Catégories de produits importantes et critiques du CRA
Sytance · Mis à jour
Les produits importants et critiques sont des produits relevant du champ d’application du CRA dont la fonctionnalité principale correspond à une catégorie de l’annexe III ou IV. Le règlement d’exécution (UE) 2025/2392 de la Commission fournit les descriptions techniques permettant d’interpréter ces noms de catégories.
Descriptions techniques du règlement 2025/2392
Au plus tard le 11 décembre 2025, la Commission adopte un acte d’exécution précisant la description technique des catégories de produits comportant des éléments numériques des classes I et II figurant à l’annexe III, ainsi que la description technique des catégories de produits comportant des éléments numériques figurant à l’annexe IV. Cet acte d’exécution est adopté selon la procédure d’examen prévue à l’article 62, paragraphe 2.
Règlement (UE) 2024/2847, article 7, paragraphe 4
Le règlement 2025/2392 est cet acte d’exécution. Il ne remplace pas les annexes III ou IV. Il explique la signification technique des noms de catégories afin que le même produit soit classé de manière cohérente dans toute l’UE.
Les descriptions techniques et leur interprétation sont expliquées dans Descriptions techniques du règlement 2025/2392.
Fonctionnalité principale
La FAQ de la Commission résume la question : le fabricant doit examiner la fonctionnalité principale du produit. Une fonctionnalité interne ne suffit pas. Un produit ayant une autre finalité principale n’est pas classé comme important ou critique au seul motif qu’il comprend, intègre ou peut reproduire une fonction répertoriée.
Composant intégré dans un produit
Un navigateur intégré ne transforme pas à lui seul une application d’actualités en produit navigateur.
Matériel de sécurité intégré dans un appareil
La présence d’un élément sécurisé dans un ordinateur portable ne transforme pas à elle seule l’ordinateur en produit à élément sécurisé.
Capacité similaire
Un logiciel SOAR peut effectuer des tâches similaires à celles d’un SIEM sans avoir le SIEM comme fonctionnalité principale.
Produits importants
L’annexe III répartit les produits importants entre les classes I et II. La classe II est la plus stricte. La liste ci-dessous donne les noms des catégories ; les descriptions techniques figurent dans le règlement 2025/2392.
L’annexe III répertorie les catégories de classe I suivantes :
- Systèmes de gestion des identités et logiciels et matériels de gestion des accès privilégiés, notamment les lecteurs d’authentification et de contrôle d’accès, y compris biométriques
- Navigateurs autonomes et intégrés
- Gestionnaires de mots de passe
- Logiciels de recherche, de suppression ou de mise en quarantaine de logiciels malveillants
- Produits comportant des éléments numériques ayant pour fonction un réseau privé virtuel (VPN)
- Systèmes de gestion de réseaux
- Systèmes de gestion des informations et des événements de sécurité (SIEM)
- Gestionnaires de démarrage
- Logiciels d’infrastructure à clé publique et de délivrance de certificats numériques
- Interfaces réseau physiques et virtuelles
- Systèmes d’exploitation
- Routeurs, modems destinés à la connexion à Internet et commutateurs
- Microprocesseurs dotés de fonctionnalités liées à la sécurité
- Microcontrôleurs dotés de fonctionnalités liées à la sécurité
- Circuits intégrés spécifiques à une application (ASIC) et réseaux de portes programmables par l’utilisateur (FPGA) dotés de fonctionnalités liées à la sécurité
- Assistants virtuels généralistes pour la maison connectée
- Produits pour maison connectée dotés de fonctionnalités de sécurité, notamment serrures de porte connectées, caméras de sécurité, systèmes de surveillance de bébés et systèmes d’alarme
- Jouets connectés à Internet relevant de la directive 2009/48/CE du Parlement européen et du Conseil et dotés de fonctions interactives sociales (par exemple, parler ou filmer) ou de suivi de localisation
- Produits portables personnels conçus pour être portés ou placés sur le corps humain et destinés à la surveillance de la santé (par exemple, au suivi) auxquels les règlements (UE) 2017/745 ou (UE) 2017/746 du Parlement européen et du Conseil ne s’appliquent pas, ou produits portables personnels destinés à être utilisés par et pour des enfants
L’annexe III répertorie les catégories de classe II suivantes :
- Hyperviseurs et systèmes d’exécution de conteneurs prenant en charge l’exécution virtualisée de systèmes d’exploitation et d’environnements similaires
- Pare-feu, systèmes de détection et de prévention des intrusions
- Microprocesseurs résistants à l’altération
- Microcontrôleurs résistants à l’altération
Produits critiques
L’annexe IV est plus courte que l’annexe III. Elle couvre les produits dont le rôle de sécurité est particulièrement concentré, tels que le matériel résistant à l’altération, les passerelles de compteurs intelligents, les cartes à puce et les éléments sécurisés.
- Dispositifs matériels dotés de boîtiers de sécurité
- Passerelles de compteurs intelligents dans les systèmes de comptage intelligent au sens de l’article 2, point 23, de la directive (UE) 2019/944 du Parlement européen et du Conseil, et autres dispositifs à des fins de sécurité renforcée, notamment pour le traitement cryptographique sécurisé
- Cartes à puce ou dispositifs similaires, y compris les éléments sécurisés
Effet de la catégorie
La catégorie du produit détermine les voies d’évaluation utilisables pour démontrer la conformité à l’annexe I. Elle ne détermine pas si le produit relève du champ d’application et ne remplace pas l’évaluation des risques de cybersécurité.
- Les produits importants de classe I peuvent recourir au contrôle interne uniquement pour les exigences couvertes par des normes harmonisées appliquées, des spécifications communes ou un schéma de certification applicable ; une voie plus stricte est nécessaire dans les autres cas.
- Les produits importants de classe II suivent le module B plus C, le module H ou un schéma européen de certification de cybersécurité applicable.
- Les produits critiques suivent la certification prévue à l’article 8, paragraphe 1, lorsque cette voie est déclenchée ; sinon, ils suivent les voies de la classe II prévues à l’article 32, paragraphe 3.
- Les logiciels libres et open source importants de l’annexe III peuvent suivre les voies de l’article 32, paragraphe 1, si la documentation technique prévue à l’article 31 est publique lors de la mise sur le marché du produit.
Les détails des voies sont expliqués dans Évaluation de la conformité.