Déclaration UE de conformité CRA : modèle et guide de rédaction étape par étape

Chaque produit comportant des éléments numériques a besoin d'une Déclaration UE de conformité avant de pouvoir légalement porter le marquage CE. La DoC est votre déclaration formelle que le produit répond aux exigences CRA. Vous êtes légalement responsable de son exactitude. Ce guide fournit un modèle complet et explique chaque élément requis.

Qu'est-ce que la déclaration UE de conformité ?

La Déclaration UE de conformité est un document juridique formel par lequel le fabricant déclare qu'un produit est conforme à la législation UE applicable. Elle est obligatoire pour tous les produits comportant des éléments numériques avant qu'ils puissent porter le marquage CE. Pour les produits CRA, elle doit indiquer :

• Le produit répond aux exigences essentielles de cybersécurité (Annexe I)
• L'évaluation de conformité a été effectuée
• Le fabricant assume la responsabilité légale

Sans DoC signée, votre produit ne peut pas porter le marquage CE et ne peut pas être légalement mis sur le marché de l'UE.

Que requiert le CRA dans la DoC ?

Base légale

L'Article 28 du CRA spécifie les exigences de la DoC, référençant la structure de l'Annexe V. La DoC doit être :

• Établie avant la mise sur le marché (Article 13(12))
• Mise à jour le cas échéant lorsque le produit ou son statut de conformité évolue (Article 28(2))
• Fournie dans la ou les langues requises par chaque État membre où le produit est commercialisé (Article 28(2))
• Conservée pendant au moins 10 ans après la mise sur le marché, ou pendant la durée de la période d’assistance, selon la durée la plus longue (Article 13(13))

Remarque : L'Article 28(3) permet aux fabricants soumis à plusieurs règlements UE d'établir une DoC combinée unique couvrant tous les actes applicables. Voir la variation du modèle « Plusieurs Règlements » ci-dessous.

Éléments requis

Remarque : Un numéro de déclaration n'est pas requis par l'Annexe V, mais est fortement recommandé pour le contrôle de version et le suivi interne.

Modèle complet de DoC

Utilisez ce modèle comme point de départ. Personnalisez les sections entre crochets pour votre produit.

Remarque : La section 3 du modèle contient une phrase verbatim juridiquement requise (Annexe V, point 3). Ne la paraphrasez pas :

« This declaration of conformity is issued under the sole responsibility of the provider. »

═══════════════════════════════════════════════════════════════
           DÉCLARATION UE DE CONFORMITÉ
                (Cyber Resilience Act)
═══════════════════════════════════════════════════════════════

N° de déclaration : [DoC-PRODUIT-AAAA-NNN]
Date d'émission :   [JJ mois AAAA]

───────────────────────────────────────────────────────────────
1. FABRICANT
───────────────────────────────────────────────────────────────

Nom :              [Raison sociale]
Adresse :          [Adresse postale]
                   [Code postal, Ville]
                   [Pays]
Contact :          [Courriel / Téléphone]
Site web :         [URL]

───────────────────────────────────────────────────────────────
2. IDENTIFICATION DU PRODUIT
───────────────────────────────────────────────────────────────

Nom du produit :     [Nom du produit]
Modèle/Type :        [Numéro de modèle / Désignation de type]
Version matérielle : [Version matérielle, le cas échéant]
Version logicielle : [Version logicielle/firmware]
Lot/Série :          [Plage de numéros de lot ou format de numéro de série]
Photo du produit :   [Photographie optionnelle pour la traçabilité, si appropriée]

Description du produit :
[Brève description du produit et de son usage prévu,
suffisante pour identifier le produit de manière non équivoque]

───────────────────────────────────────────────────────────────
3. DÉCLARATION
───────────────────────────────────────────────────────────────

La présente déclaration de conformité est établie sous
la seule responsabilité du fournisseur.

L'objet de la déclaration décrit ci-dessus est conforme
à la législation d'harmonisation de l'Union pertinente :

    • Règlement (UE) 2024/2847 du Parlement européen
      et du Conseil du 23 octobre 2024 établissant des
      exigences horizontales en matière de cybersécurité
      pour les produits comportant des éléments numériques
      (Cyber Resilience Act)

    [• Autre législation applicable, p. ex. :
    • Directive 2014/53/UE (Directive Équipements Radioélectriques)
    • Règlement (UE) 2023/1230 (Règlement Machines)
    • etc.]

───────────────────────────────────────────────────────────────
4. ÉVALUATION DE CONFORMITÉ
───────────────────────────────────────────────────────────────

Procédure d'évaluation de conformité appliquée :

    [Choisissez une option :]

    ☐ Module A (Contrôle Interne de la Production)
      Basé sur l'Annexe VIII du Règlement (UE) 2024/2847

    ☐ Module B + C (Examen UE de Type + Conformité au Type)
      Basé sur l'Annexe VIII du Règlement (UE) 2024/2847
      Organisme Notifié : [Nom], N° [XXXX]
      Certificat d'Examen UE de Type : [Numéro de certificat]
      Date : [Date du certificat]

    ☐ Module H (Assurance Qualité Complète)
      Basé sur l'Annexe VIII du Règlement (UE) 2024/2847
      Organisme Notifié : [Nom], N° [XXXX]
      Certificat du Système d'Assurance Qualité : [Numéro de certificat]
      Date : [Date du certificat]

    ☐ Schéma Européen de Certification de Cybersécurité (Article 27(9))
      Certificat délivré dans le cadre d'un schéma adopté
      conformément au Règlement (UE) 2019/881 (Loi sur la cybersécurité)
      Nom du schéma : [Nom]
      Numéro de certificat : [Numéro]
      Niveau d'assurance : [Substantiel / Élevé]

───────────────────────────────────────────────────────────────
5. NORMES ET SPÉCIFICATIONS APPLIQUÉES
───────────────────────────────────────────────────────────────

Normes harmonisées appliquées :
[Lister toutes les normes harmonisées utilisées avec références complètes]

    • EN [XXXXX]:20XX - [Titre de la norme]
    • EN [XXXXX]:20XX - [Titre de la norme]

Autres spécifications techniques appliquées :
[Lister les autres normes ou spécifications utilisées]

    • ISO/IEC [XXXXX]:20XX - [Titre de la norme]
    • [Autres spécifications]

Certifications de cybersécurité appliquées (le cas échéant) :
[Lister les certificats européens de cybersécurité selon l'Annexe V, point 6]

    • [Nom du schéma - Référence du certificat]

───────────────────────────────────────────────────────────────
6. INFORMATIONS SUPPLÉMENTAIRES (Spécifiques CRA)
───────────────────────────────────────────────────────────────

Période de Support :
Les mises à jour de sécurité seront fournies jusqu'au : [JJ mois AAAA]
(Minimum 5 ans à compter de la date de mise sur le marché)

Première mise sur le marché de l'UE : [JJ mois AAAA]

Contact Cybersécurité :
Pour les signalements de vulnérabilités et demandes de sécurité :
    Courriel :     [security@entreprise.com]
    Web :          [https://entreprise.com/security]
    security.txt : [https://entreprise.com/.well-known/security.txt]

Documentation Technique :
La documentation technique est disponible sur demande auprès
des autorités compétentes à l'adresse indiquée ci-dessus.

───────────────────────────────────────────────────────────────
7. SIGNATURE
───────────────────────────────────────────────────────────────

Signé pour le compte et au nom de :

[Raison sociale]


_________________________________
[Nom complet]
[Titre/Fonction]

Lieu :  [Ville, Pays]
Date :  [JJ mois AAAA]

═══════════════════════════════════════════════════════════════
                  FIN DE LA DÉCLARATION
═══════════════════════════════════════════════════════════════

Guide section par section

1. Identification du document

Numéro de Déclaration : Non requis par l'Annexe V, mais fortement recommandé. Format : DoC-[CodeProduit]-[Année]-[Séquence]. Exemple : DoC-SSP3000-2027-001

Date d'Émission : La date à laquelle vous signez la déclaration. Doit être après la fin de l'évaluation de conformité.

2. Identification du fabricant

Qui signe la DoC ?

• Le fabricant : l'entité qui a conçu, produit ou commercialise le produit sous son propre nom
• OU un mandataire établi dans l'UE, agissant sous mandat écrit

Si le fabricant n'est pas établi dans l'UE, la désignation d'un mandataire est obligatoire. Ajoutez :

Représentant autorisé : [Nom, Adresse]
agissant au nom de : [Nom du fabricant, Adresse]

3. Identification du produit

Soyez suffisamment précis pour la traçabilité :

• Incluez les numéros de modèle, pas seulement les noms de produits
• Spécifiez séparément les numéros de version pour le matériel et le logiciel
• Indiquez la portée des numéros de lot ou de série

Exemple :

Nom du produit :     SmartSense Pro Industrial Sensor
Modèle/Type :        SSP-3000
Version matérielle : Rev C (PCB v3.2)
Version logicielle : Firmware 2.4.1
Lot/Série :          Numéros de série SSP3K-2027-XXXXXX

4. Évaluation de conformité

Le module que vous devez utiliser dépend de la classification de votre produit. Utilisez ce tableau pour vous orienter :

Remarque : Pour les produits Critiques (Annexe IV), l'examen UE de type doit être réalisé par un organisme notifié spécialisé. Voir le Guide de Décision d'Évaluation de Conformité CRA pour la logique de routage complète.

Utilisez cet organigramme pour identifier votre chemin :

flowchart TD
    A["Quelle est la classe de votre produit ?"] --> B["Par défaut\n(pas Annexe III/IV)"]
    A --> C["Classe I\n(Annexe III)"]
    A --> D["Classe II\n(Annexe III)"]
    A --> E["Critique\n(Annexe IV)"]
    B --> F["Module A, B+C ou H\nvotre choix"]
    C --> G{"Normes harmonisées\ncomplètement appliquées ?"}
    G -->|Oui| H["Module A disponible\nou B+C / H"]
    G -->|Non| I["Module B+C ou H\nOrganisme Notifié requis"]
    D --> J["Module B+C ou H\nOrganisme Notifié requis"]
    E --> K["Examen UE de type\nOrganisme Notifié spécialisé"]

5. Normes appliquées

Normes Harmonisées : Publiées au Journal Officiel de l'UE ; créent une présomption de conformité ; inclure la référence complète (numéro, année, titre).

Format :

EN 303 645:2020 - Cybersécurité pour l'Internet des objets grand public : Exigences de base

Si aucune norme harmonisée n'existe : Indiquez : « Aucune norme harmonisée appliquée. Conformité démontrée par [décrire l'approche]. »

Certifications de cybersécurité (Annexe V, point 6) : Si un certificat européen de cybersécurité a été utilisé lors de l'évaluation de conformité, listez-le ici avec le nom du schéma et le numéro de référence du certificat.

6. Informations supplémentaires spécifiques CRA

Cette section n'est pas requise par l'Annexe V, mais son inclusion améliore la transparence réglementaire :

Période de Support : Indiquez quand les mises à jour de sécurité prennent fin. Doit être d'au moins 5 ans à partir de la mise sur le marché (Article 13(8)).

Contact Cybersécurité : L'endroit où les signalements de vulnérabilités doivent être envoyés, y compris une référence à votre fichier security.txt.

Remarque : La date de fin de période d’assistance doit également apparaître au point de vente en vertu de l'Article 13(19). L'inclure dans la DoC est une bonne pratique, mais ne se substitue pas à la communication au point de vente.

7. Signature

Qui peut signer : Une personne habilitée à engager le fabricant. Typiquement : PDG, Directeur, Responsable Qualité ou Responsable Affaires Réglementaires.

Exigences : Nom complet et titre/fonction ; lieu et date (la date doit être postérieure à la fin de l'évaluation) ; signature manuscrite ou signature électronique qualifiée.

Quand la marque CE doit-elle être apposée par rapport à la déclaration de conformité ?

Pour les produits physiques, apposez le marquage CE de manière visible, lisible et indélébile sur le produit avant sa mise sur le marché (Article 30(1)).

Pour les produits logiciels uniquement (Article 30(3)), le marquage CE est apposé soit :

• Directement sur la Déclaration UE de conformité, soit
• Sur le site web du produit, dans une section facilement et directement accessible aux utilisateurs

Remarque : Le marquage CE doit être apposé avant la mise sur le marché, et non après. Pour les produits logiciels, assurez-vous que la DoC ou la section du site web est en ligne avant toute distribution.

La DoC doit-elle être traduite ?

Oui. L'Article 28(2) exige que la DoC soit mise à disposition dans la ou les langues requises par chaque État membre dans lequel le produit est mis sur le marché.

En pratique :

• Vente uniquement en Allemagne → une DoC en allemand est requise
• Vente dans toute l'UE → vous aurez besoin de plusieurs versions linguistiques
• Conservez toutes les versions linguistiques dans le dossier technique

La DoC UE simplifiée (Annexe VI) et l'URL pointant vers la DoC complète doivent également être dans la ou les langues requises. L'URL elle-même doit rester stable et accessible.

Chaque modèle ou version de produit nécessite-t-il sa propre déclaration de conformité ?

Une DoC par type de produit

Chaque modèle ou type de produit distinct nécessite généralement sa propre DoC.

Peut être couvert par une seule DoC lorsque :

• Les produits sont des variantes du même type
• La même évaluation de conformité s'applique à toutes les variantes
• Les mêmes normes ont été appliquées

Exemple :

Nom du produit :  SmartSense Pro Industrial Sensor
Modèle/Type :     SSP-3000 (toutes les variantes)
                  - SSP-3000-WiFi
                  - SSP-3000-LoRa
                  - SSP-3000-Cellular

Quand une modification nécessite-t-elle une nouvelle DoC ?

Avertissement : Une modification substantielle (tout changement affectant la conformité du produit aux exigences essentielles du CRA au titre de l'Annexe I, Partie I, ou modifiant l'usage prévu du produit) déclenche l'obligation d'une nouvelle DoC (Article 28). Celui qui effectue la modification substantielle devient le fabricant du produit modifié et doit émettre la nouvelle DoC. Cela s'applique aussi bien au fabricant d'origine qui réalise des mises à jour majeures qu'à un tiers qui modifie et revend le produit.

Pour les sorties logicielles itératives du fabricant : si la mise à jour n'est pas une modification substantielle, la DoC existante reste valide. Vous devez être en mesure de le démontrer aux autorités de surveillance du marché. La réalisation d'une évaluation des risques de cybersécurité conformément à l'Article 13(2) est le mécanisme explicite recommandé par les orientations à cet effet.

Distribution de la DoC

Avec le produit (Article 13(20)) : L'Article 13(20) exige que vous fournissiez soit :

• La DoC complète de l'Annexe V, soit
• Une DoC UE simplifiée contenant l'adresse internet exacte où la DoC complète peut être trouvée

Vous n'êtes pas obligé de fournir les deux.

Sur demande :

• Doit être fournie aux autorités de surveillance du marché
• Devrait être fournie aux clients sur demande

Déclaration UE de conformité simplifiée

L'Article 13(20) permet aux fabricants de joindre au produit une déclaration UE de conformité simplifiée en lieu et place du document complet de l'Annexe V. La forme simplifiée est définie à l'Annexe VI et se compose de deux phrases exactement :

Par la présente, [nom du fabricant] déclare que le produit comportant des éléments
numériques de type [désignation] est conforme au Règlement (UE) 2024/2847.

Le texte complet de la déclaration UE de conformité est disponible à l'adresse
internet suivante : [URL]

Ceci est particulièrement utile pour :

• Les produits logiciels où joindre un document juridique complet à chaque distribution est peu pratique
• Les produits matériels avec un espace d'emballage limité
• Tout produit dont la DoC complète est publiée en ligne

Exigences :

• La DoC complète de l'Annexe V doit exister et être accessible au public à l'URL indiquée
• La déclaration simplifiée doit inclure l'URL (Article 13(20))
• La DoC complète reste obligatoire dans le dossier technique et pour les demandes des autorités

Bonnes pratiques pour l'URL :

• Utilisez une URL stable. Ne la modifiez pas après la distribution des produits
• Accessible sans inscription ni connexion
• La page doit permettre le téléchargement ou l'impression de la DoC

Erreurs courantes

Checklist de préparation de la DoC

Avant la rédaction

Contenu du document

Signature

Distribution

Variations du modèle de DoC

Pour module A (auto-évaluation)

4. ÉVALUATION DE CONFORMITÉ

Procédure d'évaluation de conformité appliquée :

    ☑ Module A (Contrôle Interne de la Production)
      Basé sur l'Annexe VIII du Règlement (UE) 2024/2847

      Le fabricant a vérifié que le produit répond
      aux exigences essentielles par une évaluation interne
      documentée dans le dossier technique.

Pour module B+c (tiers)

4. ÉVALUATION DE CONFORMITÉ

Procédure d'évaluation de conformité appliquée :

    ☑ Module B + C (Examen UE de Type + Conformité au Type)
      Basé sur l'Annexe VIII du Règlement (UE) 2024/2847

      Examen UE de Type effectué par :
      Organisme Notifié : TÜV Rheinland LGA Products GmbH
      Numéro Organisme Notifié : 0197
      Numéro de Certificat : EU-TYPE-2027-12345
      Date du Certificat : 15 janvier 2027

      Le fabricant assure la conformité de la production au
      type certifié (Module C) par des contrôles de production
      internes.

Pour plusieurs règlements (article 28(3))

Lorsqu'un produit est soumis à la fois au CRA et à d'autres législations UE, une DoC combinée unique est autorisée en vertu de l'Article 28(3) :

3. DÉCLARATION

L'objet de la déclaration décrit ci-dessus est conforme
à la législation d'harmonisation de l'Union pertinente :

    • Règlement (UE) 2024/2847 (Cyber Resilience Act)

    • Directive 2014/53/UE (Directive Équipements Radioélectriques)
      Organisme Notifié : [Nom], N° [XXXX]
      Certificat : [Numéro]

    • Directive 2014/35/UE (Directive Basse Tension)

Exigences de conservation

Prochaines étapes

1. Classifiez le produit (Default, Important Classe I/II ou Critique) à l'aide du Guide de classification des produits CRA.
2. Confirmez le module d'évaluation de conformité avec le Guide de décision d'évaluation de conformité CRA.
3. Terminez l'évaluation de conformité et rassemblez tous les rapports de tests avant de rédiger la DoC.
4. Rédigez la DoC à partir du modèle ci-dessus. Attribuez un numéro de déclaration et vérifiez chaque élément de l'Annexe V.
5. Traduisez la DoC dans la ou les langues requises par chaque État membre de commercialisation (Article 28(2)).
6. Signez et datez après la fin de l'évaluation. Apposez le marquage CE avant la mise sur le marché.
7. Classez la DoC signée dans le dossier technique aux côtés des rapports de tests et du SBOM. Voir le Guide complet du dossier technique CRA (Annexe VII).
8. Publiez la DoC complète à une URL stable si vous prévoyez de joindre au produit la forme simplifiée de l'Annexe VI.
9. Conservez la DoC pendant 10 ans après la mise sur le marché, ou pendant la durée de la période d’assistance, selon la durée la plus longue (Article 13(13)).

Cet article est fourni à titre informatif uniquement et ne constitue pas un avis juridique. Pour des conseils de conformité spécifiques, consultez un conseiller juridique qualifié.