Classification des produits
Les produits CRA avec éléments numériques sont classés en quatre niveaux. La classification détermine quelle voie d'évaluation de la conformité s'applique. La plupart des produits sont par Défaut. Seuls ceux explicitement listés aux Annexes III et IV sont Importants ou Critiques.
Default
Tout produit avec éléments numériques non listé aux Annexes III ou IV. La grande majorité des appareils IoT grand public, logiciels d'entreprise et dispositifs industriels entre dans cette catégorie.
Évaluation de la conformité
Module A (auto-évaluation)
Produits exemples
- Appareils ménagers intelligents hors Annexe III
- Applications mobiles grand public (fonctions hors Annexe III)
- Logiciels serveur généraux
- Capteurs industriels sans rôle d'infrastructure critique
Important — Class I
Produits listés à l'Annexe III, Classe I — ceux présentant un risque cybersécurité significatif pour l'UE. Inclut les logiciels de gestion d'identité, navigateurs, gestionnaires de mots de passe et outils de gestion réseau.
Évaluation de la conformité
Module A (si normes harmonisées appliquées) ; sinon Module B+C ou H
Produits exemples
- Logiciels de gestion d'identité et d'accès privilégié
- Navigateurs autonomes et intégrés
- Gestionnaires de mots de passe
- Pare-feux réseau et applicatifs (niveau inférieur)
- Microcontrôleurs et microprocesseurs (usage général)
- Contrôleurs d'interface réseau physiques et virtuels (NICs)
- Systèmes d'exploitation à usage général
Important — Class II
Produits à risque élevé listés à l'Annexe III, Classe II — incluant hyperviseurs, TPMs, passerelles de compteurs intelligents et dispositifs industriels. Un organisme notifié doit toujours être impliqué.
Évaluation de la conformité
Module B+C ou H (organisme notifié requis)
Produits exemples
- Hyperviseurs et moteurs d'exécution de conteneurs
- Modules de plateforme de confiance (TPMs)
- Pare-feux et IDS/IPS pour usage industriel/infrastructure critique
- Éléments sécurisés
- Passerelles de compteurs intelligents
- Logiciels de systèmes d'automatisation et de contrôle industriels
- Logiciels d'accès à distance
Critical
Les produits les plus risqués listés à l'Annexe IV — dispositifs matériels avec boîtiers sécurisés, cartes à puce et modules matériels de sécurité spécialisés. Soumis aux exigences d'évaluation les plus strictes.
Évaluation de la conformité
Module B+C ou H (organisme notifié requis) — ou certification EU en cybersécurité
Produits exemples
- Modules matériels de sécurité (HSMs)
- Cartes à puce et lecteurs de cartes à puce
- Dispositifs matériels avec boîtiers sécurisés (inviolables)
- Processeurs cryptographiques spécialisés
Voies d'évaluation de la conformité
| Classe | Module A | Module B+C / H | Certification EU en cybersécurité |
|---|---|---|---|
| Default | ✓ Toujours disponible | Optionnel | Optionnel |
| Important — Class I | Si normes harmonisées appliquées | Requis sans normes harmonisées | Alternative |
| Important — Class II | ✗ Non disponible | ✓ Requis | Alternative |
| Critical | ✗ Non disponible | ✓ Requis | Alternative (lorsqu'adoptée) |
Les schémas de certification EU en cybersécurité au titre du Règlement (UE) 2019/881 (EUCC etc.) peuvent remplacer le Module B+C/H une fois l'acte d'exécution pertinent adopté.