Évaluation de la conformité au titre du règlement de l’UE sur la cyberrésilience
Sytance · Mis à jour
L’évaluation de la conformité du CRA est la procédure juridique utilisée pour démontrer qu’un produit relevant du champ d’application et les processus du fabricant respectent l’annexe I. La catégorie du produit détermine les voies d’évaluation disponibles ou obligatoires.
Objet de l’évaluation
Le fabricant doit soumettre le produit comportant des éléments numériques et les processus qu’il a mis en place à une évaluation de la conformité afin de déterminer si les exigences essentielles de cybersécurité énoncées à l’annexe I sont satisfaites.
Règlement (UE) 2024/2847, article 32, paragraphe 1
L’article 32 porte sur les deux volets de l’annexe I. Le produit doit satisfaire aux exigences de cybersécurité applicables au produit de la partie I. Les processus du fabricant en matière de gestion des vulnérabilités doivent satisfaire à la partie II.
Une évaluation positive étaye la documentation technique, la déclaration UE de conformité et le marquage CE. Elle ne modifie pas la catégorie du produit. Cette catégorie détermine les voies d’évaluation ouvertes.
Voies d’évaluation de la conformité
L’article 32 prévoit quatre voies. Le choix dépend principalement de la catégorie du produit, de l’utilisation de normes harmonisées ou de spécifications communes et de la possibilité de recourir à un schéma de certification de cybersécurité applicable.
Module A
Contrôle interne de la production. Le fabricant évalue le produit et déclare sa conformité sous sa propre responsabilité.
Module B plus module C
Un organisme notifié examine le type. Le fabricant contrôle ensuite la production par rapport à ce type.
Module H
Assurance qualité complète. Un organisme notifié évalue le système qualité du fabricant pour les produits relevant du champ d’application.
Certification de cybersécurité
Un schéma européen de certification de cybersécurité applicable peut être utilisé lorsque l’article 27 ou l’article 8 ouvre cette voie.
Classification et choix de la voie
Les produits par défaut peuvent suivre la voie du contrôle interne. Des voies d’évaluation plus strictes s’appliquent aux produits importants et critiques, y compris aux produits de classe I dont les exigences applicables ne sont pas entièrement couvertes par les normes, spécifications communes ou certifications pertinentes.
Les produits par défaut peuvent suivre la voie de l’article 32, paragraphe 1, y compris le module A. Le fabricant peut néanmoins choisir une voie plus stricte.
Les produits de classe I peuvent rester soumis à l’article 32, paragraphe 1, uniquement pour les exigences couvertes par les normes harmonisées appliquées, les spécifications communes ou une certification d’un niveau d’assurance au moins substantiel. Pour les autres exigences, le module B plus C ou le module H est nécessaire.
Les produits de classe II suivent le module B plus C, le module H ou un schéma européen de certification de cybersécurité applicable d’un niveau d’assurance au moins substantiel.
Les produits critiques de l’annexe IV sont soumis à la certification prévue à l’article 8, paragraphe 1, lorsque cette voie est déclenchée. Si les conditions de l’article 8, paragraphe 1, ne sont pas remplies, ils suivent les voies de la classe II prévues à l’article 32, paragraphe 3.
Les logiciels libres et open source importants de l’annexe III peuvent suivre les voies de l’article 32, paragraphe 1, si la documentation technique prévue à l’article 31 est publique lorsque le produit est mis sur le marché.
Normes et certification
L’article 27 explique comment les normes, les spécifications communes et la certification de cybersécurité peuvent contribuer à la conformité. Ces éléments sont différents et n’ont pas tous le même effet juridique.
- Une norme harmonisée ne confère une présomption de conformité que pour les exigences de l’annexe I couvertes par la référence publiée de cette norme.
- Une spécification commune peut également conférer une présomption de conformité pour les exigences qu’elle couvre.
- Un certificat européen de cybersécurité peut conférer une présomption de conformité pour les exigences couvertes.
- Un certificat prévu par un acte délégué au titre de l’article 27, paragraphe 9, d’un niveau d’assurance au moins substantiel peut supprimer l’obligation d’une évaluation par un tiers pour les exigences correspondantes.
Documentation, déclaration et marquage CE
Avant la mise sur le marché du produit, le fabricant établit la documentation technique et la déclaration UE de conformité. La déclaration confirme que les exigences applicables de l’annexe I sont satisfaites. La documentation est mise à jour, le cas échéant, pendant la période de support.
- La documentation technique contient les données ou détails utilisés pour démontrer que le produit et les processus satisfont à l’annexe I.
- La déclaration UE de conformité suit la structure type de l’annexe V ou, lorsque cette option est utilisée, la procédure simplifiée de l’annexe VI.
- Le marquage CE est apposé avant la mise sur le marché du produit ; pour un logiciel, il peut figurer sur la déclaration ou sur le site Web qui accompagne le produit logiciel.
- Si le module H est utilisé, le numéro d’identification de l’organisme notifié suit le marquage CE.