Provetry
ENDEDemander l’accès anticipé
Test gratuit
Demander l’accès anticipé

Provetry ouvre en novembre 2026. Le test CRA gratuit, les outils et les guides sont disponibles dès maintenant.

Produits importants et critiques du CRA : classes et conformité

9 min de lecture

Sur cette page
  1. Produits importants, classe I
  2. Produits importants, classe II
  3. Produits critiques
  4. Les procédures d’évaluation de la conformité
  5. Le piège de la classe I
  6. Comment trouver votre classe
  7. Ce que fait Provetry
  8. Sources

La plupart des produits couverts par le Cyber Resilience Act sont dans la catégorie par défaut, et leur fabricant évalue seul leur conformité. Quelques catégories sont mises à part, parce qu’une faille y aurait des effets plus larges : ce sont les produits importants (classe I ou classe II, annexe III) et critiques (annexe IV), dont le chemin vers le marquage CE fait davantage intervenir des tiers.

Ce qui décide de la classe, c’est la fonctionnalité de base du produit. Le règlement d’exécution (UE) 2025/2392, en vigueur depuis le 21 décembre 2025, décrit techniquement chaque catégorie, avec des exemples. Un produit qui contient seulement un composant d’une catégorie listée, comme une puce de routeur dans un téléviseur, n’est pas classé par ce composant.

Produits importants, classe I

L’annexe III, classe I liste :

  1. Les systèmes de gestion des identités et les logiciels et dispositifs de gestion des accès privilégiés, dont les lecteurs d’authentification et de contrôle d’accès et les lecteurs biométriques
  2. Les navigateurs autonomes et intégrés
  3. Les gestionnaires de mots de passe
  4. Les logiciels qui recherchent, suppriment ou mettent en quarantaine les logiciels malveillants
  5. Les produits ayant une fonction de réseau privé virtuel (VPN)
  6. Les systèmes de gestion de réseau (le texte français publié dit par erreur « gestion de la qualité » ; un rectificatif du Conseil le corrige)
  7. Les systèmes de gestion des informations et des événements de sécurité (SIEM)
  8. Les gestionnaires de démarrage
  9. Les infrastructures à clé publique et les logiciels d’émission de certificats numériques
  10. Les interfaces réseau physiques et virtuelles
  11. Les systèmes d’exploitation
  12. Les routeurs, les modems destinés à la connexion à Internet et les commutateurs
  13. Les microprocesseurs dotés de fonctionnalités liées à la sécurité
  14. Les microcontrôleurs dotés de fonctionnalités liées à la sécurité
  15. Les circuits intégrés spécifiques à l’application (ASIC) et les réseaux de portes programmables (FPGA) dotés de fonctionnalités liées à la sécurité
  16. Les assistants virtuels polyvalents pour maison intelligente
  17. Les produits domestiques intelligents dotés de fonctionnalités de sécurité, notamment les serrures, les caméras de sécurité, les systèmes de surveillance pour bébé et les systèmes d’alarme
  18. Les jouets connectés couverts par la directive 2009/48/CE dotés de caractéristiques sociales interactives (parler, filmer) ou de fonctions de localisation
  19. Les produits portables personnels, portés sur le corps ou placés sur lui, qui ont des fins de surveillance de la santé (hors dispositifs médicaux), et les produits portables personnels destinés aux enfants

Produits importants, classe II

  1. Les hyperviseurs et les systèmes d’exécution de conteneurs qui permettent l’exécution virtualisée de systèmes d’exploitation et d’environnements similaires
  2. Les pare-feu et les systèmes de détection et de prévention des intrusions
  3. Les microprocesseurs résistants aux manipulations
  4. Les microcontrôleurs résistants aux manipulations

Produits critiques

L’annexe IV liste :

  1. Les dispositifs matériels avec boîtier de sécurité
  2. Les passerelles de compteurs intelligents des systèmes de comptage intelligents, et les autres dispositifs destinés à des fins de sécurité avancées, dont le traitement cryptographique sécurisé
  3. Les cartes à puce ou dispositifs similaires, y compris les éléments sécurisés

Les procédures d’évaluation de la conformité

Les modules viennent de la boîte à outils générale de l’UE pour les produits :

  • Module A, contrôle interne de la production : le fabricant évalue lui-même la conformité et la documente.
  • Modules B + C : un organisme notifié examine le type de produit (examen UE de type), et le fabricant garantit que la production est conforme à ce type.
  • Module H : un organisme notifié évalue et surveille le système d’assurance qualité complète du fabricant.
  • Certification européenne de cybersécurité : un certificat au titre d’un schéma adopté en vertu du règlement sur la cybersécurité, au niveau d’assurance « substantiel » ou plus quand il est exigé.
Catégorie Procédures possibles
Par défaut Module A, ou l’une des autres si vous préférez
Importante, classe I Module A seulement si vous appliquez entièrement des normes harmonisées, des spécifications communes ou un schéma européen de certification (au moins « substantiel ») couvrant les exigences ; sinon B + C ou H
Importante, classe II B + C, H, ou un schéma européen de certification (au moins « substantiel »)
Critique Un certificat européen de cybersécurité quand la Commission l’exige par acte délégué ; sinon les procédures de la classe II

Les produits libres et open source de classe I ou II mis sur le marché peuvent utiliser le module A si leur documentation technique est rendue publique.

Le piège de la classe I

Pour la classe I, l’auto-évaluation dépend des normes harmonisées. Fin 2026, aucune norme harmonisée du CRA n’avait encore été publiée au Journal officiel, et les premières échéances des organismes de normalisation avaient glissé. Si aucune n’est publiée à temps pour votre produit, un produit de classe I aura besoin d’un organisme notifié à partir du 11 décembre 2027. Les États membres peuvent notifier des organismes depuis le 11 juin 2026, mais peu le seront avant fin 2026, et les places seront rares. Si votre produit est de classe I :

  • suivez dès maintenant les projets des normes concernées (série EN 40000, et la norme verticale de votre catégorie) ;
  • prévoyez un organisme notifié en solution de repli, et contactez-en un tôt ;
  • gardez votre documentation technique prête pour un examen extérieur.

Comment trouver votre classe

  1. Décrivez la fonctionnalité de base du produit en une phrase.
  2. Comparez-la aux descriptions techniques du règlement d’exécution (UE) 2025/2392, pas seulement aux noms courts des annexes.
  3. Si elle ne correspond à aucune catégorie, le produit est dans la catégorie par défaut.
  4. Notez le raisonnement dans votre documentation technique : une autorité de surveillance du marché peut le demander.

Notre questionnaire gratuit fait un premier tri en cinq minutes ; voir aussi Le CRA s’applique-t-il à votre produit ?.

Ce que fait Provetry

Chaque produit enregistre sa catégorie CRA, et le dossier de conformité (offres Pro et Consultant) montre les procédures ouvertes à cette catégorie, pose les questions de la documentation technique, et rédige le projet de déclaration UE de conformité.

Ce guide est une information générale, pas un conseil juridique.

Sources