Orientations CRA juillet 2026 : les cas limites décortiqués

Votre distributeur automatique embarque une carte SIM. Ce modem cellulaire appartient à une catégorie de produits que le CRA soumet à une évaluation de conformité plus stricte. La machine qui l'entoure reste dans la catégorie par défaut.

Cet écart décide si vous pouvez réaliser vous-même l'évaluation ou si vous devez payer un organisme notifié pour la réaliser. Vous signez la déclaration dans les deux cas. Tout tient à une phrase que la plupart des fabricants n'ont jamais lue.

La Commission européenne a publié des orientations sur l'application du CRA le 27 juillet 2026. Le document compte 84 pages et 67 exemples concrets. Cet article en couvre cinq qui changent la réponse en pratique, chacun illustré par un cas concret.

Pièce réglementée à l'intérieur : pas de reclassement de la machine

Votre voie d'évaluation de la conformité dépend d'une seule chose : la fonctionnalité principale de votre produit. Une erreur ici, et vous payez un organisme notifié pour rien ou vous expédiez sans l'évaluation que la loi exigeait.

Le règlement ne définit jamais la fonctionnalité principale. L'orientation, si.

Un distributeur automatique, un modem cellulaire et 25 000 EUR

Ce scénario est hypothétique.

Vous fabriquez des distributeurs automatiques. Le vôtre fait trois choses :

• Accepte les paiements par carte
• Suit le stock avec des capteurs de poids
• Embarque un modem cellulaire, pour que le siège récupère les données de vente et pousse les changements de prix pendant la nuit

Le modem est à l'origine de la question. Les routeurs et modems destinés à la connexion internet figurent parmi les produits importants au titre du CRA, en classe I. Votre machine en contient un.

Sur la base des chiffres illustratifs ci-dessus, et en supposant que la voie du contrôle interne ne vous aurait pas été ouverte, cette seule phrase vous vaut environ 25 000 EUR. Les coûts réels varient selon le produit et l'organisme, et les produits de classe I peuvent toujours s'auto-évaluer lorsqu'une norme harmonisée pertinente est pleinement appliquée, même si l'orientation y ajoute une seconde condition, traitée plus loin.

Ce que vous devez encore pour ce modem

Le modem sort de la question de classification. Il ne sort pas de vos obligations.

• Évaluation des risques : le modem est un composant intégré et doit figurer dans l'évaluation des risques de votre produit, y compris les interfaces qu'il expose et les flux de données qu'il transporte.
• Diligence raisonnable : vous devez prendre des mesures appropriées pour confirmer que le composant ne compromet pas la conformité de votre produit. La documentation technique et la documentation de sécurité du fournisseur peuvent servir de preuve.
• Le réseau n'est pas le vôtre : le réseau cellulaire auquel se connecte votre modem est un canal de communication, pas une partie de votre produit. Vous ne devez aucune diligence raisonnable envers l'opérateur mobile.

Voici la répartition complète, parce que les équipes ont l'habitude de bien traiter une moitié et de rater l'autre.

La dernière ligne piège les intégrateurs. Acheter un module certifié et le souder sur la carte est une question de chaîne d'approvisionnement. Écrire le firmware qui tourne dessus peut faire de vous le fabricant de ce que vous mettez sur le marché, et si cela s'étend au modem lui-même dépend de la manière dont il est fourni et de ce que vous avez modifié.

Pour le détail du fonctionnement des catégories, consultez notre guide de classification des produits. Pour les modems en tant que produits à part entière, consultez routeurs et modems.

Deux angles morts non signalés

• La fonctionnalité principale n'est définie que dans l'orientation : le règlement lui-même ne définit jamais le terme qui décide de votre voie de conformité. La définition sur laquelle vous vous appuyez est la lecture de la Commission, et elle n'engage personne.
• Le verrou de l'auto-évaluation a discrètement gagné une seconde condition : la loi rend l'évaluation par un tiers nécessaire pour un produit important de classe I lorsque le fabricant n'a pas pleinement appliqué les normes harmonisées pertinentes. C'est un premier test. L'orientation en ajoute un second : le périmètre de la norme doit aussi couvrir tous les risques de cybersécurité liés à votre fonctionnalité principale. Ce second test n'est pas formulé en ces termes dans la loi. La Commission le déduit de l'articulation entre les exigences applicables et la présomption de conformité, ce qui restreint qui peut s'auto-évaluer par interprétation plutôt que par le texte.

Vente séparée d'un module : un changement de classification

Dès lors que vous proposez les modules d'une suite à l'achat, à la licence ou à l'abonnement séparé, chacun devient un produit à part entière. Chacun est alors classé selon sa propre fonctionnalité principale, pas selon celle de la suite.

La Commission traite cela à travers une suite de sécurité découpée en parties, et les parties atterrissent dans des régimes différents.

Une ligne sur une liste de prix fait basculer un module dans un régime plus strict

Ce scénario est hypothétique.

Vous vendez un logiciel propriétaire à des exploitants industriels. Il fait quatre choses :

• Collecte les données des lignes de production
• Affiche des tableaux de bord
• Déclenche des alertes
• Inclut un module de détection d'intrusion pour le réseau OT

Vendu comme une seule plateforme, la fonctionnalité principale est la surveillance de production. C'est un produit de catégorie par défaut. Vous vous auto-évaluez, vous signez la déclaration, vous expédiez.

Puis les ventes demandent que le module de détection d'intrusion soit disponible seul, parce que trois prospects le veulent sans le reste. Vous ajoutez une ligne à la liste de prix.

Ce module est maintenant un produit séparé. Sa fonctionnalité principale est la détection d'intrusion. Les systèmes de détection et de prévention d'intrusion relèvent d'une catégorie importante de classe II.

La classe II exige une évaluation de conformité par un tiers. Cette exigence n'est ni optionnelle ni conditionnée aux normes. Les produits qui relèvent du logiciel libre et open source suivent leur propre voie.

Rien n'a changé dans le code. Une décision commerciale a fait basculer un module dans un régime plus strict, et sur des chiffres typiques cela représente un coût d'évaluation nettement plus élevé et un délai de mise sur le marché plus long.

Personne n'a défini ce que « disponible séparément » veut dire

L'orientation nomme l'achat séparé, la licence et l'abonnement, et elle exclut les modules fournis uniquement dans le cadre d'un produit intégré. Un cas reste réellement ouvert. Quatre situations, trois tranchées :

• Une référence distincte sur une liste de prix. Tranché. L'achat séparé est nommé explicitement, donc ce cas est couvert.
• Un indicateur de fonctionnalité que votre équipe commerciale peut licencier indépendamment. Tranché. La licence et l'abonnement sont nommés aux côtés de l'achat, donc une référence distincte n'est pas nécessaire.
• Un module complémentaire vendu uniquement aux clients existants de la plateforme. Ouvert. Vous ne pouvez pas l'acheter seul, mais vous pouvez l'acheter séparément du reste de la suite. L'orientation ne tranche pas ce cas.
• Un module techniquement séparable mais jamais proposé seul. Tranché. Les modules fournis uniquement dans le cadre d'un produit intégré sont exclus, et la classification reste au niveau du produit entier.

Le test suit donc la réalité commerciale plutôt que les étiquettes d'emballage, et un indicateur de fonctionnalité licenciable compte même sans référence distincte. Celui qui reste ouvert est le module complémentaire réservé aux clients existants, et la réponse là change ce que vous payez.

Cela compte plus qu'il n'y paraît. Les chefs de produit changent l'emballage commercial chaque trimestre et n'y voient jamais un événement réglementaire. Ajoutez une vérification à cette décision dès maintenant. L'alternative, c'est de le découvrir après qu'un client a déjà reçu un devis.

Consultez les voies d'évaluation de la conformité pour ce que chaque module implique et ce qu'il coûte.

Mise à jour majeure : la période de support ne repart pas à zéro

Une modification substantielle vous oblige à réexaminer la période de support. Elle ne la remet pas automatiquement à zéro. Elle ne l'allonge pas non plus automatiquement.

La question est plus étroite que ce que la plupart des équipes supposent. La modification a-t-elle changé les facteurs qui ont fixé la durée d'utilisation attendue au départ ?

La Commission donne deux cas : un changement logiciel qui laisse la date de fin d'origine intacte, et un changement matériel qui force un recalcul.

Le même automate, deux changements, deux réponses différentes

Ce scénario est hypothétique.

Vous mettez sur le marché un automate programmable industriel en 2028. La durée d'utilisation attendue est de douze ans, fondée sur la durabilité du matériel et sur ce que les clients industriels attendent raisonnablement de cette classe d'équipement. Vous déclarez une période de support se terminant en 2040.

2031. Vous livrez un firmware qui ajoute un diagnostic à distance. Supposons que les nouvelles interfaces et les nouveaux flux de données changent la manière dont le produit répond aux exigences essentielles, ce qui en fait, sur ces éléments, une modification substantielle. Cela déclenche une nouvelle évaluation de conformité et un dossier technique mis à jour. De nouvelles interfaces à elles seules ne suffiraient pas à trancher la question.

Cela ne déplace pas la date de support. La durabilité du matériel n'a pas changé. Les attentes des clients n'ont pas changé. Le support se termine toujours en 2040, et le fait qu'il reste moins de cinq ans à un moment ultérieur ne le prolonge pas.

2033. Vous remplacez le module de calcul par une génération plus récente conçue pour une durée de vie opérationnelle plus longue, et vous commercialisez la machine sur cette base. Cette fois, les facteurs ont changé. Les clients peuvent raisonnablement en attendre davantage d'années de service. Vous recalculez la période de support à la hausse.

Raccourcir une période de support n'est pas traité

Les cas traités montrent la période qui reste identique et la période qui s'allonge. La règle elle-même dit de recalculer par rapport aux critères quand les facteurs déterminants changent, sans dire que le résultat ne peut qu'augmenter.

Si une modification réduit la durée de vie réaliste d'un produit, par exemple en abandonnant le support de la plateforme matérielle sur laquelle il tourne, aucun cas traité ne dit si la période déclarée peut suivre cette baisse. Nous ne raccourcirions pas une période déjà communiquée aux clients, mais l'orientation ne tranche pas la question.

Pour en savoir plus sur la manière de fixer la période au départ : les bases de la période de support.

Pièce de rechange : le statut dépend de la sécurité, pas de la référence

Les pièces de rechange qui remplacent des composants identiques restent hors du champ du CRA. Le mot qui fait tout le travail, c'est « identique », et l'orientation le définit plus étroitement que ne le supposent la plupart des processus d'obsolescence.

L'identité s'apprécie sur le rôle fonctionnel de la pièce ainsi que sur ses caractéristiques pertinentes pour la cybersécurité, et l'orientation dit qu'une appréciation au cas par cas est toujours nécessaire. La liste de la Commission des caractéristiques pertinentes inclut les algorithmes, les protocoles, les mécanismes cryptographiques et les fonctions de contrôle d'accès, et elle ne ferme pas la liste.

La Commission met en regard deux remplacements de fin de vie. L'un change l'implémentation cryptographique et le mécanisme de démarrage sécurisé, et perd l'exemption. L'autre change la puce mais garde les mêmes protocoles et mécanismes de sécurité, et la conserve.

Deux modules de remplacement, dont un nouveau produit

Ce scénario est hypothétique.

Vous avez installé des centrales de contrôle d'accès sur l'ensemble d'un parc immobilier d'entreprise en 2029. En 2033, le module sans fil qu'elles contiennent atteint sa fin de vie et votre fournisseur propose deux remplacements.

Remplacement A. Puce différente, fabricant différent, mêmes protocoles radio, même stockage de clés, même chaîne de démarrage sécurisé. Sur ces éléments, elle devrait rester une pièce de rechange, hors du champ du CRA, expédiée par votre circuit de service.

Remplacement B. Même radio, mais un élément sécurisé plus récent avec une hiérarchie de clés différente et une séquence de vérification du démarrage différente. Ces différences touchent aux caractéristiques de cybersécurité, donc sur ces éléments ce n'est pas identique. Il devient un produit à éléments numériques à part entière, qui a besoin de sa propre évaluation de conformité, de sa propre documentation technique et d'un marquage CE.

Même référence sur votre nomenclature. Même encombrement physique. Deux résultats de conformité complètement différents.

La conséquence pour laquelle personne n'est équipé

Votre processus d'obsolescence compare presque certainement des fiches techniques. Compatibilité des broches, tension, encombrement, plage de température, performance radiofréquence.

Rien de tout cela ne répond à la question que pose le CRA. Il vous faut une comparaison des caractéristiques de sécurité à côté de la comparaison électrique. Voici les champs qu'elle doit couvrir.

Vérifiez le démarrage sécurisé et le stockage des clés en premier, parce qu'un changement dans l'un ou l'autre est facile à manquer lors d'une comparaison de fiches techniques. L'orientation ne classe pas les caractéristiques par ordre d'importance, donc aucune ne peut être ignorée.

La plupart des équipes n'ont pas ce document. Le construire représente un travail modeste maintenant, comparé à une expédition bloquée et une évaluation de conformité en urgence plus tard.

Une condition de plus qui piège les gens : être techniquement interchangeable ne suffit pas en soi. La finalité de réparation doit être évidente dans la manière dont la pièce est fournie, par l'identification du produit dans la commande ou l'offre commerciale, ou par la fourniture via les circuits après-vente. Un composant vendu comme produit autonome à usage général n'obtient pas l'exemption simplement parce qu'il s'avère compatible.

Les lecteurs de contrôle d'accès et les terminaux biométriques suivent le même traitement.

La liste des caractéristiques de sécurité reste ouverte

La liste des caractéristiques pertinentes pour la sécurité reste ouverte. Si une simple montée de version du firmware dans un module par ailleurs identique compte, la question n'est traitée nulle part.

Modification d'un produit ancien : le reste ne suit pas automatiquement

Le CRA s'applique pleinement à partir du 11 décembre 2027. À partir du 11 septembre 2026, l'obligation de signalement couvrira aussi les produits mis sur le marché avant cette date, mais ces produits n'entrent dans le reste du régime que s'ils sont substantiellement modifiés par la suite.

La crainte que cela crée est raisonnable : toucher une fois à une machine vieille de quinze ans, et il faudrait mettre l'ensemble à niveau d'une norme qui n'existait pas quand vous l'avez conçue.

Ce n'est pas ce qui se passe. Quand le fabricant d'origine réalise la modification, les obligations s'attachent à la partie modifiée. Le produit entier ne suit que si le changement nuit à la sécurité du produit dans son ensemble.

Ce que vous devez sur une machine de 2026 modifiée en 2029

Ce scénario est hypothétique.

Vous avez expédié une ligne d'emballage industrielle en 2026 avec une durée de vie de vingt ans. En 2029, vous publiez un changement de firmware sur le sous-système d'étiquetage qui ajoute une interface réseau pour la gestion des tâches d'impression. C'est une modification substantielle.

Ce que vous devez : la conformité du sous-système d'étiquetage, une évaluation des risques actuelle qui le couvre, et une documentation technique mise à jour pour ce qui a changé.

Ce que vous ne devez pas : remettre à niveau les contrôleurs de mouvement, les verrouillages de sécurité, ou le terminal opérateur. Et vous n'êtes pas tenu de reconstituer des dossiers de conception et de test de 2025 qui n'ont jamais existé sous cette forme. L'orientation est directe là-dessus. Les produits conçus avant l'application du CRA n'ont pas besoin d'être reconçus dès lors qu'une évaluation des risques actuelle montre que les mesures existantes traitent les risques, et reconstituer la documentation historique ne rendrait pas le produit plus sûr.

L'asymétrie dont personne ne parle

Le périmètre restreint s'applique au fabricant d'origine, ainsi qu'à tout tiers non lié qui réalise à la fois la modification et met le produit modifié sur le marché. Il ne s'applique pas aux importateurs et aux distributeurs, régis par une règle séparée sans cette limite.

Relisez ces lignes. Un bureau d'études sous contrat qui modifie une machine et la met sur le marché obtient le périmètre restreint, tant que le changement laisse intacte la cybersécurité du produit dans son ensemble. Un importateur qui réalise la même modification obtient le périmètre large. L'acte est identique. L'exposition ne l'est pas.

Le règlement traite les deux cas différemment de façon explicite. L'effet pratique, c'est que les importateurs qui modifient portent plus que les tiers qui modifient.

Pour le calendrier complet et ce qui s'applique quand, consultez notre calendrier de mise en œuvre du CRA.

La phrase qui décide de tout n'est définie nulle part

L'allègement dépend de savoir si la modification « affecte négativement la cybersécurité du produit dans son ensemble ». Cette phrase décide si vous mettez à jour un seul sous-système ou tous, et elle n'est définie nulle part.

Attendez-vous à devoir défendre cette phrase face à un organisme notifié.

Comment cela s'articule avec le projet de mars

La Commission a mené une consultation publique sur un projet de cette orientation entre le 3 mars et le 13 avril 2026. Nous avions couvert ce projet à sa parution, dans ce que signifiait le projet de mars 2026.

Le document de juillet est le résultat de cette consultation. Il ne couvre pas le CRA dans sa totalité, et la Commission le dit directement.

Au paragraphe 9, la Commission indique qu'elle pourrait envisager d'autres orientations au titre de l'article 26. Elle cite comme exemples l'interaction du CRA avec le règlement sur l'IA et avec DORA. C'est une possibilité, pas l'engagement de publier un autre document.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil juridique. Pour des conseils de conformité spécifiques, consultez un conseiller juridique qualifié.