CRA déclaration UE de conformité : modèle et éléments

Tout produit comportant des éléments numériques a besoin d'une déclaration UE de conformité avant de pouvoir légalement porter le marquage CE. La DoC est votre déclaration formelle attestant que le produit répond aux exigences du CRA. Vous êtes légalement responsable de son exactitude.

Ce guide propose un modèle complet et détaille chaque élément requis.

Qu'est-ce que la déclaration UE de conformité ?

La déclaration UE de conformité est un document juridique formel par lequel le fabricant déclare qu'un produit est conforme à la législation de l'Union applicable. Elle est obligatoire pour tout produit comportant des éléments numériques avant qu'il ne puisse porter le marquage CE. Pour les produits CRA, elle doit indiquer :

• Le produit répond aux exigences essentielles de cybersécurité.
• L'évaluation de la conformité a été achevée.
• Le fabricant assume la responsabilité juridique.

Sans DoC signée, votre produit ne peut pas porter le marquage CE ni être légalement mis sur le marché de l'Union.

Que requiert le CRA dans la DoC ?

La DoC doit être établie avant la mise sur le marché, tenue à jour à mesure que le produit ou son statut de conformité évolue, traduite dans la ou les langues exigées par chaque État membre où le produit est vendu, et conservée avec le dossier technique pendant au moins dix ans.

Remarque : lorsqu'un produit relève de plusieurs actes de l'Union exigeant chacun une déclaration de conformité, vous devez établir une seule déclaration combinée qui les couvre tous, en identifiant chaque acte, y compris sa référence de publication. Voir la variation « Plusieurs règlements » plus loin dans ce guide.

Éléments requis

#	Élément	Ce qu'il faut inclure
1	Nom et type du produit	Nom, type et toute information supplémentaire permettant l'identification unique du produit comportant des éléments numériques.
2	Identification du fabricant	Nom et adresse du fabricant ou de son mandataire.
3	Attestation de responsabilité exclusive	Une déclaration attestant qu'elle est établie sous la seule responsabilité du fournisseur. Formulation suggérée : « La présente déclaration de conformité est établie sous la seule responsabilité du fournisseur. » Le texte du CRA utilise le terme « fournisseur ».
4	Objet de la déclaration	Identification du produit permettant la traçabilité, pouvant inclure une photographie si approprié.
5	Mention de conformité	Une déclaration attestant que l'objet est conforme à la législation d'harmonisation de l'Union pertinente, y compris le règlement (UE) 2024/2847 et tout autre acte de l'Union applicable.
6	Normes et certifications appliquées	Normes harmonisées, spécifications communes ou certifications de cybersécurité invoquées.
7	Coordonnées de l'organisme notifié	Nom, numéro, procédure d'évaluation de la conformité suivie, référence du certificat. Requis uniquement lorsqu'un module d'évaluation par un tiers a été utilisé.
8	Informations complémentaires et signature	Lieu et date d'émission ; nom, fonction et signature du signataire (par exemple manuscrite ou électronique qualifiée). Autres informations complémentaires si nécessaire.

Chaque ligne correspond à l'élément numéroté du même rang dans le modèle de déclaration UE.

Remarque : un numéro de déclaration n'est pas obligatoire, mais il est fortement recommandé pour le contrôle de version et le suivi interne.

Modèle complet de DoC

Utilisez ce modèle comme point de départ. Personnalisez les champs entre crochets pour votre produit.

Remarque : la section 3 doit indiquer que la déclaration est établie sous la seule responsabilité du fournisseur. Le CRA exige une déclaration en ce sens et utilise le terme « fournisseur ». La formulation ci-dessous y répond.

Guide section par section

1. Identification du document

Numéro de déclaration. Non obligatoire, mais fortement recommandé pour le contrôle de version. Un format pratique est DoC-[CodeProduit]-[Année]-[Séquence], par exemple DoC-SSP3000-2027-001.

Date d'émission. La date à laquelle vous signez la déclaration. Elle doit être postérieure à l'achèvement de l'évaluation de la conformité.

2. Identification du fabricant

Le signataire est une personne habilitée à engager juridiquement le fabricant. Le CRA n'impose pas en soi de désigner un mandataire. Lorsqu'un mandataire est désigné et que son mandat le prévoit expressément, il peut rédiger et signer la déclaration UE de conformité et apposer le marquage CE au nom du fabricant et sous sa responsabilité. Le fabricant reste légalement responsable de la conformité du produit. Si un mandataire agit, ajoutez une ligne telle que :

Mandataire : [Nom, Adresse]
agissant au nom de : [Nom du fabricant, Adresse]

3. Identification du produit

Soyez suffisamment précis pour assurer la traçabilité : indiquez les numéros de modèle, distinguez les versions matérielles et logicielles, et précisez la portée des numéros de lot ou de série.

Exemple :

Nom du produit :     SmartSense Pro Industrial Sensor
Modèle/type :        SSP-3000
Version matérielle : Rev C (PCB v3.2)
Version logicielle : Firmware 2.4.1
Lot/série :          Numéros de série SSP3K-2027-XXXXXX

4. Évaluation de la conformité

Le module à utiliser dépend de la classification de votre produit. Ce tableau vous aide à vous orienter :

Module	Quand il s'applique	Organisme notifié ?
Module A (contrôle interne de la production)	Produits par défaut ; produits importants de classe I lorsque les normes, spécifications ou le schéma pertinents s'appliquent pleinement	Non
Module B+C (examen UE de type)	Disponible pour tous les produits ; option obligatoire pour les produits importants de classe I lorsqu'ils ne s'appliquent pas pleinement ; une voie pour les produits importants de classe II et le recours par défaut pour les produits critiques	Oui
Module H (assurance qualité complète)	Tous les produits ; alternative au B+C pour les produits importants de classe I et de classe II	Oui
Schéma européen de certification de cybersécurité	Lorsqu'un schéma applicable existe, un certificat de niveau d'assurance ≥ substantiel	Supprime l'obligation d'évaluation par un tiers, mais uniquement pour les exigences couvertes par le certificat
Logiciels libres et open source	Produits importants répondant aux conditions, lorsque la documentation technique est publique dès la mise sur le marché	Peuvent utiliser n'importe quelle voie Module A/B+C/H, y compris le Module A

Remarque : les produits critiques suivent un parcours d'évaluation de la conformité plus strict. Utilisez le guide de décision d'évaluation de la conformité pour la logique complète.

Utilisez cet organigramme pour identifier votre parcours :

flowchart TD
    A["Quelle est la classe de votre produit ?"] --> B["Par défaut
(non listé)"]
    A --> C["Produits importants
de classe I"]
    A --> D["Produits importants
de classe II"]
    A --> E["Critique
(liste critique)"]
    B --> F["Module A, B+C ou H
votre choix"]
    C --> G{"Normes, spécifications ou
schéma pleinement appliqués ?"}
    G -->|Oui| H["Module A disponible
ou B+C / H"]
    G -->|Non| I["Module B+C ou H
organisme notifié requis"]
    D --> J["Module B+C, H, ou un schéma de certification de niveau au moins substantiel"]
    E --> K["Voie de certification si applicable
sinon voies tierces"]

5. Normes appliquées

Les normes harmonisées sont des normes publiées au Journal officiel de l'Union européenne. Elles créent une présomption de conformité pour les exigences qu'elles couvrent. Indiquez la référence complète : numéro, année, titre.

Format :

EN 303 645:2020, Cybersécurité pour l'Internet des objets grand public : exigences de base

En l'absence de normes harmonisées, indiquez : « Aucune norme harmonisée appliquée. Conformité démontrée par [décrire l'approche]. »

Si un certificat européen de cybersécurité a été utilisé lors de l'évaluation de la conformité, indiquez-le avec le nom du schéma et le numéro de référence du certificat (cela couvre le champ certification de la déclaration).

6. Informations complémentaires spécifiques au CRA

Cette section ne fait pas partie du modèle minimal de déclaration, mais l'inclure améliore la transparence réglementaire :

• Période d'assistance. Indiquez la date de fin des mises à jour de sécurité. Elle doit être d'au moins 5 ans à compter de la mise sur le marché, ou correspondre à la durée d'utilisation prévue si elle est plus courte.
• Contact vulnérabilités. L'endroit où les signalements doivent être envoyés, avec une référence à votre fichier security.txt.

Remarque : la date de fin de la période d'assistance doit également figurer au point de vente. L'inclure dans la DoC est une bonne pratique, mais elle ne remplace pas la communication au point de vente.

7. Signature

Toute personne habilitée à engager juridiquement le fabricant peut signer. Il s'agit généralement du PDG, d'un directeur, du responsable qualité ou du responsable des affaires réglementaires. La DoC doit porter le nom complet et la fonction du signataire, le lieu et la date (la date doit être postérieure à l'achèvement de l'évaluation), ainsi qu'une signature, par exemple manuscrite ou électronique qualifiée.

Quand le marquage CE doit-il être apposé par rapport à la déclaration de conformité ?

Pour les produits physiques, apposez le marquage CE de façon visible, lisible et indélébile sur le produit avant sa mise sur le marché. Lorsque cela n'est pas possible ou n'est pas justifié par la nature du produit, apposez-le sur l'emballage et sur la déclaration UE de conformité.

Pour les produits exclusivement logiciels, le marquage CE figure soit directement sur la déclaration UE de conformité, soit sur le site web du produit, dans une section facilement et directement accessible aux consommateurs.

Lorsqu'un organisme notifié intervient dans le cadre du Module H, le marquage CE doit être suivi du numéro d'identification de cet organisme.

Remarque : le marquage CE doit être apposé avant la mise sur le marché, jamais après. Pour les produits logiciels, vérifiez que la DoC ou la section du site web est en ligne avant le début de toute distribution.

La DoC doit-elle être traduite ?

Oui. La DoC doit être mise à disposition dans la ou les langues exigées par chaque État membre où le produit est mis sur le marché.

En pratique :

• Vente uniquement en Allemagne : une DoC en allemand est requise.
• Vente dans toute l'Union : plusieurs versions linguistiques seront nécessaires.
• Conservez toutes les versions linguistiques dans le dossier technique.

La DoC simplifiée et l'URL renvoyant vers la DoC complète doivent également être dans la ou les langues requises. Garder cette URL stable et accessible est une bonne pratique.

Chaque modèle ou version de produit a-t-il besoin de sa propre déclaration de conformité ?

Une DoC par type de produit

Chaque modèle ou type de produit distinct a généralement besoin de sa propre DoC.

Une seule DoC peut couvrir plusieurs variantes lorsque ce sont des variantes du même type, que la même évaluation de la conformité s'applique à toutes et que les mêmes normes ont été appliquées.

Exemple :

Nom du produit :  SmartSense Pro Industrial Sensor
Modèle/type :     SSP-3000 (toutes variantes)
                  - SSP-3000-WiFi
                  - SSP-3000-LoRa
                  - SSP-3000-Cellular

Quand une modification exige-t-elle une nouvelle DoC ?

Avertissement : une modification substantielle est un changement apporté après la mise sur le marché du produit qui affecte sa conformité aux exigences essentielles de cybersécurité, ou qui modifie la finalité prévue au titre de laquelle il a été évalué. Elle déclenche l'obligation d'une nouvelle DoC. Un tiers qui réalise la modification substantielle et met également le produit à disposition sur le marché devient le fabricant et doit émettre la nouvelle DoC.

Le tableau ci-dessous présente les cas de figure les plus courants. Appliquez le test ci-dessus plutôt que de considérer un déclencheur isolé comme automatique.

Scénario	Nouvelle DoC requise ?
Nouvelle version matérielle affectant la conformité aux exigences essentielles	Oui, modification substantielle
Mise à jour du firmware qui élargit la surface d'attaque ou augmente le risque cybersécurité	Oui, modification substantielle
Mise à jour du firmware qui modifie la finalité prévue du produit	Oui, modification substantielle
Correctif de sécurité (même architecture, aucun nouveau risque, réduction des CVE)	Au cas par cas
Modification des normes harmonisées appliquées ou du certificat d'évaluation de la conformité	Au cas par cas, uniquement si cela reflète un changement affectant les exigences essentielles ou la finalité prévue évaluée
Modification cosmétique, documentaire uniquement ou de localisation	Non
Un tiers modifie substantiellement le produit et le met à disposition sur le marché	Oui, le tiers émet la nouvelle DoC en tant que nouveau fabricant

Pour les versions logicielles itératives qui ne sont pas des modifications substantielles, la DoC existante reste valable. Vous devez pouvoir le démontrer aux autorités de surveillance du marché, et la mise à jour de l'évaluation des risques en est le moyen.

Distribution de la DoC

La DoC doit accompagner le produit. Vous pouvez choisir entre :

• la DoC complète, ou
• une DoC simplifiée portant l'adresse internet exacte où la DoC complète est publiée.

L'une ou l'autre forme doit également être fournie sur demande aux autorités de surveillance du marché, et devrait être mise à disposition des clients sur demande.

Déclaration UE de conformité simplifiée

La forme simplifiée tient en deux phrases : la déclaration du fabricant et une URL où consulter le document complet. Elle est particulièrement utile pour les distributions logicielles, le matériel à emballage contraint et tout produit dont la DoC complète est publiée en ligne.

L'URL : le CRA exige seulement que la DoC simplifiée porte l'adresse internet exacte où la DoC complète est accessible. En pratique, il est recommandé de garder cette URL stable (ne pas la modifier après distribution des produits), accessible sans inscription ni connexion, et téléchargeable ou imprimable. La DoC complète doit toujours exister dans le dossier technique et rester disponible aux autorités sur demande.

Pièges courants

Erreur	Pourquoi c'est important	Correction
Éléments requis manquants (par exemple aucune mention de conformité, ou coordonnées de l'organisme notifié manquantes alors qu'un organisme notifié est intervenu)	La DoC est non conforme	Utilisez la checklist avant de signer ; vérifiez chaque élément requis de la déclaration
Mauvaise entité signataire (l'importateur ou le distributeur signe à la place du fabricant)	La DoC est juridiquement invalide	Seule une personne habilitée à engager le fabricant, ou un mandataire dûment mandaté, peut signer. Un importateur ou un distributeur ne le peut pas, sauf s'il est devenu le fabricant
Références de normes obsolètes (normes retirées ou remplacées listées)	La présomption de conformité est perdue	Révisez régulièrement les normes appliquées ; mettez à jour la DoC quand elles changent
Aucun contrôle de version (plusieurs versions de DoC existent sans version courante claire)	Risque en audit et en application	Attribuez des numéros de déclaration ; archivez les versions remplacées
Signature avant la fin de l'évaluation (DoC datée avant la fin des activités de conformité)	La DoC est antérieure aux preuves sur lesquelles elle s'appuie	Achevez d'abord toutes les activités d'évaluation ; la date de la DoC doit suivre l'évaluation
Mauvaise langue (DoC uniquement en anglais alors que le produit est vendu dans un État membre non anglophone)	Non conforme pour ce marché	Traduisez la DoC dans chaque langue exigée par l'État membre
Pas de mise à jour après modification substantielle (la DoC d'origine reste utilisée après un changement important)	La DoC couvre une version qui n'a jamais été évaluée	Émettez une nouvelle DoC à chaque modification substantielle

Checklist de préparation de la DoC

Variations du modèle de DoC

Pour le Module A (auto-évaluation)

Pour le Module B+C (tierce partie)

Pour plusieurs règlements

Une seule DoC combinée est obligatoire lorsqu'un produit relève à la fois du CRA et d'une autre législation de l'Union exigeant également une déclaration de conformité. Elle doit identifier chaque acte, y compris sa référence de publication :

Exigences de conservation

Ce qu'il faut conserver	Durée de conservation	Où
DoC signée (ou copie authentifiée)	10 ans après la mise sur le marché, ou la période d'assistance si elle est plus longue	Dossier technique ; accessible aux autorités sur demande
Historique des versions et DoC remplacées	Avec la DoC en vigueur	Dossier technique
Documentation justificative référencée dans la DoC	Avec la DoC	Dossier technique