revoir 2022/30 et protections des données.
- Biométrie, analyses ou hébergement hors UE changent → réévaluer RGPD et sécurité.
- Porte, boîtier de serrure, promesse d’évacuation ou chimie de pile changent → réévaluer risques et dossiers environnementaux.
Sources officielles et textes applicables
Les textes officiels fondent l’analyse. Une norme ne donne une présomption de conformité que dans sa portée et sous les réserves publiées au Journal officiel.
- Directive équipements radioélectriques
- Exigences déléguées de cybersécurité radio
- Modification de la date d’application
- Normes harmonisées et réserves
- Règlement sur la cyberrésilience
- Restrictions de substances dangereuses
- Déchets d’équipements électriques
- Batteries et déchets de batteries
- Protection des données personnelles
- Sécurité générale des produits
- Emballages et déchets d’emballages
- Opérateurs économiques responsables dans l’UE
- Procédure officielle de marquage CE
- Abrogation et transition vers le CRA
- Définition des catégories CRA selon le règlement 2025/2392
- Commission européenne : déclarations CRA
- Directive CEM (appareils sans radio)
- Directive basse tension (plages de tension)
Questions fréquentes propres aux serrures connectées
Le marquage CE du module Bluetooth couvre-t-il la serrure complète ?
Non. La serrure finale, antenne, boîtier, alimentation et logiciel nécessitent leur propre évaluation et déclaration.
Le BLE sans Wi‑Fi exclut-il toujours les obligations cyber de la RED ?
Non. Vérifier les échanges internet via téléphone/passerelle et les autres catégories réglementées.
Un organisme notifié est-il nécessaire pour toute serrure ?
Non. Cela dépend des exigences RED applicables et des normes utilisées ; la CRA suit son propre classement.
Une serrure ordinaire peut-elle être annoncée pour les issues de secours ?
Uniquement avec des preuves pour la porte, sa quincaillerie et la réglementation des évacuations.
RGPD et cybersécurité produit sont-ils identiques ?
Non. RED/CRA concernent la sécurité du produit ; le RGPD encadre le traitement de données personnelles et les droits des personnes.
Toute serrure électronique, même réservée aux hôtels, relève-t-elle automatiquement de la classe I CRA ?
Non. Il faut lire l’annexe III avec la catégorie 17 du règlement 2025/2392: sécurité physique des consommateurs en milieu résidentiel et commande ou gestion à distance depuis un autre système. Une serrure professionnelle ou isolée doit être analysée séparément; l’absence de classe I catégorie 17 n’exclut pas automatiquement le CRA.