Mon produit est-il concerné par le CRA ?

1. Nature du produit 2. Mode de fourniture 3. Régime particulier 4. Votre position 5. Fonction principale du produit 6. Norme harmonisée ou certification européenne appliquée ?

Questionnaire traité dans votre navigateur : rien n'est envoyé. Règlement (UE) 2024/2847, règlement d'exécution (UE) 2025/2392 et résumé de la Commission européenne. Résultat indicatif : il ne remplace ni la lecture du règlement, ni l'avis d'un juriste ou d'un organisme notifié. La catégorie se juge sur la fonction principale : intégrer un composant important ne rend pas le produit important.

Trois conditions pour être concerné

Le règlement (UE) 2024/2847 vise les produits comportant des éléments numériques mis à disposition sur le marché de l'Union. Trois questions suffisent pour un premier tri.

Le produit contient-il du logiciel ou du matériel numérique ? Logiciel installé, application mobile, micrologiciel, objet connecté, équipement industriel avec une partie logicielle : oui. Le texte vise les produits finaux comme les composants mis séparément sur le marché.
Peut-il échanger des données avec un appareil ou un réseau ? La Commission retient une connexion de données logique ou physique, directe ou indirecte. Un équipement relié seulement par une clé USB ou un câble de maintenance reste donc dans le champ.
Est-il fourni dans le cadre d'une activité commerciale ? Un produit qui n'est pas mis à disposition sur le marché, c'est-à-dire pas fourni dans le cadre d'une activité commerciale, n'est pas soumis au CRA.

Et le logiciel en ligne ?

Un service purement en ligne (SaaS, PaaS, IaaS) relève en principe de la directive NIS 2, pas du CRA. En revanche, le traitement de données à distance est couvert quand il est conçu par ou pour le fabricant et que le produit ne peut pas remplir l'une de ses fonctions sans lui (considérants 11 et 12). Exemple donné par le texte : la fonction en nuage qui permet de piloter un objet domotique à distance.

Les exclusions

Le CRA est un texte horizontal. Il s'efface devant des règles sectorielles qui traitent déjà la cybersécurité :

Cas	Ce que dit le règlement
Dispositifs médicaux et de diagnostic in vitro	exclus quand les règlements (UE) 2017/745 ou 2017/746 s'appliquent (considérant 25)
Véhicules à moteur	exclus quand le règlement (UE) 2019/2144 s'applique (considérant 27)
Aviation civile	produits certifiés selon le règlement (UE) 2018/1139 exclus (considérant 27)
Deux et trois roues	certains produits relevant du règlement (UE) n° 168/2013, exclus par le règlement délégué (UE) 2025/1535
Sécurité nationale et défense	produits développés ou modifiés exclusivement à ces fins (considérant 26)
Pièces de rechange	pièces destinées à réparer un produit déjà mis sur le marché (considérant 29)
Usage propre d'une administration	produit développé ou modifié par une entité publique exclusivement pour son propre usage (considérant 16)

Le logiciel libre

Un logiciel libre publié sans être monétisé n'est pas mis à disposition sur le marché (considérant 18). Le développeur qui contribue au code d'un projet dont il n'est pas responsable n'est pas visé, et le simple hébergement sur un dépôt ouvert non plus (considérant 20). À l'inverse, un logiciel libre vendu ou monétisé est un produit comme un autre.

Votre rôle

Rôle	Situation	Ce que vous portez
Fabricant	vous concevez ou faites concevoir le produit et le vendez sous votre nom ou votre marque	exigences essentielles, analyse de risques, dossier technique, évaluation de la conformité, déclaration UE, marquage CE, période de support, signalements
Importateur	vous mettez sur le marché de l'Union le produit d'un fabricant établi hors de l'Union	vérifier que le fabricant a fait son travail (évaluation, dossier, marquage CE), ne pas vendre un produit non conforme
Distributeur	vous revendez un produit déjà sur le marché	vérifier le marquage CE, les coordonnées du fabricant et de l'importateur, l'information utilisateur et la période de support
Steward de logiciel libre	personne morale qui soutient durablement un logiciel libre destiné à un usage commercial, sans en être le fabricant	politique de cybersécurité, coopération avec les autorités, signalement dans la mesure où il participe au développement ; pas d'amende administrative, pas de marquage CE

Vendre sous votre propre marque un produit fabriqué par un autre fait de vous le fabricant (considérant 78).

Les quatre catégories

La catégorie se décide sur la fonction principale du produit. Intégrer un composant important ne rend pas le produit important (considérant 45) : un automate qui embarque un pare-feu n'est pas un pare-feu. Les descriptions techniques détaillées sont dans le règlement d'exécution (UE) 2025/2392 du 28 novembre 2025.

Importants, classe I (annexe III)

systèmes de gestion des identités, logiciels et dispositifs de gestion des accès privilégiés, dont lecteurs d'authentification, de contrôle d'accès et biométriques ;
navigateurs autonomes et intégrés ; gestionnaires de mots de passe ;
logiciels qui recherchent, suppriment ou mettent en quarantaine des logiciels malveillants ;
produits avec une fonction de réseau privé virtuel (VPN) ;
systèmes de gestion des équipements de réseau ; systèmes de gestion des informations et des événements de sécurité (SIEM) ;
gestionnaires de démarrage ; infrastructure à clé publique et logiciels d'émission de certificats ;
interfaces réseau physiques et virtuelles ; systèmes d'exploitation ;
routeurs, modems de connexion à l'internet et commutateurs ;
microprocesseurs, microcontrôleurs, ASIC et FPGA dotés de fonctionnalités liées à la sécurité ;
assistants virtuels polyvalents pour maison intelligente ; produits domestiques intelligents dotés de fonctionnalités de sécurité (serrures, caméras de sécurité, babyphones, alarmes) ;
jouets connectés avec fonctions sociales interactives ou de localisation ;
objets portables de suivi de la santé non couverts par les règlements sur les dispositifs médicaux, et objets portables destinés aux enfants.

Importants, classe II (annexe III)

hyperviseurs et systèmes d'exécution de conteneurs ;
pare-feu, systèmes de détection et de prévention des intrusions ;
microprocesseurs et microcontrôleurs résistants aux manipulations.

Critiques (annexe IV)

dispositifs matériels avec boîtier de sécurité ;
passerelles pour compteur intelligent et autres dispositifs de sécurité avancée, dont le traitement cryptographique sécurisé ;
cartes à puce et dispositifs similaires, dont les éléments sécurisés.

Par défaut

Tout le reste : la grande majorité des produits. La Commission cite les puces mémoire, les applications mobiles, les enceintes connectées et les jeux vidéo.

La voie d'évaluation de chaque catégorie

Catégorie	Évaluation de la conformité
Par défaut	autoévaluation par le contrôle interne (module A), ou tiers si le fabricant le choisit
Importante, classe I	autoévaluation possible seulement avec une norme harmonisée, une spécification commune ou une certification européenne appliquée ; sinon organisme notifié (modules B et C, ou H)
Importante, classe II	organisme notifié (modules B et C, ou H), même avec une norme harmonisée, ou certification européenne lorsqu'elle existe
Critique	organisme notifié dans tous les cas, ou certification européenne ; un acte délégué peut l'imposer, au niveau d'assurance « substantiel » au moins

Un logiciel libre de classe I ou II peut passer par l'autoévaluation s'il rend sa documentation technique publique (considérant 91).

Le calendrier

Date	Ce qui s'applique
10 décembre 2024	entrée en vigueur du règlement
11 juin 2026	dispositions sur la notification des organismes d'évaluation de la conformité (chapitre IV)
11 septembre 2026	signalement des vulnérabilités activement exploitées et des incidents graves, pour tous les produits sur le marché
11 décembre 2027	application générale : exigences essentielles, évaluation, déclaration UE, marquage CE

L'ANSSI, autorité notifiante en France, indique une accréditation des organismes ouverte au second semestre 2026 et des premières notifications attendues fin 2026. Un produit de classe II ou critique a donc intérêt à réserver tôt son organisme notifié.

Un produit mis sur le marché avant le 11 décembre 2027 n'est soumis aux autres exigences que s'il subit ensuite une modification substantielle. Le signalement, lui, vaut déjà pour lui. Le détail des délais de 24 heures, 72 heures et du rapport final est dans le guide Cyber Resilience Act : signaler une vulnérabilité exploitée en 24 heures.

Ce qu'il faut préparer, quelle que soit la catégorie

Une nomenclature logicielle (SBOM) qui recense les composants du produit, pour suivre les vulnérabilités qui apparaissent (considérant 77). Vous n'êtes pas tenu de la publier.
Une gestion des vulnérabilités : veille sur les composants, triage documenté, correctifs, et une procédure de signalement qui tient en 24 heures.
Une documentation technique avec l'analyse de risques de cybersécurité, préparée avant l'évaluation de la conformité.
Une période de support fixée et affichée à l'achat, au mois près. Elle ne devrait pas être inférieure à cinq ans, sauf si le produit a une durée d'utilisation plus courte, et une durée plus courte doit être justifiée (considérant 60).

Tenir les preuves au quotidien

Suivi CRA prend le relais une fois la catégorie connue. Il génère la SBOM CycloneDX depuis dix formats de fichiers de verrouillage, la croise avec OSV et le catalogue KEV, tient le registre de triage, calcule les échéances de signalement et prépare le dossier technique de l'annexe VII, sur votre poste. Il ne tranche pas la qualification du produit, ne le rend pas conforme et ne remplace pas l'organisme notifié. Une édition libre (MIT) couvre la SBOM, le scan et le triage.

Cyber Resilience Act : mon produit est-il concerné, et dans quelle catégorie ?