Descriptions techniques des catégories de produits du CRA prévues par le règlement 2025/2392

Les systèmes de gestion des identités sont des produits comportant des éléments numériques qui fournissent des mécanismes d’authentification ou d’autorisation et peuvent également gérer le cycle de vie des justificatifs d’identité de personnes physiques, de personnes morales, de dispositifs ou de systèmes, par exemple leur enregistrement, leur attribution, leur maintenance et leur désinscription. Ces systèmes comprennent des systèmes de gestion des accès qui contrôlent l’accès de personnes physiques, de personnes morales, de dispositifs ou de systèmes à des ressources numériques ou à des lieux physiques.

Les logiciels de gestion des accès privilégiés sont des systèmes de gestion des accès qui contrôlent et surveillent les droits d’accès aux systèmes informatiques ou opérationnels (IT ou OT) et aux informations sensibles au sein d’une organisation, y compris les systèmes qui appliquent des politiques différenciées de contrôle d’accès aux utilisateurs privilégiés.

Cette catégorie comprend notamment les lecteurs d’authentification et de contrôle d’accès, les lecteurs biométriques, les logiciels d’authentification unique, de gestion fédérée des identités ou de mot de passe à usage unique, les dispositifs matériels d’authentification tels que les générateurs de numéros d’authentification de transaction (TAN), les logiciels d’authentification et les logiciels d’authentification multifacteur.

Produits logiciels comportant des éléments numériques qui permettent aux utilisateurs finaux d’accéder à des contenus et services web hébergés sur des serveurs connectés à des réseaux tels qu’internet, de les afficher et d’interagir avec eux. Ils comprennent généralement un moteur de navigateur qui interprète et affiche les contenus écrits dans un langage de balisage (par exemple HTML), prennent en charge des protocoles web (par exemple HTTP, HTTPS), peuvent exécuter des scripts et gérer les saisies des utilisateurs et stockent des données temporaires ou persistantes provenant des sites web (cookies).

Cette catégorie comprend notamment les applications autonomes ayant des fonctions de navigateur, les navigateurs intégrés destinés à un autre système ou à une autre application, ainsi que les navigateurs intégrant des agents d’IA.

Produits comportant des éléments numériques qui stockent des mots de passe localement sur un dispositif ou sur un serveur distant, et qui peuvent également générer et partager des mots de passe ou s’intégrer à des applications locales ou tierces pour leur utilisation.

Cette catégorie comprend notamment les gestionnaires de mots de passe locaux, ceux fournis sous forme d’extensions de navigateur, les gestionnaires de mots de passe d’entreprise et ceux reposant sur du matériel.

Produits logiciels comportant des éléments numériques, généralement appelés antivirus ou antimaliciels, qui détectent ou recherchent des logiciels ou codes malveillants sur des dispositifs, ou les suppriment ou les mettent en quarantaine afin de préserver l’intégrité, la confidentialité ou la disponibilité de ces dispositifs.

Dans le contexte de cette catégorie, un logiciel malveillant est un logiciel contenant des fonctions ou capacités malveillantes susceptibles de nuire directement ou indirectement à l’utilisateur et/ou au système informatique, comme les virus, vers, rançongiciels, logiciels espions et chevaux de Troie.

Cette catégorie comprend notamment les logiciels qui détectent ou recherchent des logiciels malveillants en temps réel ou manuellement, les outils de détection de rootkits et les disques de secours dont la fonctionnalité essentielle est de rechercher, supprimer ou mettre en quarantaine des logiciels malveillants.

Produits comportant des éléments numériques qui établissent un tunnel logique chiffré construit à partir des ressources système d’un réseau physique ou virtuel.

Cette catégorie comprend notamment les clients, les serveurs et les passerelles de réseau privé virtuel.

Produits comportant des éléments numériques qui gèrent des éléments de réseau connectés, tels que des serveurs, routeurs, commutateurs, postes de travail, imprimantes ou appareils mobiles, en les surveillant et en contrôlant leurs opérations et leur configuration réseau.

Cette catégorie comprend notamment les systèmes de gestion de bout en bout et les systèmes dédiés à la gestion de la configuration, comme les contrôleurs de réseaux définis par logiciel.

Produits comportant des éléments numériques qui collectent des données provenant de plusieurs sources, les analysent et les mettent en corrélation, puis les présentent sous forme d’informations exploitables à des fins de sécurité, par exemple pour la détection des menaces et des incidents, l’analyse forensique ou la conformité.

Produits logiciels comportant des éléments numériques qui gèrent le démarrage initial du système après sa mise sous tension ou son redémarrage en initialisant le matériel, en chargeant l’environnement du système d’exploitation ou les ressources système, ou en leur transférant le contrôle, et en sélectionnant les options de démarrage.

Cette catégorie comprend notamment les micrologiciels UEFI ainsi que les chargeurs d’amorçage à une ou plusieurs étapes.

Produits comportant des éléments numériques utilisés dans une infrastructure à clés publiques (PKI) pour gérer la validation, la création, l’émission, la distribution, la publication de l’état, le renouvellement ou la révocation de certificats numériques, ou la génération, le stockage, le séquestre, l’échange, la destruction ou la rotation des clés cryptographiques associées à ces certificats.

Cette catégorie comprend notamment les systèmes de gestion de clés, les systèmes de gestion des certificats numériques, les répondants du protocole OCSP (Online Certificate Status Protocol) et les solutions PKI tout-en-un.

Les interfaces réseau physiques sont des produits comportant des éléments numériques qui connectent directement un dispositif à un réseau au moyen d’une interface de programmation (API) fournie par les pilotes de l’interface. Elles fonctionnent généralement au niveau de la liaison de données et comportent des adaptateurs matériels vers des supports de transmission, accompagnés de micrologiciels, qui fonctionnent généralement au niveau physique et au niveau de la liaison de données.

Les interfaces réseau virtuelles sont des produits comportant des éléments numériques qui connectent directement ou indirectement un dispositif à un réseau au moyen d’une API qui émule celle des pilotes d’interfaces réseau physiques et fonctionne généralement au niveau de la liaison de données.

Cette catégorie comprend notamment les cartes réseau filaires et sans fil, les contrôleurs et adaptateurs pour Wi-Fi, Ethernet, IrDA, USB, Bluetooth, NearLink ou Fieldbus, ainsi que des produits autonomes exclusivement virtuels comme les cartes réseau virtuelles, les interfaces réseau de conteneur et les interfaces VPN.

Produits logiciels comportant des éléments numériques qui fournissent une interface abstraite avec le matériel sous-jacent et contrôlent l’exécution des logiciels. Ils peuvent également offrir des services tels que la gestion et la configuration des ressources informatiques, l’ordonnancement, le contrôle des entrées-sorties et la gestion des données, ainsi qu’une interface permettant aux applications d’interagir avec les ressources système et les périphériques.

Cette catégorie comprend notamment les systèmes d’exploitation en temps réel ainsi que les systèmes d’exploitation à usage général ou spécialisé.

Les routeurs sont des produits comportant des éléments numériques qui établissent et contrôlent le flux de données entre différents réseaux en sélectionnant des chemins à l’aide de mécanismes et d’algorithmes de protocoles de routage ; ils fonctionnent généralement au niveau réseau.

Cette catégorie comprend notamment les routeurs filaires et sans fil, les routeurs virtuels et les routeurs avec ou sans modem.

Les modems destinés à la connexion à internet sont des produits matériels comportant des éléments numériques qui utilisent des techniques de modulation et de démodulation numériques pour convertir les signaux analogiques en signaux numériques et inversement, aux fins de communications fondées sur IP.

Cette catégorie comprend notamment les modems à fibre, les modems DSL (Digital Subscriber Line), les modems câble (DOCSIS), les modems par satellite et les modems cellulaires.

Les commutateurs sont des produits comportant des éléments numériques qui assurent la connectivité entre des dispositifs en réseau grâce à des mécanismes d’acheminement de paquets et disposent d’un plan de gestion, généralement mis en œuvre au niveau de la liaison de données ou du réseau.

Cette catégorie comprend notamment les commutateurs gérés, intelligents, multicouches, de sécurité virtuels et programmables pour les réseaux définis par logiciel, ainsi que les ponts tels que les points d’accès sans fil.

Produits comportant des éléments numériques qui sont des circuits intégrés exécutant des fonctions de traitement central reposant sur une mémoire et des périphériques externes, y compris du microcode et d’autres micrologiciels de bas niveau. Ils fournissent en outre des fonctionnalités liées à la sécurité, telles que le chiffrement, l’authentification, le stockage sécurisé de clés, la génération de nombres aléatoires, un environnement d’exécution de confiance ou d’autres mécanismes de protection matérielle visant à sécuriser d’autres produits, réseaux ou services au-delà du microprocesseur lui-même, par exemple une chaîne de démarrage sécurisée, la virtualisation ou des interfaces de communication sécurisées.

Produits comportant des éléments numériques qui sont des circuits intégrés exécutant des fonctions de traitement central et intégrant une mémoire permettant la programmation du microcontrôleur, généralement ainsi que d’autres périphériques, y compris du microcode et d’autres micrologiciels de bas niveau. Ils fournissent en outre des fonctionnalités liées à la sécurité, telles que le chiffrement, l’authentification, le stockage sécurisé de clés, la génération de nombres aléatoires, un environnement d’exécution de confiance ou d’autres mécanismes de protection matérielle visant à sécuriser d’autres produits, réseaux ou services au-delà du microcontrôleur lui-même, par exemple une chaîne de démarrage sécurisée, la virtualisation ou des interfaces de communication sécurisées.

Les circuits intégrés spécifiques à une application (ASIC) dotés de fonctionnalités liées à la sécurité sont des produits comportant des éléments numériques constitués de circuits intégrés conçus, entièrement ou partiellement sur mesure, pour exécuter une fonction ou mettre en œuvre une application spécifique, y compris du microcode et d’autres micrologiciels de bas niveau. Ils fournissent en outre des fonctionnalités liées à la sécurité, telles que le chiffrement, l’authentification, le stockage sécurisé de clés, la génération de nombres aléatoires, un environnement d’exécution de confiance ou d’autres mécanismes de protection matérielle visant à sécuriser d’autres produits, réseaux ou services au-delà de l’ASIC lui-même, par exemple une chaîne de démarrage sécurisée, la virtualisation ou des interfaces de communication sécurisées.

Les réseaux de portes programmables (FPGA) dotés de fonctionnalités liées à la sécurité sont des produits comportant des éléments numériques constitués de circuits intégrés caractérisés par une matrice de blocs logiques configurables, conçus pour être reprogrammés après fabrication afin d’exécuter une fonction ou de mettre en œuvre une application spécifique, y compris du microcode et d’autres micrologiciels de bas niveau. Ils fournissent en outre des fonctionnalités liées à la sécurité, telles que le chiffrement, l’authentification, le stockage sécurisé de clés, la génération de nombres aléatoires, un environnement d’exécution de confiance ou d’autres mécanismes de protection matérielle visant à sécuriser d’autres produits, réseaux ou services au-delà du FPGA lui-même, par exemple une chaîne de démarrage sécurisée, la virtualisation ou des interfaces de communication sécurisées.

Produits comportant des éléments numériques qui communiquent sur l’internet public, directement ou par l’intermédiaire d’autres équipements, traitent des demandes, tâches ou questions formulées en langage naturel, par exemple par saisie audio ou écrite, et fournissent, sur cette base, un accès à d’autres services ou commandent les fonctions d’appareils connectés dans un environnement résidentiel.

Cette catégorie comprend notamment les enceintes connectées intégrant un assistant virtuel ainsi que les assistants virtuels autonomes qui répondent à cette description.

Produits comportant des éléments numériques qui protègent la sécurité physique des consommateurs dans un environnement résidentiel et peuvent être commandés ou gérés à distance par d’autres systèmes, ainsi que le matériel et les logiciels qui commandent ces produits de manière centralisée.

Cette catégorie comprend notamment les serrures intelligentes, les systèmes de surveillance des bébés, les systèmes d’alarme et les caméras de sécurité pour la maison.

Les jouets connectés à internet dotés de fonctions interactives sociales sont des produits comportant des éléments numériques relevant de la directive 2009/48/CE, qui communiquent sur l’internet public, directement ou par l’intermédiaire d’autres équipements, et intègrent des technologies permettant les communications entrantes et sortantes, telles qu’un clavier, un microphone, un haut-parleur ou une caméra.

Les jouets connectés à internet dotés de fonctions de suivi de la localisation sont des produits comportant des éléments numériques relevant de la directive 2009/48/CE, qui communiquent sur l’internet public, directement ou par l’intermédiaire d’autres équipements, et intègrent des technologies permettant de suivre ou de déduire la position géographique du jouet ou de son utilisateur. Un jouet qui détecte seulement, au moyen de capteurs, la proximité de l’utilisateur ou d’autres jouets n’est pas considéré comme doté de fonctions de suivi de la localisation.

Les produits portables personnels ayant une finalité de surveillance de la santé et destinés à être portés ou placés sur le corps humain sont des produits comportant des éléments numériques qui se portent directement sur le corps ou par l’intermédiaire de vêtements ou d’accessoires et peuvent détecter et traiter ensuite, régulièrement ou en continu, des informations relatives à la santé de l’utilisateur, y compris des paramètres corporels. Sont exclus les produits relevant du règlement (UE) 2017/745 ou du règlement (UE) 2017/746.

Cette catégorie comprend notamment les traqueurs d’activité, montres connectées, bijoux connectés, vêtements intelligents et vêtements de sport répondant à cette description.

Les produits portables personnels destinés à être utilisés par et pour des enfants sont des produits comportant des éléments numériques qui peuvent être portés ou placés sur le corps, directement ou par l’intermédiaire de vêtements ou d’accessoires, de personnes de moins de 14 ans.

Cette catégorie comprend notamment les produits portables de sécurité pour enfants.

Les hyperviseurs sont des produits logiciels comportant des éléments numériques qui abstraient et/ou allouent des ressources informatiques et permettent l’exécution, la gestion et l’orchestration de machines virtuelles séparées logiquement les unes des autres et/ou du matériel physique. Ils peuvent s’exécuter directement sur le matériel (bare metal), par-dessus un système d’exploitation ou au sein d’une autre machine virtuelle (virtualisation imbriquée).

Dans cette catégorie, une machine virtuelle est une séparation logique, définie par logiciel, d’un environnement informatique. Elle comprend un ensemble virtualisé de ressources matérielles (par exemple processeur, mémoire, stockage et interfaces réseau) et héberge généralement son propre système d’exploitation.

Cette catégorie comprend notamment les hyperviseurs de type 1 (bare metal), de type 2 (hébergés sur un système d’exploitation) et hybrides.

Les systèmes d’exécution de conteneurs sont des produits logiciels comportant des éléments numériques qui gèrent l’exécution et le cycle de vie de conteneurs fonctionnant comme des processus isolés sur un seul système d’exploitation hôte, allouent des ressources et permettent de gérer et d’orchestrer des conteneurs individuels.

Dans cette catégorie, un conteneur est un environnement d’exécution logiciel qui encapsule un ou plusieurs composants logiciels et leurs dépendances dans un paquet unique afin de permettre leur exécution indépendante et cohérente.

Les pare-feu sont des produits comportant des éléments numériques qui protègent un réseau ou un système connecté contre les accès non autorisés en surveillant et en limitant le trafic de données entrant et sortant.

Cette catégorie comprend notamment les pare-feu réseau et applicatifs, tels que les pare-feu pour applications web ou les filtres, ainsi que les passerelles antispam.

Les systèmes de détection des intrusions sont des produits comportant des éléments numériques qui surveillent le trafic après son entrée dans l’environnement réseau afin d’y repérer toute activité suspecte et de détecter ou déterminer qu’une intrusion a été tentée, est en cours ou a eu lieu sur un réseau ou système connecté.

Cette catégorie comprend notamment les systèmes de détection des intrusions réseau et hôte.

Les systèmes de prévention des intrusions sont des produits comportant des éléments numériques constitués d’un système de détection des intrusions qui réagit activement à une intrusion visant un réseau ou un système connecté.

Cette catégorie comprend notamment les systèmes de prévention des intrusions réseau et hôte.

Produits comportant des éléments numériques qui sont des microprocesseurs dotés des fonctionnalités liées à la sécurité visées au point 13 du tableau « Classe I » de la présente annexe, notamment la détection, la résistance ou la réaction à la falsification, et conçus en outre pour assurer un niveau de protection AVA_VAN 2 ou 3, conformément aux Critères communs et à la Méthodologie commune d’évaluation.

Produits comportant des éléments numériques qui sont des microcontrôleurs dotés des fonctionnalités liées à la sécurité visées au point 14 du tableau « Classe I » de la présente annexe, notamment la détection, la résistance ou la réaction à la falsification, et conçus en outre pour assurer un niveau de protection AVA_VAN 2 ou 3, conformément aux Critères communs et à la Méthodologie commune d’évaluation.

Produits matériels comportant des éléments numériques qui stockent, traitent ou gèrent de manière sécurisée des données sensibles, ou réalisent des opérations cryptographiques, et qui se composent de plusieurs éléments distincts. Ils comprennent une enveloppe matérielle physique qui permet de détecter toute altération, d’y résister ou d’y réagir en tant que contre-mesure aux attaques physiques.

Cette catégorie comprend notamment les terminaux de paiement physiques, les modules matériels de sécurité qui génèrent et gèrent des éléments cryptographiques et les tachygraphes répondant à la description ci-dessus.

Les passerelles de compteurs intelligents sont des produits comportant des éléments numériques qui contrôlent les communications entre les composants des systèmes de comptage intelligent visés à l’article 2, point 23, de la directive (UE) 2019/944, ou qui y sont connectés, et les tiers autorisés, tels que les fournisseurs d’énergie. Elles collectent, traitent et stockent des données de comptage ou des données à caractère personnel, protègent les flux de données et d’informations en prenant en charge des besoins cryptographiques spécifiques, comme le chiffrement et le déchiffrement, intègrent des fonctions de pare-feu et permettent de contrôler d’autres dispositifs.

Cette catégorie comprend notamment les passerelles associées aux systèmes de comptage intelligent de l’électricité visés à l’article 2, point 23, de la directive (UE) 2019/944. Elle peut également comprendre les passerelles utilisées dans d’autres systèmes de comptage intelligent qui mesurent la consommation d’autres sources d’énergie, telles que le gaz ou la chaleur, à condition que la passerelle réponde à cette description.

Les éléments sécurisés sont des microcontrôleurs ou des microprocesseurs dotés de fonctionnalités liées à la sécurité, notamment la détection, la résistance ou la réaction à la falsification. Ils stockent, traitent ou gèrent généralement des opérations cryptographiques ou des données sensibles, telles que des justificatifs d’identité ou de paiement. Ils sont conçus pour assurer au moins le niveau de protection AVA_VAN.4, conformément aux Critères communs ou à la Méthodologie commune d’évaluation. Ils peuvent être constitués de silicium discret ou intégrés dans des systèmes sur puce (SoC). Ils peuvent intégrer un environnement applicatif ou un système d’exploitation et inclure une ou plusieurs applications.

Cette catégorie comprend notamment les modules de plateforme sécurisée (TPM) et les cartes UICC (Universal Integrated Circuit Card) intégrées.

Les cartes à puce ou dispositifs similaires sont des éléments sécurisés intégrés dans un matériau support, comme le plastique ou le bois, en forme de carte, ou des éléments sécurisés intégrés dans des matériaux supports d’autres formes.

Cette catégorie comprend notamment les documents d’identité et de voyage, les cartes de signature qualifiée, les UICC remplaçables, les cartes de paiement physiques, les cartes d’accès physiques, les cartes de tachygraphe numérique et les bracelets intégrant des éléments sécurisés de paiement.