Évaluation de conformité CRA : guide de décision module A vs b+c vs h

Votre voie d'évaluation de conformité CRA détermine le coût, le calendrier et les dépendances externes. Choisissez mal et vous perdrez des mois et des milliers d'euros. Choisissez bien et vous aurez un chemin clair vers le marquage CE.

Ce guide vous aide à sélectionner le bon module d'évaluation de conformité et à comprendre ce que chacun implique.

Aperçu de l'évaluation de conformité

L'évaluation de conformité est la manière dont vous démontrez que votre produit répond aux exigences CRA. La Déclaration UE de conformité (DoC) que vous signez déclare que votre produit est conforme, mais vous devez avoir des preuves pour étayer cette affirmation.

Le CRA offre trois modules d'évaluation de conformité :

OPTIONS DE MODULES PAR CATÉGORIE DE PRODUIT

┌─────────────────────────────────────────────────────────────┐
│                    PRODUITS DEFAULT                          │
│                   (~90% des produits)                        │
├─────────────────────────────────────────────────────────────┤
│   Module A (Auto-évaluation)      ✓ Autorisé                │
│   Module B+C (Tiers)              ✓ Autorisé (optionnel)    │
│   Module H (AQ Complète)          ✓ Autorisé (optionnel)    │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│              PRODUITS IMPORTANT CLASS I                      │
│              (Annexe III, Partie I)                          │
├─────────────────────────────────────────────────────────────┤
│   Module A (Auto-évaluation)      ✓ SI normes harmonisées   │
│   Module B+C (Tiers)              ✓ Autorisé                │
│   Module H (AQ Complète)          ✓ Autorisé                │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│              PRODUITS IMPORTANT CLASS II                     │
│              (Annexe III, Partie II)                         │
├─────────────────────────────────────────────────────────────┤
│   Module A (Auto-évaluation)      ✗ NON Autorisé            │
│   Module B+C (Tiers)              ✓ REQUIS                  │
│   Module H (AQ Complète)          ✓ Autorisé                │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│                  PRODUITS CRITIQUES                          │
│                    (Annexe IV)                               │
├─────────────────────────────────────────────────────────────┤
│   Module A (Auto-évaluation)      ✗ NON Autorisé            │
│   Module B+C (Tiers)              ✓ REQUIS + EUCC           │
│   Module H (AQ Complète)          ✓ Autorisé + EUCC         │
└─────────────────────────────────────────────────────────────┘

Quand peut-on utiliser l'auto-évaluation du module A ?

Auto-évaluation. Vous évaluez votre propre produit par rapport aux exigences CRA.

Quand le module A est disponible

• Produits Default : Toujours disponible
• Important Class I : Uniquement si vous appliquez entièrement les normes harmonisées pertinentes

Ce que signifie « normes harmonisées »

Pour l'auto-évaluation Important Class I, vous devez appliquer des normes harmonisées qui :

• Couvrent les exigences essentielles de l'Annexe I
• Sont publiées au Journal Officiel de l'UE
• Sont appliquées complètement (pas partiellement)

Si aucune norme harmonisée n'existe pour votre type de produit, les produits Important Class I doivent utiliser le Module B+C ou H.

Processus module A

ÉVALUATION DE CONFORMITÉ MODULE A

1. PHASE DE CONCEPTION
   ├── Appliquer les principes de sécurité dès la conception
   ├── Effectuer l'évaluation des risques (exigences Annexe I)
   ├── Documenter l'architecture de sécurité
   └── Appliquer les normes harmonisées (si Class I)

2. DOCUMENTATION
   ├── Créer le dossier technique (Annexe VII)
   │   ├── Description du produit
   │   ├── Résultats de l'évaluation des risques
   │   ├── Documentation de conception
   │   ├── Normes appliquées
   │   ├── Résultats des tests
   │   └── SBOM
   └── Préparer la Déclaration UE de conformité

3. CONTRÔLES DE PRODUCTION
   ├── S'assurer que la production maintient la conformité
   ├── Documenter les contrôles qualité
   └── Vérifier chaque unité (le cas échéant)

4. FINALISATION
   ├── Signer la Déclaration UE de conformité
   ├── Apposer le marquage CE
   └── Conserver la documentation (10 ans)

Exigences documentaires du module A

Votre dossier technique au titre du module A doit inclure :

Description générale :

• Identification du produit et finalité prévue
• Versions couvertes
• Instructions utilisateur fournies

Évaluation des risques :

• Risques de cybersécurité identifiés
• Menaces et scénarios d'attaque pris en compte
• Décisions de traitement des risques

Documentation de conception :

• Architecture du système
• Mesures de sécurité mises en œuvre
• Comment chaque exigence de l'Annexe I est satisfaite

Normes et tests :

• Normes appliquées (avec numéros de version)
• Plans de test et résultats
• Vérification que les normes sont entièrement appliquées (pour Class I)

Nomenclature des logiciels :

• Composants inclus
• Vulnérabilités connues au moment de l'évaluation

Production :

• Comment la production maintient la conformité
• Mesures de contrôle qualité

Coûts module A

Fourchette totale typique : 15 000-50 000€ (coûts internes)

Calendrier module A

Calendrier total typique : 2-4 mois

Quand le règlement sur la cyberrésilience exige-t-il un organisme notifié ?

Évaluation par tiers. Un organisme notifié examine la conception de votre produit.

Quand le module B+c est requis

• Important Class II : Obligatoire
• Produits critiques : Obligatoire (plus EUCC)
• Important Class I : Si n'utilisant pas de normes harmonisées

Module B : examen UE de type

Un organisme notifié examine un échantillon représentatif (type) de votre produit et délivre un certificat.

PROCESSUS MODULE B

1. CANDIDATURE
   ├── Sélectionner l'Organisme Notifié
   ├── Soumettre la candidature avec :
   │   ├── Échantillon(s) de produit
   │   ├── Documentation technique
   │   └── Formulaire de candidature
   └── Payer les frais initiaux

2. EXAMEN
   ├── L'ON examine la documentation
   ├── L'ON teste l'échantillon du produit
   ├── L'ON vérifie la conformité Annexe I
   └── L'ON peut demander des infos/tests supplémentaires

3. DÉCISION
   ├── Conforme → Certificat d'Examen UE de Type
   ├── Non conforme → Rapport de déficiences
   └── Si déficiences : remédier et soumettre à nouveau

4. CERTIFICAT
   ├── Valide pour le type de produit évalué
   ├── Liste les conditions et limitations
   └── Sujet à révision (typiquement 5 ans)

Module C : conformité au type

Après le Module B, vous vous assurez que la production est conforme au type certifié.

PROCESSUS MODULE C

1. CONTRÔLES DE PRODUCTION
   ├── S'assurer que chaque unité est conforme au type certifié
   ├── Documenter les processus de production
   └── Maintenir les contrôles qualité

2. DÉCLARATION
   ├── Référencer le Certificat d'Examen UE de Type
   ├── Signer la Déclaration UE de conformité
   └── Apposer le marquage CE

3. CONTINU
   ├── Maintenir la conformité au type certifié
   ├── Signaler les changements qui affectent le type à l'ON
   └── Recertifier si changements substantiels

Sélection de l'organisme notifié

Considérations pour choisir un organisme notifié :

Trouver des organismes notifiés : Consultez la base de données NANDO (registre officiel des organismes notifiés de l'UE) une fois les désignations CRA publiées.

Avertissement : Les frais des organismes notifiés se situent généralement entre 30 000 et 100 000 €+, et les délais d'attente peuvent atteindre 4 à 16 semaines. Prévoyez votre budget et planifiez en conséquence.

Coûts module B+c

Fourchette totale typique : 30 000-100 000€+

Calendrier module B+c

Calendrier total typique : 4-10 mois

Module H : assurance complète de la qualité

Approche système de management de la qualité. L'ON approuve votre SMQ pour la conception, la production et les tests.

Quand le module H a du sens

Le module H est avantageux quand :

• Vous avez plusieurs produits nécessitant une évaluation par tiers
• Vous avez déjà un SMQ mature (ISO 9001, ISO 27001)
• Vous voulez une relation continue avec l'ON plutôt qu'un examen par produit
• Vous publiez des mises à jour fréquentes

Processus module H

PROCESSUS MODULE H

1. ÉTABLISSEMENT DU SMQ
   ├── Concevoir le système qualité couvrant :
   │   ├── Processus de conception
   │   ├── Contrôles de production
   │   ├── Procédures de test
   │   └── Gestion documentaire
   └── Aligner avec les exigences CRA

2. ÉVALUATION PAR L'ORGANISME NOTIFIÉ
   ├── Soumettre la documentation SMQ
   ├── L'ON audite votre SMQ
   ├── L'ON vérifie l'alignement CRA
   └── L'ON délivre le certificat d'approbation SMQ

3. CONCEPTION DU PRODUIT (par produit)
   ├── Suivre le SMQ approuvé pour la conception
   ├── Effectuer l'examen de conception
   ├── Documenter la conformité
   └── L'ON peut auditer le processus de conception

4. PRODUCTION
   ├── Suivre le SMQ approuvé pour la production
   ├── Documenter la conformité
   └── L'ON effectue des audits de surveillance

5. DÉCLARATION (par produit)
   ├── Signer la déclaration UE de conformité
   ├── Référencer le certificat SMQ
   └── Apposer le marquage CE

6. CONTINU
   ├── Maintenir le SMQ
   ├── Audits de surveillance de l'ON (typiquement annuels)
   └── Recertifier le SMQ (typiquement tous les 3-5 ans)

Exigences SMQ du module H

Votre système de management de la qualité doit couvrir :

Qualité de la conception :

• Contrôles du processus de conception
• Méthodologie d'évaluation des risques
• Procédures de revue de conception
• Gestion de la configuration
• Vérification et validation de la conception

Qualité de la production :

• Contrôles du processus de production
• Tests de contrôle qualité
• Gestion des non-conformités
• Traçabilité
• Étalonnage des équipements

Qualité de la documentation :

• Exigences du dossier technique
• Contrôle documentaire
• Conservation des enregistrements
• Gestion des changements

Intégration de la cybersécurité :

• Cycle de développement sécurisé
• Gestion des vulnérabilités
• Processus de mise à jour
• Réponse aux incidents

Coûts module H

Mise en place initiale : 40 000-100 000 € Continu annuel : 10 000-30 000 €

Module H vs b+c : décision

Conseil : Le module H devient rentable à partir de 4+ produits. Si vous avez un SMQ mature (ISO 9001, ISO 27001), c'est souvent le meilleur investissement à long terme.

Règle générale : Le module H devient rentable à 4+ produits ou quand vous auriez besoin de re-examens fréquents.

Cadre de décision

Étape 1 : déterminer la classification du produit

Utilisez le guide de classification des produits pour déterminer : Default, Important Class I, Important Class II, ou Critique.

Étape 2 : identifier les options disponibles

SI Default :
    Options : A, B+C, H
    Recommandation : Module A (sauf si vous voulez une validation par tiers)

SI Important Class I :
    SI des normes harmonisées existent ET vous les appliquez entièrement :
        Options : A, B+C, H
        Recommandation : Module A (avec les normes)
    SINON :
        Options : B+C, H
        Recommandation : B+C (sauf produits multiples)

SI Important Class II :
    Options : B+C, H
    Recommandation : B+C (sauf produits multiples ou SMQ mature)

SI Critique :
    Options : B+C + EUCC, H + EUCC
    Recommandation : Dépend des capacités de l'organisation

Étape 3 : considérer les facteurs business

Étape 4 : calculer les coûts

EXEMPLE DE COMPARAISON DES COÛTS

Scénario : 5 produits Important Class II, pas de SMQ existant

OPTION 1 : Module B+C pour chaque produit
├── Par produit : 50 000 € en moyenne
├── 5 produits : 250 000 €
├── Re-examen (mises à jour) : 25 000 €/produit/mise à jour
└── Coût sur 5 ans (hypothèse : 2 mises à jour/produit) : 500 000 €

OPTION 2 : Module H
├── Mise en place SMQ : 50 000 €
├── Certification initiale : 25 000 €
├── Revue de conception par produit : 10 000 € × 5 = 50 000 €
├── Surveillance annuelle : 12 000 € × 5 ans = 60 000 €
├── Revues des mises à jour : 5 000 €/produit/mise à jour × 10 = 50 000 €
└── Coût sur 5 ans : 235 000 €

Décision : le module H économise 265 000 € sur 5 ans

Déclaration UE de conformité

Quel que soit le module choisi, vous devez émettre une Déclaration UE de conformité.

Contenu requis de la DoC

DÉCLARATION DE CONFORMITÉ UE
(Cyber Resilience Act - Règlement (UE) 2024/2847)

1. Identification du produit :
   [Nom du produit, type, lot, numéro(s) de série]

2. Nom et adresse du fabricant :
   [Détails de votre entreprise]

3. Cette déclaration de conformité est émise sous la seule
   responsabilité du fabricant.

4. Objet de la déclaration :
   [Description du produit, suffisante pour la traçabilité]

5. L'objet de la déclaration décrit ci-dessus est conforme
   à la législation d'harmonisation de l'Union pertinente :
   - Règlement (UE) 2024/2847 (Cyber Resilience Act)
   - [Autre législation applicable]

6. Références aux normes harmonisées pertinentes utilisées, ou
   références aux spécifications pour lesquelles la conformité
   est déclarée :
   [Liste des normes appliquées, avec numéros de version]

7. Le cas échéant, l'organisme notifié :
   [Nom ON, numéro, référence du certificat]
   a effectué : [examen Module B/H]
   et a délivré : [numéro du certificat]

8. Informations supplémentaires :
   [Période de support, contact pour rapports de vulnérabilités, etc.]

Signé pour et au nom de :
[Nom, fonction]
[Lieu et date d'émission]
[Signature]

Marquage CE

Après l'évaluation de conformité, apposez le marquage CE.

Exigences du marquage CE

• Visible, lisible, indélébile
• Hauteur minimale de 5mm
• Proportions correctes (comme spécifié dans la législation)
• Sur le produit ou l'emballage (si le marquage du produit n'est pas faisable)
• Accompagné du numéro de l'organisme notifié si module B ou H utilisé

Positionnement du marquage CE

EXEMPLES DE POSITIONNEMENT DU MARQUAGE CE

Produit physique :
├── Sur le produit lui-même (préféré)
├── Sur la plaque signalétique/étiquette
├── Sur l'emballage (si produit trop petit)
└── Dans la documentation (si marquage physique impossible)

Logiciel :
├── Dans l'écran « à propos »/infos
├── Dans la documentation
└── Sur l'emballage (si support physique)

Avec organisme notifié (module B ou H) :
Marquage CE + numéro de l'organisme notifié
par ex. CE 1234 (où 1234 est le numéro d'identification de l'organisme notifié)

Erreurs courantes

Important : S'auto-évaluer (Module A) quand votre produit est Important Class II constitue une évaluation de conformité invalide. Le produit ne peut pas être légalement mis sur le marché de l'UE.

Auto-évaluation quand non autorisée

Problème : Choisir le Module A pour un produit Important Class II.

Conséquence : Évaluation de conformité invalide. Le produit ne peut pas être légalement mis sur le marché.

Prévention : Toujours vérifier la classification du produit avant de choisir la voie d'évaluation.

Application partielle des normes

Problème : Revendiquer le Module A pour Important Class I tout en n'appliquant que partiellement les normes harmonisées.

Conséquence : Le Module A n'est pas disponible sans application complète des normes.

Prévention : Si vous ne pouvez pas appliquer entièrement les normes, utilisez le Module B+C ou H.

Documentation inadéquate

Problème : Le dossier technique manque le contenu requis pour le module choisi.

Conséquence : Impossible de démontrer la conformité. DoC non valide.

Prévention : Utilisez des checklists. Examinez les exigences de documentation pour votre module spécifique.

Surprise de l'organisme notifié

Problème : Découvrir tardivement que le produit nécessite une évaluation par un organisme notifié.

Conséquence : Retard de mise sur le marché (les délais d'attente d'un organisme notifié peuvent atteindre plusieurs mois).

Prévention : Classifier les produits tôt. Engager les organismes notifiés de manière proactive.

DoC avant évaluation

Problème : Signer la DoC avant d'avoir terminé l'évaluation de conformité.

Conséquence : Fausse déclaration. Responsabilité juridique.

Prévention : La DoC est l'étape finale, après la fin de toutes les activités d'évaluation.

Liste de contrôle de l'évaluation de conformité

LISTE DE CONTRÔLE DE L'ÉVALUATION DE CONFORMITÉ

PRÉ-ÉVALUATION :
[ ] Classification du produit déterminée
[ ] Modules disponibles identifiés
[ ] Module sélectionné selon les exigences et les facteurs business
[ ] Calendrier établi
[ ] Budget alloué

MODULE A (Auto-évaluation) :
[ ] Évaluation des risques terminée
[ ] Exigences de l'Annexe I traitées
[ ] Normes harmonisées appliquées (si Class I)
[ ] Dossier technique préparé
[ ] Tests terminés
[ ] Contrôles de production documentés
[ ] DoC préparée

MODULE B (Examen UE de type) :
[ ] Organisme notifié sélectionné
[ ] Candidature soumise
[ ] Documentation technique fournie
[ ] Échantillon(s) de produit fourni(s)
[ ] Examen terminé
[ ] Certificat reçu
[ ] Déficiences traitées (le cas échéant)

MODULE C (Conformité au type) :
[ ] Contrôles de production établis
[ ] Conformité au type vérifiée
[ ] Documentation maintenue
[ ] DoC référençant le certificat

MODULE H (AQ complète) :
[ ] SMQ développé/mis à jour
[ ] Audit de l'organisme notifié programmé
[ ] Certificat SMQ reçu
[ ] Revue de conception par produit terminée
[ ] Calendrier d'audit de surveillance établi

FINALISATION (tous modules) :
[ ] Déclaration UE de conformité signée
[ ] Marquage CE apposé
[ ] Dossier technique archivé (conservation 10 ans)
[ ] Mise sur le marché prête

Foire aux questions

Un produit de catégorie default peut-il toujours utiliser le module A ?

Oui. Environ 90 % des produits entrent dans la catégorie Default et peuvent recourir à l'auto-évaluation (Module A) sans faire appel à un organisme notifié. C'est la voie la plus directe vers le marquage CE.

Un organisme notifié est-il obligatoire pour les produits important class i ?

Non, pas systématiquement. Pour les produits Important Class I, le Module A reste accessible à condition d'appliquer intégralement les normes harmonisées publiées au Journal Officiel de l'UE. Si ces normes couvrent les exigences essentielles de l'Annexe I et sont appliquées dans leur totalité, aucun organisme notifié n'est requis. L'ANSSI suit l'avancement de la publication des normes harmonisées en France et publie des mises à jour à ce sujet.

Des organismes notifiés sont-ils déjà désignés pour le règlement sur la cyberrésilience ?

Non. En avril 2026, aucun organisme notifié n'a encore été désigné pour le Cyber Resilience Act. La liste officielle est consultable dans la base de données NANDO de la Commission européenne. L'ANSSI suit l'évolution des désignations. Les fabricants de produits Important Class II et Critiques ne peuvent donc pas encore finaliser leur évaluation de conformité par tierce partie.

Que comprend une évaluation de conformité selon le module B+c ?

Dans le cadre du Module B, l'organisme notifié examine la documentation technique du fabricant, teste un échantillon représentatif du produit et délivre un Certificat d'Examen UE de Type. Le Module C prend le relais : le fabricant atteste que la production est conforme au type certifié, puis signe la Déclaration UE de conformité en référençant le certificat obtenu.

Les normes harmonisées peuvent-elles remplacer l'intervention d'un organisme notifié ?

Pour les produits Important Class I uniquement, et à condition que les normes soient appliquées intégralement. Pour les produits Important Class II et Critiques, l'intervention d'un organisme notifié reste obligatoire, quelle que soit la couverture normative.

Quel est le coût d'une évaluation de conformité par un organisme notifié ?

Les frais de dossier se situent généralement entre 2 000 et 5 000 EUR (non remboursables). Les frais d'examen varient de 30 000 à 100 000 EUR selon la complexité du produit. Les délais d'attente oscillent entre 4 et 16 semaines selon la charge de l'organisme.

Prochaines étapes

Vous gérez la conformité CRA sur plusieurs produits ? CRA Evidence suit le module d'évaluation retenu pour chaque produit, centralise la documentation du dossier technique et surveille l'état des désignations d'Organismes Notifiés au fil des mises à jour NANDO. Une fois votre module confirmé, constituez votre dossier de preuves avec le guide du dossier technique Annexe VII. Si la classification de votre produit reste incertaine, consultez le guide de classification des produits.

Cet article est fourni à titre informatif uniquement et ne constitue pas un avis juridique. Pour des conseils de conformité spécifiques, consultez un conseiller juridique qualifié.