Normes harmonisées CRA : ce qu'elles sont et leur avancement

Les normes harmonisées sont les spécifications techniques qui transforment les exigences générales de l'Annexe I du Cyber Resilience Act en dispositions concrètes et vérifiables. Cette page explique ce qu'elles sont et suit chaque projet au titre de la demande de normalisation M/606 de la Commission européenne : la catégorie de produit, l'organisme qui le rédige, son statut actuel et un lien vers chaque projet public.

Ce qu'est une norme harmonisée

Le Cyber Resilience Act énonce ses exigences essentielles de cybersécurité en termes juridiques généraux. Une norme harmonisée est une spécification technique, rédigée par une organisation européenne de normalisation à la demande de la Commission européenne, qui transforme ces exigences en dispositions concrètes et vérifiables.

Une norme harmonisée ne prend effet juridiquement qu'une fois que la Commission publie sa référence au Journal officiel de l'Union européenne (JOUE). À partir de ce moment, un produit conforme à la norme est présumé satisfaire aux exigences couvertes par cette norme. En pratique, cela fait deux choses :

• cela donne aux fabricants un moyen reconnu et auditable de démontrer la conformité ; et
• pour les produits importants de classe I, l'application d'une norme harmonisée publiée permet au fabricant de s'auto-évaluer par contrôle interne au lieu de recourir à un organisme notifié. Cela ne supprime pas l'évaluation par tierce partie dont les produits de classe II et les produits critiques ont besoin, et les produits ordinaires hors de ces niveaux peuvent déjà s'auto-évaluer par eux-mêmes.

Les normes harmonisées sont l'une des trois voies vers cette présomption. Un certificat dans le cadre d'un schéma européen de certification de cybersécurité en est une autre, au titre de l'article 27, paragraphe 8, bien qu'aucun schéma ne soit encore reconnu pour le CRA.

Statut, au 17 octobre 2026 : aucune norme harmonisée CRA n'a sa référence publiée au Journal officiel. L'EN 40000-1-1 et l'EN 40000-1-2 figurent au CEN-CENELEC comme « Under Approval », et leur ratification en tant qu'EN est prévue le 2 novembre 2026. Le CEN-CENELEC n'en attend aucune citation au Journal officiel. Les 17 projets propres à un produit de l'ETSI sont dans la procédure d'approbation de l'ETSI, et toutes les autres normes des tableaux ci-dessous restent des projets. La présomption de conformité fondée sur les normes au titre de l'Article 27(1) n'est donc pas encore disponible. L'approbation, la ratification en tant qu'EN et la citation au Journal officiel sont des jalons distincts, et seule la citation donne la présomption. Utilisez les projets pour anticiper les exigences, non comme une base achevée de conformité.

Normes horizontales et verticales

La Commission adopte une approche à deux volets : chaque projet de norme appartient à l'un des deux types suivants :

• Les normes horizontales établissent un cadre commun, une méthodologie et une taxonomie, et s'appliquent à tout produit comportant des éléments numériques.
• Les normes verticales (également appelées propres à un produit) couvrent les risques spécifiques d'un type de produit, par exemple les routeurs, ou les logiciels antivirus.

Les trois types de normes et leurs échéances

La demande de normalisation M/606 répartit les travaux en trois types. Les échéances du tableau sont des dates limites de livraison : la date à laquelle chaque organisme de normalisation doit remettre sa norme à la Commission. Ce ne sont pas des dates de publication. Une norme ne confère la présomption de conformité de l'Article 27 que lorsque sa référence paraît au Journal officiel, ce qui suit la livraison selon un calendrier que la Commission n'a pas encore arrêté.

La date de livraison du 30 août 2026 est passée, et les normes n'ont pas été livrées à cette date. Le 7 juillet 2026, la Commission a mis en circulation un projet de modification de la décision C(2025) 618, qui reporterait l'élément horizontal de type A et l'élément sur le traitement des vulnérabilités au 30 octobre 2026, et les normes propres à un produit au 31 décembre 2026. Le projet indique qu'il n'a pas été adopté par la Commission, et au 17 octobre 2026 nous n'avons trouvé aucune modification adoptée. Les dates du tableau restent donc celles de la demande initiale. Ce sont des dates de livraison à la Commission, pas des dates de citation au Journal officiel.

Quelques précisions que le tableau n'indique pas explicitement :

• Type A, cadre : le principe directeur de l'Annexe I est le suivant : « Les produits comportant des éléments numériques sont conçus, développés et fabriqués de manière à garantir un niveau de cybersécurité approprié en fonction des risques. » Le CEN-CENELEC n'attend aucune citation au Journal officiel pour l'EN 40000-1-2. Elle fixe le cadre et la méthode de gestion des risques sans donner de présomption de conformité.
• Type B, traitement des vulnérabilités : s'appuie sur les travaux ISO/IEC existants et couvre l'ensemble du processus, de la découverte et du triage jusqu'à la remédiation.
• Type C, propre à un produit : doit rester cohérent avec le type A et le type B, et s'applique aux catégories de produits importants comme aux catégories critiques.

Le type A et le type B constituent les volets horizontaux EN 40000-1. Le type C regroupe toutes les normes propres à un produit dans les tableaux par niveau ci-dessous, y compris les normes produit du CEN EN 40000-10 et EN 40000-11.

Comment les normes sont élaborées

La Commission a demandé au CEN, au CENELEC et à l'ETSI de rédiger ces normes au moyen de la demande de normalisation M/606, émise par la décision d'exécution de la Commission C(2025) 618 final (3 février 2025) :

• ETSI (comité technique CYBER, CYBER-EUSR) rédige les normes pour la plupart des catégories de logiciels importants et de produits connectés. Elles portent des références EN 304 6xx et sont les plus avancées ; leurs projets sont publics dans le dossier de consultation ouverte ETSI CYBER-EUSR, avec l'historique des projets dans les dépôts STAN4CRA d'ETSI Labs, et sont liés individuellement ci-dessous.
• Le CEN et le CENELEC rédigent les normes horizontales (les volets EN 40000-1), les profils des technologies opérationnelles (série EN 50770), les normes sur les plateformes de puces et d'éléments sécurisés (EN 40001-3 à EN 40004-3), ainsi que les travaux sur l'identité, les boîtiers de sécurité et les cartes à puce au sein du CEN/TC 224 (EN 40000-10, EN 40000-11 et EN 18330). Elles n'ont pas de dossier public unique. Le statut est suivi via la matrice des projets de normalisation CRA du DIN/DKE, la recherche de normes CEN/CENELEC, et les travaux techniques STAN4CRA.

Un projet passe par des versions de groupe de travail et une enquête CEN publique (pour ETSI, une consultation ouverte et un vote d'approbation), puis la ratification en tant qu'EN. Le CEN-CENELEC peut sauter un vote formel distinct et publier directement après une enquête positive. La ratification n'est toujours pas la ligne d'arrivée : la Commission doit ensuite citer la référence au Journal officiel, et seule cette citation déclenche la présomption de conformité. Au 17 octobre 2026, l'EN 40000-1-1 et l'EN 40000-1-2 figurent comme « Under Approval », et leur ratification est prévue le 2 novembre 2026. Les 17 projets ETSI propres à un produit sont dans la procédure d'approbation de l'ETSI. Aucune norme de cette page n'est encore ratifiée ni citée au Journal officiel. La Commission n'a confirmé aucun calendrier de citation au Journal officiel.

Comment lire le statut

Les tableaux ci-dessous sont groupés par niveau de conformité CRA. Les normes horizontales s'appliquent à chaque produit ; les normes verticales (propres à un produit) sont réparties en produits importants de classe I, produits importants de classe II et produits critiques, parce que le niveau détermine la voie de conformité. La référence de la norme indique qui la rédige :

• EN 304 6xx : ETSI.
• EN 40000-1-x : CEN-CLC/JTC 13.
• EN 40000-10, EN 40000-11 et EN 18330 : CEN/TC 224.
• EN 50770 : profils technologies opérationnelles du CLC/TC 65X qui accompagnent les normes ETSI pour les mêmes fonctions.
• EN 40001-3 à EN 40004-3 : CLC/TC 47X. Elles remplacent les références de projet antérieures EN 50765, EN 50766, EN 50764 et EN 50767, dans cet ordre.

Aucune norme n'a encore atteint « Approuvée (EN ratifiée) » ni « Publiée au JOUE ». L'EN 40000-1-1 et l'EN 40000-1-2 sont à « En cours d'approbation », avec une ratification prévue le 2 novembre 2026. Le statut reflète les preuves publiques les plus récentes à la date indiquée en tête de cette page.

Normes horizontales : la série EN 40000

Les volets EN 40000-1, rédigés par le CEN-CLC/JTC 13, s'appliquent à chaque produit comportant des éléments numériques, en plus de toute norme verticale (propre à un produit) dans les sections ci-dessous. L'EN 40000-10 et l'EN 40000-11 sont des normes produit du CEN/TC 224 et figurent dans les tableaux par niveau.

La base de données du CEN-CENELEC indique « No citation expected for Directive 2024/2847 » (aucune citation attendue) pour l'EN 40000-1-1 et l'EN 40000-1-2. Une norme ne donne une présomption de conformité qu'une fois sa référence citée au Journal officiel. Ces deux volets fixent donc le vocabulaire commun et la méthode de gestion des risques, mais ils n'ouvrent pas de voie de conformité à eux seuls.

Produits importants : classe I

Ces normes couvrent les catégories de classe I de l'Annexe III. L'application d'une norme harmonisée publiée permet à un fabricant de classe I de s'auto-évaluer par contrôle interne ; sans elle, la conformité doit être démontrée autrement.

Produits importants : classe II

Les produits de classe II nécessitent toujours une évaluation par tierce partie (organisme notifié) ; une norme harmonisée ne débloque pas l'auto-évaluation pour eux.

Produits critiques

Les produits critiques (Annexe IV) doivent recourir à un schéma européen de certification de cybersécurité lorsqu'un tel schéma est imposé, ou sinon aux mêmes voies tierces que les produits de classe II. Une norme harmonisée ne supprime pas cette exigence. Les entrées 39, 40 et 41 sont élaborées dans un cadre restreint, car elles couvrent des produits critiques sensibles. C'est pourquoi leurs projets ne sont pas publics.