Guide

Produits importants et critiques du CRA : classes et procédures

Au titre du Cyber Resilience Act, règlement (UE) 2024/2847, la plupart des produits comportant des éléments numériques relèvent de la catégorie par défaut et peuvent faire l'objet d'une auto-évaluation. Les produits dont la fonctionnalité de base correspond à une catégorie de l'annexe III sont des produits importants de classe I ou de classe II, et ceux qui correspondent à l'annexe IV sont des produits critiques. Les produits de classe II et les produits critiques nécessitent un organisme notifié ou une certification européenne de cybersécurité, et les produits de classe I également, sauf si vous appliquez intégralement des normes harmonisées, des spécifications communes ou une certification.

8 min de lectureMis à jour le 7 octobre 2026Par l'équipe éditoriale de VeridEx

Les quatre catégories de produits du CRA en bref

Le règlement sur la cyberrésilience (Cyber Resilience Act, CRA), règlement (UE) 2024/2847, fixe des exigences de cybersécurité pour les produits comportant des éléments numériques. Les exigences sont les mêmes pour tous les produits. Ce qui change selon la catégorie, c'est la procédure d'évaluation de la conformité que vous pouvez utiliser, et donc la nécessité ou non de faire intervenir un organisme notifié. Il existe quatre catégories :

Catégorie par défaut : tout produit comportant des éléments numériques qui ne figure ni à l'annexe III ni à l'annexe IV. Elle couvre la plupart des produits.
Produits importants, classe I : les 19 catégories de produits de l'annexe III, classe I.
Produits importants, classe II : les 4 catégories de produits de l'annexe III, classe II.
Produits critiques : les 3 catégories de produits de l'annexe IV.

La catégorie détermine la procédure d'évaluation de la conformité à partir de la date d'application des obligations principales, le 11 décembre 2027. Pour le calendrier complet, y compris les obligations de signalement applicables depuis le 11 septembre 2026, consultez notre guide sur les dates du Cyber Resilience Act.

Produits importants de classe I et de classe II : la liste de l'annexe III

L'article 7 du CRA définit les produits importants. Les classes I et II reflètent le niveau de risque de cybersécurité lié à la fonction du produit. Les intitulés ci-dessous sont repris de l'annexe III. Certaines entrées sont abrégées ici : lisez donc le libellé complet au Journal officiel.

Classe I (annexe III, 19 catégories)

Systèmes de gestion des identités et logiciels et dispositifs de gestion des accès privilégiés, dont lecteurs d'authentification et de contrôle d'accès et lecteurs biométriques
Navigateurs autonomes et intégrés
Gestionnaires de mots de passe
Logiciels qui recherchent, suppriment ou mettent en quarantaine des logiciels malveillants
Produits comportant des éléments numériques avec la fonction de réseau privé virtuel (VPN)
Systèmes de gestion de réseau ; systèmes de gestion des informations et des événements de sécurité (SIEM) ; gestionnaires de démarrage
Infrastructure à clé publique et logiciels d'émission de certificats numériques
Interfaces réseau physiques et virtuelles ; systèmes d'exploitation
Routeurs, modems destinés à la connexion à l'internet et commutateurs
Microprocesseurs et microcontrôleurs dotés de fonctionnalités liées à la sécurité ; circuits intégrés spécifiques à l'application (ASIC) et réseaux de portes programmables (FPGA) dotés de fonctionnalités liées à la sécurité
Assistants virtuels polyvalents pour maison intelligente
Produits domestiques intelligents dotés de fonctionnalités de sécurité, notamment serrures, caméras de sécurité, systèmes de surveillance pour bébé et systèmes d'alarme
Certains jouets connectés à l'internet et certains produits portables personnels (lisez les conditions exactes à l'annexe III)

Classe II (annexe III, 4 catégories)

Hyperviseurs et systèmes d'exécution de conteneurs prenant en charge l'exécution virtualisée de systèmes d'exploitation et d'environnements similaires
Pare-feu, systèmes de détection et de prévention des intrusions
Microprocesseurs résistants aux manipulations
Microcontrôleurs résistants aux manipulations

Les produits critiques de l'annexe IV

L'article 8 traite des produits critiques. L'annexe IV énumère actuellement trois catégories :

Dispositifs matériels avec boîtier de sécurité
Passerelles pour compteur intelligent au sein des systèmes intelligents de mesure, et autres dispositifs à des fins de sécurité avancées, y compris pour un traitement cryptographique sécurisé
Cartes à puce ou dispositifs similaires, y compris éléments sécurisés

La Commission peut modifier les annexes III et IV par voie d'acte délégué, en ajoutant, en déplaçant ou en supprimant des catégories, avec une période de transition. Vérifiez le texte consolidé avant de vous fier à une liste enregistrée il y a quelque temps.

Règlement d'exécution (UE) 2025/2392 : les descriptions techniques

Les intitulés des annexes III et IV sont brefs. L'article 7, paragraphe 4, du CRA imposait à la Commission d'adopter, au plus tard le 11 décembre 2025, un acte d'exécution contenant une description technique de chaque catégorie. La Commission l'a fait avec le règlement d'exécution (UE) 2025/2392 de la Commission du 28 novembre 2025 relatif à la description technique des catégories de produits importants et critiques comportant des éléments numériques. Il a été publié au Journal officiel le 1er décembre 2025 et est entré en vigueur le 21 décembre 2025.

Son annexe I décrit les catégories de produits importants, classe I et classe II. Son annexe II décrit les catégories de produits critiques. Lorsque l'intitulé d'une catégorie peut se lire de plusieurs façons, c'est la description technique qu'il faut comparer à votre produit. Lisez la description de chaque catégorie qui pourrait être proche de votre produit, et conservez une trace de votre raisonnement.

Le critère de la fonctionnalité de base

Un produit n'est important ou critique que s'il possède la fonctionnalité de base d'une catégorie de l'annexe III ou de l'annexe IV. C'est l'article 7, paragraphe 1, qui fixe cette règle. C'est la question centrale de toute classification.

L'article 7, paragraphe 1, précise aussi que l'intégration d'un produit important dans un autre produit ne soumet pas, en soi, le produit hôte aux procédures plus strictes. Un composant peut être important alors que le produit qui le contient reste dans la catégorie par défaut. Le produit hôte doit néanmoins satisfaire à toutes les exigences du CRA.

En pratique, posez-vous ces questions pour chaque produit :

Quelle est la fonction principale pour laquelle le produit est vendu et utilisé ?
Cette fonction principale correspond-elle à l'intitulé et à la description technique d'une catégorie de l'annexe III ou de l'annexe IV ?
Ou le produit contient-il seulement un composant, ou une fonction secondaire, relevant d'une catégorie listée ?

Lorsque la réponse n'est pas claire, consignez les arguments dans les deux sens. Consultez les orientations de la Commission sur le CRA, dont la publication a commencé en juillet 2026, pour connaître son interprétation des cas limites.

Procédures d'évaluation de la conformité du CRA par catégorie (article 32)

L'article 32, paragraphe 1, énumère quatre procédures, décrites à l'annexe VIII :

Module A, contrôle interne : le fabricant évalue seul la conformité.
Modules B+C, examen UE de type suivi de la conformité au type fondée sur le contrôle interne de la production : un organisme notifié examine la conception et délivre une attestation d'examen UE de type.
Module H, conformité fondée sur l'assurance complète de la qualité : un organisme notifié approuve et surveille votre système qualité.
Un schéma européen de certification de cybersécurité au titre du règlement de l'UE sur la cybersécurité (Cybersecurity Act), lorsqu'il en existe un disponible et applicable.

Les procédures que vous pouvez utiliser dépendent de la catégorie :

Catégorie	Exemples (intitulés des annexes)	Procédures autorisées	Organisme notifié ?
Par défaut	Tout produit comportant des éléments numériques ne figurant ni à l'annexe III ni à l'annexe IV	A, B+C, H ou un schéma européen de certification de cybersécurité	Non, sauf si vous choisissez B+C ou H
Important, classe I	Gestionnaires de mots de passe, produits VPN, routeurs, produits domestiques intelligents dotés de fonctionnalités de sécurité	A uniquement si des normes harmonisées, des spécifications communes ou un schéma européen de certification de cybersécurité (au moins de niveau « substantiel ») sont appliqués ; sinon B+C ou H	Oui, sauf si vous appliquez intégralement ces spécifications ou recourez à la certification
Important, classe II	Hyperviseurs, pare-feu, microcontrôleurs résistants aux manipulations	B+C, H ou un schéma européen de certification de cybersécurité au moins de niveau « substantiel »	Oui, ou certification au titre d'un schéma
Critique	Dispositifs matériels avec boîtier de sécurité, cartes à puce, éléments sécurisés	Un certificat européen de cybersécurité si un acte délégué pris au titre de l'article 8, paragraphe 1, l'exige ; sinon les procédures de la classe II	Oui, ou certification au titre d'un schéma

Pour la classe I, le module A suppose une application intégrale. Si vous n'appliquez une norme harmonisée qu'en partie, ou s'il n'existe pas de norme adaptée, vous devez recourir aux modules B+C ou H.

Pour les produits critiques, l'article 8, paragraphe 1, permet à la Commission d'exiger, pour certaines catégories de l'annexe IV, un certificat européen de cybersécurité d'un niveau d'assurance au moins « substantiel ». Tant qu'un tel acte ne s'applique pas à votre catégorie, l'article 8, paragraphe 2, vous renvoie aux procédures de la classe II. Vérifiez si un acte délégué a été adopté pour votre produit.

Deux autres points découlent de l'article 32. Les logiciels libres et open source relevant d'une catégorie de l'annexe III peuvent utiliser n'importe quelle procédure de l'article 32, paragraphe 1, à condition que la documentation technique soit rendue publique. L'article 32, paragraphe 6, exige aussi que les frais d'évaluation de la conformité tiennent compte des besoins des microentreprises et des petites et moyennes entreprises (PME) et soient réduits proportionnellement.

Les dispositions du CRA relatives à la notification des organismes d'évaluation de la conformité s'appliquent depuis le 11 juin 2026. Recherchez les organismes notifiés au titre du CRA dans NANDO, la base de données de la Commission, et vérifiez que leur champ couvre votre module et votre catégorie de produit. Notre guide Ai-je besoin d'un organisme notifié ? explique les modules et la manière de choisir un organisme.

Quand les normes harmonisées du CRA sont-elles attendues ?

Pour les produits de classe I, les normes harmonisées déterminent si le module A est possible. La Commission a adopté la demande de normalisation M/606, qui porte sur 41 normes, horizontales et spécifiques à des produits. Selon la Commission, cette première demande donne la priorité aux normes destinées aux catégories de produits importants et critiques des annexes III et IV.

Le calendrier de mise en œuvre de la Commission prévoit actuellement les premiers livrables de normalisation pour le troisième trimestre 2026, et d'autres au plus tard le 30 octobre 2027. Une norme ne confère une présomption de conformité qu'une fois sa référence publiée au Journal officiel. Vérifiez la situation la plus récente avant de prévoir une procédure fondée sur le module A, et lisez toute restriction figurant dans la citation. Notre guide sur les normes harmonisées et la présomption de conformité explique le fonctionnement des citations.

Les produits radio disposent d'un cadre de cybersécurité distinct et déjà applicable au titre de la directive sur les équipements radioélectriques, avec la série EN 18031. Consultez notre guide sur la cybersécurité RED.

Étapes pratiques pour classer votre produit

Confirmez que le CRA s'applique. Vérifiez que votre produit est un produit comportant des éléments numériques et qu'il n'est pas exclu par les règles de champ d'application du CRA.
Définissez la fonctionnalité de base en une ou deux phrases, sur la base de la destination prévue et de vos supports commerciaux.
Passez en revue l'annexe IV, puis l'annexe III classe II, puis la classe I. Commencez par la liste la plus stricte pour ne manquer aucune correspondance.
Comparez avec les descriptions techniques du règlement d'exécution (UE) 2025/2392 pour chaque catégorie qui semble proche.
Distinguez les composants du produit. Un composant listé intégré à votre produit ne modifie pas, en soi, la catégorie de votre produit.
Consignez la décision dans la documentation technique, en indiquant la version des textes utilisés.
Choisissez la procédure et, si nécessaire, contactez tôt un organisme notifié, car les capacités pourraient être limitées avant décembre 2027.

La formation sur le Cyber Resilience Act détaille chacune de ces étapes.

Points clés

Les exigences du CRA sont les mêmes pour toutes les catégories ; la catégorie détermine la procédure d'évaluation de la conformité.
L'annexe III énumère 19 catégories de produits importants de classe I et 4 de classe II ; l'annexe IV énumère 3 catégories de produits critiques.
Le règlement d'exécution (UE) 2025/2392 fournit la description technique de chaque catégorie.
La classification suit la fonctionnalité de base du produit, et l'intégration d'un composant listé ne modifie pas, en soi, la catégorie du produit hôte.
La classe I ne peut recourir au module A qu'avec l'application de normes harmonisées, de spécifications communes ou d'une certification ; la classe II et les produits critiques nécessitent un organisme notifié ou une certification.

Pour voir comment le CRA s'insère dans l'ensemble du système CE, commencez par le premier module gratuit de Fondamentaux du marquage CE.

Apprenez tout le parcours, étape par étape

Fondamentaux du marquage CE vous accompagne des règles du marché de l'UE jusqu'à votre première expédition, avec des modèles et des quiz. Le module 1 est gratuit.

Commencer le module 1 gratuitement Voir les tarifs

Questions fréquentes

Un routeur est-il un produit important au titre du CRA ?

Oui, si le routage est sa fonctionnalité de base. L'annexe III, classe I, mentionne les « routeurs, modems destinés à la connexion à l'internet et commutateurs ». Vérifiez la description technique du règlement d'exécution (UE) 2025/2392 pour confirmer que votre produit y correspond.

Ai-je besoin d'un organisme notifié pour un produit important de classe I ?

Seulement si vous n'appliquez pas intégralement des normes harmonisées, des spécifications communes ou un schéma européen de certification de cybersécurité de niveau « substantiel » ou supérieur. Si vous les appliquez, le module A est autorisé. Sinon, vous devez recourir à l'examen UE de type (B+C) ou à l'assurance complète de la qualité (H), tous deux avec un organisme notifié.

Quelle est la différence entre produits importants et produits critiques dans le CRA ?

Les produits importants figurent à l'annexe III, répartis en classe I et classe II. Les produits critiques figurent à l'annexe IV et peuvent être tenus, par acte délégué, d'obtenir un certificat européen de cybersécurité. En l'absence d'un tel acte, les produits critiques suivent les procédures de la classe II.

Un produit devient-il important s'il contient un composant listé ?

Pas en soi. L'article 7, paragraphe 1, précise que l'intégration d'un produit possédant la fonctionnalité de base d'une catégorie de l'annexe III ne soumet pas, en soi, le produit hôte aux procédures plus strictes. Le produit hôte est classé selon sa propre fonctionnalité de base.

Sources officielles

Ce guide est un support de formation à caractère général et ne constitue pas un conseil juridique. Les règles de l'UE et les citations de normes évoluent : vérifiez les textes les plus récents au Journal officiel de l'Union européenne avant de prendre une décision.