Classification des produits CRA : Votre produit est-il Par défaut, Important ou Critique ?

La voie d'évaluation de conformité CRA, et son coût, dépend de la classification de votre produit. Les produits "Importants" et "Critiques" font face à une évaluation obligatoire par un tiers. Les produits "Par défaut" peuvent s'auto-certifier.

Ce guide vous aide à déterminer votre catégorie et ce que cela signifie pour la conformité.

Les quatre catégories de produits CRA

Le CRA classe les produits comportant des éléments numériques en quatre niveaux basés sur le risque de cybersécurité :

Produits par défaut

La grande majorité des produits entre ici. Si votre produit n'est pas spécifiquement listé dans l'Annexe III ou IV, il est "Par défaut".

Évaluation de conformité : L'auto-évaluation (Module A) suffit.

Exemples :

• Capteurs IoT simples
• Électronique grand public de base
• Logiciels métier standard
• Applications à usage général
• Appareils embarqués non connectés

Important Classe I (Annexe III, Partie I)

Produits à risque élevé en raison de leur fonction ou base d'utilisateurs.

Évaluation de conformité : Auto-évaluation autorisée SI vous appliquez pleinement les normes harmonisées pertinentes. Sinon, évaluation par tiers requise.

Liste complète de l'Annexe III, Partie I :

1. Systèmes de gestion d'identité et logiciels/matériels de gestion des accès privilégiés
2. Navigateurs web autonomes
3. Gestionnaires de mots de passe
4. Logiciels de recherche, suppression ou mise en quarantaine de malwares
5. Produits avec fonctionnalité VPN
6. Systèmes de gestion de réseau
7. Systèmes SIEM (gestion des informations et événements de sécurité)
8. Gestionnaires de démarrage
9. Logiciels PKI et d'émission de certificats numériques
10. Interfaces réseau physiques et virtuelles
11. Systèmes d'exploitation non couverts par la Classe II
12. Routeurs et modems pour connexion Internet
13. Microprocesseurs avec fonctionnalités liées à la sécurité
14. Microcontrôleurs avec fonctionnalités liées à la sécurité
15. ASIC avec fonctionnalités liées à la sécurité
16. FPGA avec fonctionnalités liées à la sécurité
17. Assistants virtuels domestiques intelligents
18. Produits domestiques intelligents avec fonctions de sécurité (serrures, caméras, babyphones, alarmes)
19. Jouets connectés à Internet avec fonctions interactives ou géolocalisation
20. Dispositifs portables pour surveillance de santé (non dispositifs médicaux)

Important Classe II (Annexe III, Partie II)

Produits à risque plus élevé nécessitant une évaluation obligatoire par tiers.

Évaluation de conformité : Évaluation par un organisme notifié requise. Pas d'option d'auto-évaluation.

Liste complète de l'Annexe III, Partie II :

1. Hyperviseurs et systèmes d'exécution de conteneurs
2. Pare-feu, systèmes de détection et prévention d'intrusion (couche réseau)
3. Microprocesseurs inviolables
4. Microcontrôleurs inviolables
5. Systèmes d'exploitation pour serveurs, postes de travail et appareils mobiles
6. IACS (systèmes d'automatisation et de contrôle industriel) pour entités essentielles NIS 2
7. IoT industriel non couvert ailleurs
8. Composants de détection et d'actionnement de robots pour usage industriel/professionnel
9. Passerelles de compteurs intelligents pour systèmes de comptage intelligent

Produits critiques (Annexe IV)

La catégorie à plus haut risque. Modules de sécurité matériels et similaires.

Évaluation de conformité : Évaluation par tiers PLUS certification EUCC (Union européenne pour la cybersécurité) au niveau "substantiel" ou supérieur.

Liste complète de l'Annexe IV :

1. Dispositifs matériels avec boîtiers de sécurité
2. Passerelles de compteurs intelligents dans l'infrastructure de comptage avancée
3. Lecteurs de cartes à puce ou dispositifs similaires
4. Jetons matériels pour la sécurité/cryptographie
5. Modules de sécurité matériels (HSM)
6. Cartes à puce ou dispositifs similaires, y compris éléments sécurisés
7. Cryptoprocesseurs sécurisés

Arbre de décision : Trouver votre catégorie

Utilisez ce processus pour classer votre produit :

DÉBUT : Votre produit a-t-il des éléments numériques ?
│
├─ NON → Hors champ CRA. Arrêtez ici.
│
└─ OUI → Est-il listé dans l'Annexe IV (Produits critiques) ?
     │
     ├─ OUI → CRITIQUE
     │        Tiers + certification EUCC requise
     │
     └─ NON → Est-il listé dans l'Annexe III, Partie II (Important Classe II) ?
          │
          ├─ OUI → IMPORTANT CLASSE II
          │        Évaluation par tiers requise
          │
          └─ NON → Est-il listé dans l'Annexe III, Partie I (Important Classe I) ?
               │
               ├─ OUI → IMPORTANT CLASSE I
               │        Tiers OU auto-évaluation avec normes
               │
               └─ NON → PAR DÉFAUT
                        Auto-évaluation (Module A) autorisée

Ce que la classification signifie pour votre calendrier

Des classifications plus élevées nécessitent plus de temps de préparation :

Commencez maintenant. Si vous découvrez que vous êtes Classe II ou Critique, vous avez besoin de temps pour l'engagement avec l'organisme notifié.

Avertissement : La capacité des organismes notifiés pour les évaluations CRA est limitée. Si votre produit nécessite une évaluation par un tiers, engagez-vous tôt pour éviter les retards.

Important : La classification est basée sur la fonction du produit, pas sur le secteur de marché, la taille de l'entreprise ou la complexité du produit. Vérifiez toujours les listes des Annexes III et IV.

Comment CRA Evidence peut vous aider

CRA Evidence inclut un support intégré de classification des produits :

• Assistant de classification guidé : Répondez aux questions, obtenez votre catégorie
• Mapping des annexes : Suivez quelles exigences s'appliquent
• Guide des voies de conformité : Comprenez vos options d'évaluation
• Modèles de documentation : Structure de dossier technique spécifique à la catégorie

Commencez votre évaluation de classification sur app.craevidence.com.

Suivant: Une fois votre classification connue, déterminez votre parcours d'évaluation de conformité.

Calendrier: Consultez le calendrier de mise en oeuvre du CRA pour les échéances clés.

SBOMs: Toutes les catégories nécessitent des SBOMs. Consultez notre guide des exigences SBOM.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil juridique. Pour des conseils spécifiques en matière de conformité, consultez un conseiller juridique qualifié familier avec les réglementations produits de l'UE.