Classes de produits du CRA : par défaut, important ou critique

Le Cyber Resilience Act (CRA), ou règlement sur la cyberrésilience, range les produits en quatre groupes : les produits par défaut, les produits importants de classe I et de classe II (annexe III), et les produits critiques (annexe IV). La grande majorité des objets connectés sont des produits par défaut : vous évaluez vous-même leur conformité. Plus la classe est haute, plus un tiers doit intervenir.

C’est la fonction principale du produit qui décide de sa classe, pas les composants qu’il contient (article 7, paragraphe 1).

La procédure selon la classe

Classe	Procédure d’évaluation de la conformité (article 32)
Par défaut	Contrôle interne par le fabricant (module A)
Importante, classe I	Module A seulement si vous appliquez en entier une norme harmonisée, une spécification commune ou une certification européenne de niveau au moins « substantiel ». Sinon, un tiers : examen UE de type puis contrôle de la production (modules B et C), ou assurance qualité complète (module H)
Importante, classe II	Toujours un tiers : modules B et C, module H, ou certification européenne de niveau au moins « substantiel »
Critique	Certification européenne si un acte délégué l’exige ; sinon, les mêmes procédures que la classe II

Les modules B, C et H font intervenir un organisme notifié, c’est-à-dire un auditeur agréé par un État membre. Aucune norme harmonisée CRA n’étant encore publiée au Journal officiel, un produit de classe I passe pour l’instant lui aussi par un tiers.

Annexe III, classe I : 19 catégories

1. Systèmes de gestion des identités et logiciels et dispositifs de gestion des accès privilégiés, dont lecteurs d’authentification, de contrôle d’accès et biométriques
2. Navigateurs autonomes et intégrés
3. Gestionnaires de mots de passe
4. Logiciels qui recherchent, suppriment ou mettent en quarantaine des logiciels malveillants
5. Produits avec une fonction de réseau privé virtuel (VPN)
6. Systèmes de gestion du réseau (la version française publiée au Journal officiel écrit « systèmes de gestion de la qualité » ; la version anglaise dit « network management systems »)
7. Systèmes de gestion des informations et des événements de sécurité (SIEM)
8. Gestionnaires de démarrage
9. Infrastructures à clé publique et logiciels d’émission de certificats numériques
10. Interfaces réseau physiques et virtuelles
11. Systèmes d’exploitation
12. Routeurs, modems destinés à la connexion à internet, et commutateurs
13. Microprocesseurs dotés de fonctions liées à la sécurité
14. Microcontrôleurs dotés de fonctions liées à la sécurité
15. Circuits ASIC et FPGA dotés de fonctions liées à la sécurité
16. Assistants virtuels polyvalents pour maison intelligente
17. Produits domestiques intelligents dotés de fonctions de sécurité : serrures, caméras de sécurité, babyphones, systèmes d’alarme
18. Jouets connectés avec des fonctions sociales interactives (parler, filmer) ou de localisation
19. Objets portables personnels de suivi de santé hors dispositifs médicaux, et objets portables destinés aux enfants

Annexe III, classe II : 4 catégories

1. Hyperviseurs et systèmes d’exécution de conteneurs
2. Pare-feu, systèmes de détection et de prévention des intrusions
3. Microprocesseurs résistants aux manipulations
4. Microcontrôleurs résistants aux manipulations

Annexe IV, produits critiques : 3 catégories

1. Dispositifs matériels avec boîtier de sécurité
2. Passerelles pour compteurs intelligents et autres dispositifs de sécurité avancée, y compris pour le traitement cryptographique sécurisé
3. Cartes à puce et dispositifs similaires, y compris les éléments sécurisés

La règle de la fonction principale

Intégrer un composant important dans votre produit ne rend pas votre produit important (article 7, paragraphe 1). Le règlement d’exécution (UE) 2025/2392, adopté le 28 novembre 2025, donne la description technique de chaque catégorie et des exemples. Il explique par exemple qu’une application d’actualités qui intègre un navigateur ne devient pas un « navigateur », et qu’un smartphone n’est pas un « système d’exploitation » même s’il en contient un.

L’inverse vaut aussi : un routeur qui intègre un pare-feu reste dans la catégorie des routeurs, en classe I. Ses fonctions supplémentaires ne le font pas sortir de la catégorie.

Deux cas concrets :

• Une caméra de sécurité pour la maison figure en classe I, point 17. Sa fonction principale est la sécurité du foyer.
• Une prise connectée ou un capteur de température n’apparaissent dans aucune liste. Ce sont, a priori, des produits par défaut. Ils doivent quand même respecter les 22 exigences de l’annexe I.

Ces exemples restent indicatifs. La décision vous revient, et pour un produit de classe II ou critique, un organisme notifié tranchera avec vous.

Les listes peuvent changer

La Commission peut ajouter, déplacer ou retirer des catégories par acte délégué, avec en général une période de transition d’au moins 12 mois (article 7, paragraphe 3). Pour les produits critiques, un acte délégué peut rendre la certification européenne obligatoire, avec au moins six mois de transition (article 8, paragraphe 1).

Pourquoi la classe compte tôt

Si votre produit doit passer par un organisme notifié, comptez le temps de trouver un auditeur, de lui envoyer le dossier et d’obtenir son examen avant le 11 décembre 2027. Les règles qui permettent de notifier ces organismes s’appliquent depuis le 11 juin 2026. En France, c’est l’ANSSI qui les notifie ; voyez l’ANSSI et le CRA. Les frais d’évaluation doivent tenir compte des besoins des petites entreprises (article 32, paragraphe 6).

Ce que fait Proofsheet

Le test de classe de produit est gratuit. Vous répondez à quelques questions sur la fonction principale de votre produit, et le test indique sa classe probable d’après les annexes III et IV et le règlement d’exécution (UE) 2025/2392. Il dit « probable », jamais « certain », et il renvoie vers un organisme notifié si le résultat est la classe II ou critique.

Une fois la classe connue, vous envoyez votre fichier et l’application génère les preuves techniques pour l’annexe I, quelle que soit la procédure. C’est une preuve technique, pas un certificat juridique.

Faire le test de classe de produit, ou lisez la déclaration UE de conformité.