Évaluation de conformité CRA : module A ou organisme notifié

Votre voie d'évaluation de la conformité CRA détermine le coût, le calendrier et les dépendances externes. Choisissez mal et vous perdrez des mois et des milliers d'euros. Choisissez juste et vous aurez un chemin clair vers le marquage CE.

Ce guide vous aide à sélectionner le bon module d'évaluation de la conformité et à comprendre ce que chacun implique.

Sources : Article 13(13) du CRA (durée de conservation) ; base de données NANDO, registre officiel des organismes notifiés de l'UE (état des désignations) ; chiffres mentionnés dans ce guide. Le chiffre « ~90 % » des produits Default est une estimation fondée sur l'étroitesse des annexes III/IV, et non une valeur établie par le RCC.

Aperçu de l'évaluation de la conformité

L'évaluation de la conformité est la manière dont vous démontrez que votre produit satisfait aux exigences du CRA. La déclaration UE de conformité (DoC) que vous signez déclare que votre produit est conforme, mais vous devez disposer des preuves correspondantes.

Le CRA propose trois modules d'évaluation de la conformité. L'arbre de décision ci-dessus associe chaque catégorie de produit à ses voies autorisées. Le Module A est une auto-évaluation du fabricant. Le Module B+C combine un examen UE de type par un organisme notifié (B) avec une phase de conformité à la production que vous gérez vous-même (C). Le Module H est une voie unique dans laquelle un organisme notifié approuve votre système de management de la qualité et en assure la surveillance continue.

Quand l'auto-évaluation Module A est-elle possible ?

Auto-évaluation. Vous évaluez vous-même votre produit au regard des exigences du CRA.

Conditions d'accès au Module A

• Produits Default : toujours disponible
• Important Class I : uniquement si vous appliquez intégralement les normes harmonisées pertinentes

Signification des « normes harmonisées »

Pour l'auto-évaluation Important Class I, vous devez appliquer des normes harmonisées qui :

• couvrent les exigences essentielles de l'Annexe I
• sont publiées au Journal officiel de l'UE
• sont appliquées dans leur intégralité (pas partiellement)

Si aucune norme harmonisée n'existe pour votre type de produit, les produits Important Class I doivent recourir au Module B+C ou H.

Les normes harmonisées pour le CRA sont encore en cours d'élaboration. Suivez les publications au JOUE.

Processus Module A

1. Phase de conception. Appliquer les principes de sécurité dès la conception, réaliser une évaluation des risques au regard de l'Annexe I, documenter l'architecture de sécurité et appliquer les normes harmonisées si votre produit est Important Class I.
2. Documentation. Constituer le dossier technique (Annexe VII) couvrant la description du produit, les résultats de l'évaluation des risques, la documentation de conception, les normes appliquées, les résultats des tests et le SBOM. Préparer la déclaration UE de conformité.
3. Contrôles de production. Veiller à ce que la production maintienne la conformité, documenter les contrôles qualité et vérifier chaque unité le cas échéant.
4. Finalisation. Signer la déclaration UE de conformité, apposer le marquage CE et conserver la documentation pendant 10 ans.

Exigences documentaires du Module A

Votre dossier technique au titre du Module A (Annexe VII) doit couvrir ces six domaines.

Coûts Module A

Élément de coût	Fourchette typique	Notes
Évaluation des risques	5 000-15 000 EUR	Interne ou consultant
Documentation technique	5 000-20 000 EUR	Selon la complexité
Tests	2 000-10 000 EUR	Interne ou laboratoire
Outillage SBOM	0-5 000 EUR	Outils peut-être déjà disponibles
Temps du personnel interne	Variable	Souvent le poste le plus important

Fourchette totale typique : 15 000-50 000 EUR (coûts internes)

Calendrier Module A

Phase	Durée
Évaluation des risques	2-4 semaines
Documentation	4-8 semaines
Tests	2-4 semaines
Revue et finalisation	1-2 semaines

Calendrier total typique : 2-4 mois

Quand le CRA impose-t-il un organisme notifié ?

Évaluation par tierce partie. Un organisme notifié examine la conception de votre produit.

Cas où un organisme notifié est requis

• Important Class II : Module B+C, H, ou un schéma article 27(9) au niveau d'assurance « substantiel » (Article 32(3)).
• Produits critiques (Annexe IV) : soit un schéma européen de certification de cybersécurité au titre de l'Article 8(1) une fois qu'un acte délégué de la Commission s'applique (par ex. l'EUCC au niveau « substantiel »), soit, en l'absence d'un tel acte délégué, les procédures de l'Article 32(3) (B+C, H, ou schéma article 27(9)). L'EUCC n'est pas cumulé avec B+C / H ; c'est une voie parallèle.
• Important Class I : Module B+C ou H si les normes harmonisées, les spécifications communes ou les schémas article 27 ne sont pas appliqués ou ne le sont que partiellement (Article 32(2)).

Module B : examen UE de type

Un organisme notifié examine un échantillon représentatif (type) de votre produit et délivre un certificat.

1. Candidature. Sélectionner un organisme notifié et soumettre votre dossier avec des échantillons du produit, la documentation technique et le formulaire de demande. Acquitter les frais initiaux.
2. Examen. L'organisme notifié examine la documentation, teste l'échantillon du produit, vérifie la conformité à l'Annexe I et peut demander des informations ou tests complémentaires.
3. Décision. Si le produit est conforme, l'organisme notifié délivre le Certificat d'examen UE de type. En cas de non-conformité, vous remédiez aux déficiences et soumettez à nouveau.
4. Certificat. Valable pour le type évalué, avec les conditions éventuelles indiquées sur le certificat. Toute modification susceptible d'affecter la conformité requiert un additif au certificat initial (annexe VIII partie II, points 6–7). Le RCC ne prescrit pas d'intervalle fixe de réexamen.

Module C : conformité au type

Après le Module B, vous vérifiez que la production est conforme au type certifié.

1. Contrôles de production. Veiller à ce que chaque unité soit conforme au type certifié, documenter les processus de production et maintenir les contrôles qualité.
2. Déclaration. Référencer le Certificat d'examen UE de type, signer la déclaration UE de conformité et apposer le marquage CE.
3. Suivi continu. Maintenir la conformité au type certifié, signaler à l'organisme notifié les modifications susceptibles d'affecter le type et recertifier en cas de changements substantiels.

Sélection de l'organisme notifié

Critères à prendre en compte lors du choix d'un organisme notifié :

Critère	Considération
Périmètre	L'organisme est-il désigné pour le CRA et votre type de produit ?
Capacité	Dispose-t-il de disponibilités ? (début du CRA = capacité limitée)
Localisation	Logistique simplifiée s'il est proche
Expérience	Connaissance de votre type de produit
Coût	Les frais varient sensiblement
Délai	Dans quel délai peut-il programmer l'examen ?

Trouver des organismes notifiés : consultez la base de données NANDO (registre officiel des organismes notifiés de l'UE) une fois les désignations CRA publiées.

Coûts Module B+C

Élément de coût	Fourchette typique	Notes
Frais de dossier ON	2 000-5 000 EUR	Non remboursables
Frais d'examen ON	15 000-50 000 EUR	Selon la complexité
Préparation des échantillons	1 000-5 000 EUR	Échantillons pour les tests
Documentation technique	10 000-30 000 EUR	Doit satisfaire aux exigences de l'ON
Déplacements/logistique	1 000-5 000 EUR	Si visites sur site nécessaires
Remédiation (si nécessaire)	Variable	Nouveaux tests, corrections documentaires

Fourchette totale typique : 30 000-100 000 EUR+

Calendrier Module B+C

Phase	Durée
Sélection de l'ON et candidature	2-4 semaines
Préparation de la documentation	4-8 semaines
Délai d'attente ON	4-16 semaines (très variable)
Examen	4-8 semaines
Délivrance du certificat	2-4 semaines

Calendrier total typique : 4-10 mois

Module H : assurance complète de la qualité

Approche système de management de la qualité (SMQ). Un organisme notifié approuve votre SMQ pour la conception, la production et les tests.

Quand le Module H est pertinent

Le Module H est avantageux lorsque :

• vous disposez de plusieurs produits nécessitant une évaluation par tierce partie
• vous avez déjà un SMQ mature (ISO 9001, ISO 27001)
• vous préférez une relation continue avec un organisme notifié plutôt qu'un examen par produit
• vous publiez des mises à jour fréquentes

Processus Module H

1. Établissement du SMQ. Concevoir un système qualité couvrant votre processus de conception, les contrôles de production, les procédures de test et la gestion documentaire, en alignement avec les exigences du CRA.
2. Évaluation par l'organisme notifié. Soumettre la documentation SMQ, accueillir l'audit de l'organisme notifié, vérifier l'alignement CRA et recevoir le certificat d'approbation du SMQ.
3. Conception du produit (par produit). Suivre le SMQ approuvé pour la conception, réaliser un examen de conception, documenter la conformité et permettre les audits de l'organisme notifié sur le processus de conception.
4. Production. Suivre le SMQ approuvé pour la production, documenter la conformité et accepter les audits de surveillance de l'organisme notifié.
5. Déclaration (par produit). Signer la déclaration UE de conformité, référencer le certificat SMQ et apposer le marquage CE.
6. Suivi continu. Maintenir le SMQ et se soumettre aux audits périodiques de surveillance par l'organisme notifié (annexe VIII partie IV, points 4.1–4.3). Le RCC ne prescrit pas de fréquence de surveillance ni de cycle de recertification ; la cadence est fixée dans le plan d'audit.

Exigences SMQ du Module H

Votre système de management de la qualité doit couvrir quatre domaines en parallèle. Une lacune dans l'un d'eux bloque la certification.

Coûts Module H

Élément de coût	Fourchette typique	Notes
Développement/mise à niveau du SMQ	20 000-50 000 EUR	Si démarrage à zéro
Audit initial de l'organisme notifié	15 000-30 000 EUR	Certification SMQ
Surveillance annuelle	5 000-15 000 EUR	Continu
Revue de conception par produit	5 000-15 000 EUR	Selon la complexité

Mise en place initiale : 40 000-100 000 EUR Coût annuel continu : 10 000-30 000 EUR

Module H vs B+C : critères de décision

Critère	Module B+C	Module H
Nombre de produits	1-3 produits	4+ produits
SMQ existant	Pas de SMQ mature	SMQ mature disponible
Fréquence des mises à jour	Mises à jour peu fréquentes	Versions fréquentes
Taille de l'organisation	Petite/moyenne	Moyenne/grande
Coût initial	Plus bas	Plus élevé
Coût par produit	Plus élevé	Plus bas
Coût continu	Plus bas	Plus élevé (surveillance)

Règle générale : le Module H devient rentable à partir de 4 produits ou lorsque des re-examens fréquents seraient nécessaires.

Cadre de décision

Étape 1 : déterminer la classification du produit

Utilisez le guide de classification des produits pour déterminer : Default, Important Class I, Important Class II ou Critique.

Étape 2 : identifier les options disponibles

L'arbre de décision en tête de ce guide présente la correspondance complète. Le tableau ci-dessous résume les mêmes voies sous forme textuelle.

Étape 3 : examiner les facteurs opérationnels

L'étape 3 vous aide uniquement à choisir parmi les modules que l'étape 2 a laissés disponibles. L'Annexe VIII du CRA rend le Module A légalement inaccessible pour Important Class I sans normes harmonisées, pour Important Class II et pour les produits Critiques. Les deux tableaux ci-dessous se répartissent selon cette contrainte afin que chaque ligne corresponde à une option réellement accessible selon votre situation.

Lorsque les Modules A, B+C et H sont tous disponibles

S'applique aux produits Default et aux produits Important Class I avec normes harmonisées intégralement appliquées.

Lorsque seuls les Modules B+C et H sont disponibles

S'applique aux produits Important Class I sans normes harmonisées, Important Class II et Critiques. Le Module A n'est pas une option légale pour ces catégories, quelles que soient les contraintes budgétaires ou de calendrier.

Ce deuxième tableau fait écho au tableau « Module H vs B+C : critères de décision » plus haut dans ce guide. Lorsque les deux se recoupent, traitez-les comme la même décision vue sous deux angles : le tableau précédent est pondéré par les coûts, celui-ci par l'adéquation opérationnelle.

Étape 4 : calculer les coûts

Scénario : 5 produits Important Class II, sans SMQ existant, horizon 5 ans avec 2 mises à jour par produit.

Déclaration UE de conformité

Quel que soit le module retenu, vous devez émettre une déclaration UE de conformité.

Contenu obligatoire de la DoC

La déclaration UE de conformité pour le Règlement sur la cyberrésilience est le Règlement (UE) 2024/2847. Toute DoC doit comporter les huit rubriques ci-dessous, suivies du bloc signataire.

1. Identification du produit. Nom, type, lot et numéro(s) de série du produit, avec un niveau de détail suffisant pour la traçabilité.
2. Nom et adresse du fabricant. Entité juridique responsable de la déclaration. Coordonnées du mandataire autorisé, le cas échéant.
3. Déclaration de responsabilité. « La présente déclaration de conformité est établie sous la seule responsabilité du fabricant. »
4. Objet de la déclaration. Description du produit suffisante pour la traçabilité, avec photographie ou dessin si le produit est physique.
5. Législation de l'Union applicable. Lister chaque règlement auquel le produit est conforme, en commençant par le Règlement (UE) 2024/2847 (Règlement sur la cyberrésilience) et en ajoutant toute autre législation horizontale (RED, CEM, Machines, etc.) applicable.
6. Normes harmonisées ou spécifications appliquées. Lister chaque norme avec son numéro de version. Si aucune norme harmonisée ne couvre une partie de l'Annexe I, référencer la spécification ou la spécification commune utilisée à la place.
7. Bloc organisme notifié (Module B+C ou H). Nom de l'organisme notifié, numéro d'identification à quatre chiffres, référence du certificat, module réalisé et numéro du certificat délivré. Omettre entièrement ce champ pour le Module A.
8. Informations complémentaires. Date de fin de la période d'assistance, point de contact pour les signalements de vulnérabilités et toute autre information exigée par le CRA ou la législation applicable.

Marquage CE

Après l'évaluation de la conformité, apposez le marquage CE. La forme visuelle du marquage est fixée. Ce qui change, c'est la présence ou non d'un numéro d'organisme notifié à quatre chiffres.

Exigences du marquage CE

Positionnement du marquage CE

Erreurs courantes

Chacune des cinq erreurs ci-dessous a la même anatomie : un raccourci tentant, une conséquence grave et une habitude préventive spécifique.

Liste de contrôle de l'évaluation de la conformité

Commencez par la carte de pré-évaluation. Puis remplissez uniquement les cartes correspondant au module utilisé par votre produit. Chaque produit se termine sur la carte de finalisation.