Classification des produits au titre du règlement de l’UE sur la cyberrésilience
Sytance · Mis à jour
La classification au titre du CRA correspond à la catégorie attribuée à un produit comportant des éléments numériques relevant de son champ d’application. Un produit reste dans la catégorie par défaut, sauf si sa fonctionnalité principale correspond à une catégorie de produits importants de l’annexe III ou à une catégorie de produits critiques de l’annexe IV.
Résultats de la classification
La classification intervient après l’analyse du champ d’application. Il faut d’abord déterminer si le produit est un produit comportant des éléments numériques mis à disposition sur le marché de l’UE et non exclu au titre de l’article 2. Il est ensuite classé dans la catégorie du CRA correspondant à sa fonctionnalité principale.
Catégorie par défaut
La catégorie résiduelle des produits relevant du champ d’application dont la fonctionnalité principale ne correspond à aucune catégorie de l’annexe III ou de l’annexe IV.
Produit important de classe I
Les catégories de classe I de l’annexe III sont des produits importants. Le CRA les distingue des produits de classe II.
Produit important de classe II
Les produits de classe II de l’annexe III sont des produits importants soumis à des procédures d’évaluation de la conformité plus strictes.
Produits critiques
Les catégories de l’annexe IV sont des produits critiques. Elles figurent sur une liste distincte de celle des produits importants de l’annexe III.
Fonctionnalité principale
Les produits comportant des éléments numériques dont la fonctionnalité principale relève d’une catégorie de produits énumérée à l’annexe III sont considérés comme des produits importants comportant des éléments numériques et sont soumis aux procédures d’évaluation de la conformité visées à l’article 32, paragraphes 2 et 3. L’intégration d’un produit comportant des éléments numériques dont la fonctionnalité principale relève d’une catégorie de produits énumérée à l’annexe III n’a pas, à elle seule, pour effet de soumettre le produit dans lequel il est intégré aux procédures d’évaluation de la conformité visées à l’article 32, paragraphes 2 et 3.
Règlement (UE) 2024/2847, article 7, paragraphe 1
Les articles 7 et 8 reposent sur la même idée : le produit doit avoir la fonctionnalité principale d’une catégorie répertoriée. L’évaluation porte sur la fonction pour laquelle le produit dans son ensemble est mis sur le marché. Il ne suffit pas que le produit comprenne une fonctionnalité, une bibliothèque, un semi-conducteur ou un module qui pourrait, à lui seul, relever d’une catégorie répertoriée.
Cette règle fonctionne dans les deux sens. Des fonctionnalités supplémentaires n’empêchent pas de considérer un produit comme important si sa fonction principale correspond toujours à une catégorie de l’annexe III. Un routeur peut intégrer des fonctions de pare-feu tout en étant classé selon sa fonctionnalité principale de routeur. En revanche, un produit dont la finalité principale est différente ne devient pas un produit répertorié au seul motif qu’il peut effectuer certaines des mêmes tâches.
Composants intégrés
Une application d’actualités ne devient pas un produit de type navigateur simplement parce qu’elle intègre un composant de navigateur. Un ordinateur portable ne devient pas un produit à élément sécurisé simplement parce qu’il contient un élément sécurisé.
Fonctionnalités qui se recoupent
Un logiciel SOAR peut présenter des capacités proches d’un SIEM, mais la FAQ de la Commission considère généralement que le SOAR ne relève pas de la catégorie SIEM lorsque sa fonctionnalité principale est différente.
Produits importants de l’annexe III
L’annexe III répertorie les produits importants comportant des éléments numériques et les répartit entre les classes I et II. Le règlement 2025/2392 fournit la description technique de chaque catégorie répertoriée. Il s’agit d’une décision de classement par catégorie, et non d’une hiérarchisation générale de tous les risques de cybersécurité.
Classe I
Produits importants pour lesquels le contrôle interne peut rester possible lorsque la voie prévue par les normes, les spécifications communes ou la certification pertinentes est appliquée.
Classe II
Produits importants qui doivent suivre des procédures de conformité plus strictes.
Produits critiques de l’annexe IV
L’annexe IV répertorie les produits critiques comportant des éléments numériques. Cette liste est plus restreinte que celle de l’annexe III et vise des produits ayant des fonctions de boîtier de sécurité, de passerelle de compteur intelligent, de traitement cryptographique sécurisé, de carte à puce ou d’élément sécurisé. L’article 8 peut, par acte délégué, rendre la certification pertinente pour ces produits.
Référence des descriptions techniques
Le règlement d’exécution (UE) 2025/2392 de la Commission fournit les descriptions techniques des catégories des annexes III et IV ; les règles de lecture détaillées et les descriptions complètes sont expliquées dans Descriptions techniques du règlement 2025/2392.
Classification et conformité
La classification ne prouve pas la conformité à l’annexe I. Elle indique au fabricant quelle procédure prévue à l’article 32 peut être disponible ou obligatoire. Les procédures elles-mêmes sont expliquées dans Évaluation de la conformité.
Classification et évaluation des risques
La FAQ de la Commission distingue la classification de l’évaluation des risques de cybersécurité du fabricant. Les exigences de l’annexe I doivent toujours être appliquées selon les risques, qu’il s’agisse d’un produit par défaut, important ou critique.
Deux produits peuvent avoir la même classification et nécessiter malgré tout des mesures de sécurité différentes en raison de leur destination, de leurs usages prévisibles et de leurs conditions d’utilisation. La classification détermine la procédure d’évaluation de la conformité ; l’évaluation des risques explique comment le produit et les processus du fabricant satisfont aux exigences du CRA qui lui sont applicables.