Le règlement de l’UE sur la cyberrésilience en tant que législation produit

Législation horizontale sur les produits

Le CRA n’est pas une loi générale sur la cybersécurité des entreprises : c’est une législation sur les produits. Il détermine si un produit comportant des éléments numériques peut être mis à disposition sur le marché de l’UE, quel acteur est responsable de chaque obligation et si le produit ainsi que les processus du fabricant satisfont aux exigences de cybersécurité.

règles relatives à la mise à disposition sur le marché des produits comportant des éléments numériques afin de garantir la cybersécurité de ces produits ;

Règlement (UE) 2024/2847, article 1, point a)

Le titre juridique qualifie ces règles d’exigences horizontales de cybersécurité. « Horizontales » signifie que le CRA ne vise pas un seul secteur. Il peut s’appliquer à de nombreux types de produits dès lors qu’ils relèvent de son champ d’application et qu’aucune exclusion ou règle particulière de chevauchement ne s’applique.

Pourquoi ce règlement existe

Les considérants décrivent deux problèmes principaux. Premièrement, de nombreux produits comportant des éléments numériques sont arrivés chez les utilisateurs avec une sécurité faible, des vulnérabilités connues ou des mises à jour de sécurité mal définies. Deuxièmement, les utilisateurs ne disposaient souvent pas d’informations suffisantes pour choisir et utiliser les produits en toute sécurité.

L’UE a cherché à établir un cadre uniforme d’exigences de cybersécurité applicables aux produits afin de réduire la fragmentation réglementaire dans le marché intérieur. Le CRA relie donc la cybersécurité à la mise sur le marché des produits, en complément des autres législations de l’UE applicables aux produits, à l’exploitation des réseaux et à la sécurité organisationnelle.

Modèle du marquage CE

Le CRA utilise le modèle existant du marquage CE. Il ne crée pas de nouveau logo de cybersécurité. Pour un produit déjà marqué CE au titre d’une autre législation de l’UE sur les produits, le CRA ajoute la cybersécurité au même ensemble de documents de conformité du produit.

Le marquage CE est soumis aux principes généraux énoncés à l’article 30 du règlement (CE) nº 765/2008.

Règlement (UE) 2024/2847, article 29

Le Guide bleu explique la signification du marquage CE : le fabricant déclare que le produit respecte les législations de l’Union applicables qui exigent ce marquage. Celui-ci n’est ni un label de qualité ni une indication d’origine, et il ne signifie pas qu’une autorité publique a testé chaque produit.

La cybersécurité dans le dossier produit

Le CRA ajoute des exigences de cybersécurité au système existant de conformité des produits. Les fabricants peuvent suivre les procédures juridiques habituelles, mais doivent y ajouter le contenu technique pertinent.

• L’annexe I, partie I, définit les exigences de cybersécurité applicables au produit lui-même.
• L’annexe I, partie II, définit les exigences relatives au processus de gestion des vulnérabilités du fabricant.
• La documentation technique doit montrer comment le produit et les processus satisfont aux exigences applicables.
• L’évaluation de la conformité vérifie le produit et les processus du fabricant au regard de ces exigences.
• La déclaration UE de conformité et le marquage CE relient le résultat du CRA au système habituel de conformité des produits dans l’UE.

Liens avec les autres législations sur les produits

Le CRA ne remplace pas les législations existantes sur les produits. Une machine connectée, un produit radio, un jouet, un contrôleur industriel ou un accessoire de dispositif médical peut déjà être réglementé par un autre régime de l’UE. Si le CRA s’applique également, le fabricant doit le traiter avec l’autre acte juridique applicable.

Certains chevauchements sont directement traités par le CRA. Les groupes de produits ci-dessous ont leurs propres règles d’exclusion ou de limitation :

• dispositifs médicaux et dispositifs médicaux de diagnostic in vitro ;
• produits soumis à la réception par type des véhicules à moteur ;
• produits certifiés dans le cadre réglementaire de l’aviation civile ;
• équipements marins ;
• pièces de rechange identiques ;
• produits développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense ;
• produits spécifiquement conçus pour traiter des informations classifiées.

Les autres chevauchements fonctionnent différemment. Selon le produit et le risque réglementé, le CRA peut compléter des textes tels que :

• le règlement Machines ;
• le règlement relatif à la sécurité générale des produits ;
• la directive sur les équipements radioélectriques ;
• le RGPD ;
• le règlement sur les données ;
• le règlement sur l’intelligence artificielle ;
• NIS2.