Marquage CE et déclaration UE de conformité avec le CRA

À partir du 11 décembre 2027, un produit comportant des éléments numériques mis sur le marché de l’UE doit porter le marquage CE, et son fabricant doit avoir signé une déclaration UE de conformité. Ce sont les deux aboutissements visibles du Cyber Resilience Act : l’évaluation des risques, les exigences essentielles de l’annexe I, la documentation technique et l’évaluation de la conformité y mènent toutes.

Pour les fabricants de matériel, le marquage CE est familier. Pour les éditeurs de logiciels, il est nouveau, et le CRA l’adapte aux produits qui n’ont pas de boîte.

L’ordre des choses

1. Évaluer les risques de cybersécurité et respecter les exigences essentielles de l’annexe I.
2. Établir la documentation technique (annexe VII).
3. Mener l’évaluation de la conformité qui correspond à la classe du produit : auto-évaluation pour la plupart, organisme notifié pour certains.
4. Établir et signer la déclaration UE de conformité.
5. Apposer le marquage CE.
6. Tenir la documentation et la déclaration à la disposition des autorités.

La déclaration UE de conformité

La déclaration est un court document dans lequel le fabricant affirme, sous sa seule responsabilité, que les exigences essentielles sont respectées (article 28). L’annexe V en fixe le contenu :

1. Le produit comportant des éléments numériques (nom, type et toute autre identification)
2. Le nom et l’adresse du fabricant ou de son mandataire
3. Une mention indiquant que la déclaration est établie sous la seule responsabilité du fournisseur
4. L’objet de la déclaration, identifié de façon à permettre sa traçabilité (une photographie peut être jointe)
5. Une mention indiquant que l’objet est conforme à la législation d’harmonisation de l’Union applicable
6. Les références des normes harmonisées, spécifications communes ou certifications utilisées
7. Le cas échéant, l’organisme notifié (nom et numéro), la procédure d’évaluation suivie et le certificat délivré
8. Des informations complémentaires : signé par et au nom de, lieu et date d’émission, nom et fonction, signature

Quelques règles pratiques :

• Une seule déclaration pour toutes les législations de l’UE qui s’appliquent au produit. Un appareil connecté relevant du CRA et de la directive sur les équipements radioélectriques reçoit une déclaration unique qui couvre les deux.
• Les langues : elle doit être traduite dans la ou les langues exigées par chaque État membre où le produit est mis à disposition.
• La tenir à jour : une nouvelle version du produit qui change ce qui a été déclaré demande une déclaration mise à jour.
• Une version simplifiée (annexe VI) peut accompagner le produit : une phrase disant que le produit est conforme au règlement (UE) 2024/2847, avec l’adresse Internet où lire la déclaration complète.

Le marquage CE

Les règles générales du règlement (CE) n° 765/2008 s’appliquent, avec des règles propres au CRA sur l’endroit où l’apposer (article 30) :

• De façon visible, lisible et indélébile sur le produit.
• Quand ce n’est pas possible ou pas justifié par la nature du produit, sur l’emballage et dans la déclaration UE de conformité.
• Pour un logiciel, le marquage CE figure sur la déclaration UE de conformité ou sur le site Internet qui accompagne le logiciel, par exemple la page du produit ou de téléchargement. Un lien depuis l’écran « à propos » ou la documentation aide les utilisateurs à le trouver.
• Suivi du numéro d’identification de l’organisme notifié quand celui-ci intervient dans la procédure d’assurance complète de la qualité (module H).
• Apposé avant la mise sur le marché du produit.

Combien de temps le garder

La documentation technique et la déclaration UE de conformité doivent rester à la disposition des autorités de surveillance du marché pendant au moins dix ans après la mise sur le marché du produit, ou pendant la période d’assistance si elle est plus longue (article 13, paragraphe 13).

Les produits déjà sur le marché

Les produits mis sur le marché avant le 11 décembre 2027 n’ont pas besoin de déclaration ni de marquage CE au titre du CRA, sauf s’ils sont modifiés substantiellement ensuite. Une unité mise sur le marché après cette date en a besoin, même si le modèle est plus ancien. Voir le calendrier du CRA.

Ce que fait Provetry

Le dossier de conformité de Provetry (offres Pro et Consultant) rassemble la documentation technique de chaque produit, montre les procédures ouvertes à sa classe, et rédige le projet de déclaration UE de conformité à partir de vos réponses, que vous vérifiez, traduisez si besoin et signez.

Ce guide est une information générale, pas un conseil juridique.

Sources

• Règlement (UE) 2024/2847, le Cyber Resilience Act, articles 13, 28, 29, 30 et 69, annexes V, VI et VII
• Règlement (CE) n° 765/2008, article 30 sur le marquage CE
• Commission européenne : Guide bleu relatif à la mise en œuvre de la réglementation de l’UE sur les produits