# Cyber Resilience Act : mon produit est-il concerné, et dans quelle catégorie ?

Source : https://consignestudio.fr/guides/cyber-resilience-act-produit-concerne/ · publié le 2026-10-27 · Antoine Despres, Consigne

Un produit relève du Cyber Resilience Act s'il comporte des éléments numériques, s'il peut se connecter à un appareil ou à un réseau et s'il est fourni dans le cadre d'une activité commerciale, sauf exclusion sectorielle. Sa catégorie dépend de sa fonction principale : par défaut, important de classe I ou II (annexe III) ou critique (annexe IV). Elle fixe la voie d'évaluation, de l'autoévaluation à l'organisme notifié. Le questionnaire ci-dessus vous donne une première réponse en six questions.

## Trois conditions pour être concerné

Le règlement (UE) 2024/2847 vise les **produits comportant des éléments numériques** mis à disposition sur le marché de l'Union. Trois questions suffisent pour un premier tri.

1. **Le produit contient-il du logiciel ou du matériel numérique ?** Logiciel installé, application mobile, micrologiciel, objet connecté, équipement industriel avec une partie logicielle : oui. Le texte vise les produits finaux comme les **composants mis séparément sur le marché**.
2. **Peut-il échanger des données avec un appareil ou un réseau ?** La Commission retient une connexion de données logique ou physique, **directe ou indirecte**. Un équipement relié seulement par une clé USB ou un câble de maintenance reste donc dans le champ.
3. **Est-il fourni dans le cadre d'une activité commerciale ?** Un produit qui n'est pas mis à disposition sur le marché, c'est-à-dire pas fourni dans le cadre d'une activité commerciale, n'est pas soumis au CRA.

### Et le logiciel en ligne ?

Un service purement en ligne (SaaS, PaaS, IaaS) relève en principe de la directive NIS 2, pas du CRA. En revanche, le **traitement de données à distance** est couvert quand il est conçu par ou pour le fabricant et que le produit ne peut pas remplir l'une de ses fonctions sans lui (considérants 11 et 12). Exemple donné par le texte : la fonction en nuage qui permet de piloter un objet domotique à distance.

## Les exclusions

Le CRA est un texte horizontal. Il s'efface devant des règles sectorielles qui traitent déjà la cybersécurité :

| Cas | Ce que dit le règlement |
|---|---|
| Dispositifs médicaux et de diagnostic in vitro | exclus quand les règlements (UE) 2017/745 ou 2017/746 s'appliquent (considérant 25) |
| Véhicules à moteur | exclus quand le règlement (UE) 2019/2144 s'applique (considérant 27) |
| Aviation civile | produits certifiés selon le règlement (UE) 2018/1139 exclus (considérant 27) |
| Deux et trois roues | certains produits relevant du règlement (UE) n° 168/2013, exclus par le règlement délégué (UE) 2025/1535 |
| Sécurité nationale et défense | produits développés ou modifiés exclusivement à ces fins (considérant 26) |
| Pièces de rechange | pièces destinées à réparer un produit déjà mis sur le marché (considérant 29) |
| Usage propre d'une administration | produit développé ou modifié par une entité publique exclusivement pour son propre usage (considérant 16) |

### Le logiciel libre

Un logiciel libre publié sans être **monétisé** n'est pas mis à disposition sur le marché (considérant 18). Le développeur qui contribue au code d'un projet dont il n'est pas responsable n'est pas visé, et le simple hébergement sur un dépôt ouvert non plus (considérant 20). À l'inverse, un logiciel libre vendu ou monétisé est un produit comme un autre.

> En cas de doute sur le périmètre, les lignes directrices publiées par la Commission le 27 juillet 2026 traitent en détail le traitement à distance, le logiciel libre et la modification substantielle. Elles ne sont pas contraignantes ; seul le texte du règlement fait foi.

## Votre rôle

| Rôle | Situation | Ce que vous portez |
|---|---|---|
| Fabricant | vous concevez ou faites concevoir le produit et le vendez sous votre nom ou votre marque | exigences essentielles, analyse de risques, dossier technique, évaluation de la conformité, déclaration UE, marquage CE, période de support, signalements |
| Importateur | vous mettez sur le marché de l'Union le produit d'un fabricant établi hors de l'Union | vérifier que le fabricant a fait son travail (évaluation, dossier, marquage CE), ne pas vendre un produit non conforme |
| Distributeur | vous revendez un produit déjà sur le marché | vérifier le marquage CE, les coordonnées du fabricant et de l'importateur, l'information utilisateur et la période de support |
| Steward de logiciel libre | personne morale qui soutient durablement un logiciel libre destiné à un usage commercial, sans en être le fabricant | politique de cybersécurité, coopération avec les autorités, signalement dans la mesure où il participe au développement ; pas d'amende administrative, pas de marquage CE |

Vendre sous votre propre marque un produit fabriqué par un autre fait de vous le fabricant (considérant 78).

## Les quatre catégories

La catégorie se décide sur la **fonction principale** du produit. Intégrer un composant important ne rend pas le produit important (considérant 45) : un automate qui embarque un pare-feu n'est pas un pare-feu. Les descriptions techniques détaillées sont dans le règlement d'exécution (UE) 2025/2392 du 28 novembre 2025.

### Importants, classe I (annexe III)

* systèmes de gestion des identités, logiciels et dispositifs de gestion des accès privilégiés, dont lecteurs d'authentification, de contrôle d'accès et biométriques ;
* navigateurs autonomes et intégrés ; gestionnaires de mots de passe ;
* logiciels qui recherchent, suppriment ou mettent en quarantaine des logiciels malveillants ;
* produits avec une fonction de réseau privé virtuel (VPN) ;
* systèmes de gestion des équipements de réseau ; systèmes de gestion des informations et des événements de sécurité (SIEM) ;
* gestionnaires de démarrage ; infrastructure à clé publique et logiciels d'émission de certificats ;
* interfaces réseau physiques et virtuelles ; systèmes d'exploitation ;
* routeurs, modems de connexion à l'internet et commutateurs ;
* microprocesseurs, microcontrôleurs, ASIC et FPGA dotés de fonctionnalités liées à la sécurité ;
* assistants virtuels polyvalents pour maison intelligente ; produits domestiques intelligents dotés de fonctionnalités de sécurité (serrures, caméras de sécurité, babyphones, alarmes) ;
* jouets connectés avec fonctions sociales interactives ou de localisation ;
* objets portables de suivi de la santé non couverts par les règlements sur les dispositifs médicaux, et objets portables destinés aux enfants.

### Importants, classe II (annexe III)

* hyperviseurs et systèmes d'exécution de conteneurs ;
* pare-feu, systèmes de détection et de prévention des intrusions ;
* microprocesseurs et microcontrôleurs résistants aux manipulations.

### Critiques (annexe IV)

* dispositifs matériels avec boîtier de sécurité ;
* passerelles pour compteur intelligent et autres dispositifs de sécurité avancée, dont le traitement cryptographique sécurisé ;
* cartes à puce et dispositifs similaires, dont les éléments sécurisés.

### Par défaut

Tout le reste : la grande majorité des produits. La Commission cite les puces mémoire, les applications mobiles, les enceintes connectées et les jeux vidéo.

## La voie d'évaluation de chaque catégorie

| Catégorie | Évaluation de la conformité |
|---|---|
| Par défaut | autoévaluation par le contrôle interne (module A), ou tiers si le fabricant le choisit |
| Importante, classe I | autoévaluation possible seulement avec une norme harmonisée, une spécification commune ou une certification européenne appliquée ; sinon organisme notifié (modules B et C, ou H) |
| Importante, classe II | organisme notifié (modules B et C, ou H), même avec une norme harmonisée, ou certification européenne lorsqu'elle existe |
| Critique | organisme notifié dans tous les cas, ou certification européenne ; un acte délégué peut l'imposer, au niveau d'assurance « substantiel » au moins |

Un logiciel libre de classe I ou II peut passer par l'autoévaluation s'il rend sa documentation technique publique (considérant 91).

## Le calendrier

| Date | Ce qui s'applique |
|---|---|
| 10 décembre 2024 | entrée en vigueur du règlement |
| 11 juin 2026 | dispositions sur la notification des organismes d'évaluation de la conformité (chapitre IV) |
| 11 septembre 2026 | signalement des vulnérabilités activement exploitées et des incidents graves, pour **tous** les produits sur le marché |
| 11 décembre 2027 | application générale : exigences essentielles, évaluation, déclaration UE, marquage CE |

L'ANSSI, autorité notifiante en France, indique une accréditation des organismes ouverte au second semestre 2026 et des premières notifications attendues fin 2026. Un produit de classe II ou critique a donc intérêt à réserver tôt son organisme notifié.

Un produit mis sur le marché avant le 11 décembre 2027 n'est soumis aux autres exigences que s'il subit ensuite une modification substantielle. Le signalement, lui, vaut déjà pour lui. Le détail des délais de 24 heures, 72 heures et du rapport final est dans le guide [Cyber Resilience Act : signaler une vulnérabilité exploitée en 24 heures](https://consignestudio.fr/guides/cyber-resilience-act-signalement-24-heures/).

## Ce qu'il faut préparer, quelle que soit la catégorie

* **Une nomenclature logicielle (SBOM)** qui recense les composants du produit, pour suivre les vulnérabilités qui apparaissent (considérant 77). Vous n'êtes pas tenu de la publier.
* **Une gestion des vulnérabilités** : veille sur les composants, triage documenté, correctifs, et une procédure de signalement qui tient en 24 heures.
* **Une documentation technique** avec l'analyse de risques de cybersécurité, préparée avant l'évaluation de la conformité.
* **Une période de support** fixée et affichée à l'achat, au mois près. Elle ne devrait pas être inférieure à cinq ans, sauf si le produit a une durée d'utilisation plus courte, et une durée plus courte doit être justifiée (considérant 60).

> Le questionnaire et ce guide donnent une première orientation. Ils ne remplacent ni la lecture du règlement et du règlement d'exécution (UE) 2025/2392, ni l'avis d'un juriste ou d'un organisme notifié.

## Tenir les preuves au quotidien

[Suivi CRA](https://consignestudio.fr/cyber-resilience-act-sbom/) prend le relais une fois la catégorie connue. Il génère la SBOM CycloneDX depuis dix formats de fichiers de verrouillage, la croise avec OSV et le catalogue KEV, tient le registre de triage, calcule les échéances de signalement et prépare le dossier technique de l'annexe VII, sur votre poste. Il ne tranche pas la qualification du produit, ne le rend pas conforme et ne remplace pas l'organisme notifié. Une édition libre (MIT) couvre la SBOM, le scan et le triage.

## Sources

- [Règlement (UE) 2024/2847 du 23 octobre 2024 (Cyber Resilience Act), texte au Journal officiel, considérants 11, 12, 15, 16, 18 à 20, 25 à 29, 45 à 47, 60, 77, 78 et 91](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ:L_202402847)
- [Règlement (UE) 2024/2847, version française](https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202402847)
- [Règlement d'exécution (UE) 2025/2392 de la Commission du 28 novembre 2025, description technique des produits importants et critiques](https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32025R2392)
- [Commission européenne, résumé du Cyber Resilience Act](https://digital-strategy.ec.europa.eu/fr/policies/cra-summary)
- [Commission européenne, évaluation de la conformité](https://digital-strategy.ec.europa.eu/en/policies/cra-conformity-assessment)
- [Commission européenne, CRA et logiciel libre](https://digital-strategy.ec.europa.eu/en/policies/cra-open-source)
- [Commission européenne, lignes directrices d'application du CRA (27 juillet 2026)](https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation)
- [ANSSI, questions fréquentes sur le CRA](https://cyber.gouv.fr/reglementation/cybersecurite-des-produits/cyber-resilience-act/questions-frequentes-sur-le-cra/)
- Textes relus le 28 octobre 2026