Mon produit est-il concerné par le CRA ? Le test en 5 questions

« Suis-je concerné ? » est la première question que se posent les fabricants face au Cyber Resilience Act. La réponse ne se trouve pas seulement dans l’article 2 du règlement : que faire d’un port USB, d’une application compagnon, d’un back-end cloud ou d’une pièce détachée ? Ce test en cinq questions s’appuie sur le règlement (UE) 2024/2847 et sur les lignes directrices publiées par la Commission le 27 juillet 2026.

La réponse en bref : cinq questions

Votre produit est concerné par le Cyber Resilience Act si vous répondez oui aux trois premières questions et non à la quatrième. La cinquième fixe le périmètre de ce que vous devez rendre conforme.

N°	Question	Référence
1	Votre produit comporte-t-il du logiciel ou du matériel numérique ?	Art. 3, points 1 et 4 à 6
2	Son utilisation prévue ou raisonnablement prévisible implique-t-elle un échange de données avec un autre appareil ou un réseau, même indirect, par câble ou par radio ?	Art. 2, par. 1 ; art. 3, points 8 à 10
3	Est-il mis à disposition sur le marché de l’UE dans le cadre d’une activité commerciale, à titre payant ou gratuit ?	Art. 3, points 21 et 22
4	Relève-t-il d’une exclusion (dispositif médical ou de diagnostic in vitro, véhicule, aviation certifiée, équipement marin, défense, pièce de rechange identique) ?	Art. 2, par. 2 à 7
5	Qu’est-ce qui fait partie du produit (application compagnon, traitement de données à distance, composants) ?	Art. 3, points 1 et 2

En pratique, la quasi-totalité des appareils électroniques communicants, des machines dotées d’une interface réseau ou d’un port de maintenance, des instruments reliés à un PC et des logiciels installés chez l’utilisateur entrent dans le champ. Les lignes directrices de la Commission (C(2026) 5252) tranchent les cas limites. Elles ne sont pas contraignantes : seule la Cour de justice de l’UE donne une interprétation qui fait autorité (point 8). Pour la vue d’ensemble du règlement, voir notre guide complet du Cyber Resilience Act.

Faites le test ci-dessous : cinq questions, une réponse indicative en une minute.

Question 1 : votre produit comporte-t-il des éléments numériques ?

Un produit comporte des éléments numériques dès qu’il est un logiciel, un matériel capable de traiter, de stocker ou de transmettre des données numériques, ou une combinaison des deux, y compris un composant vendu séparément (art. 3, points 1 et 4 à 6).

Le règlement définit le logiciel comme la partie d’un système d’information électronique qui consiste en un code informatique (art. 3, point 4), et le matériel informatique comme un système physique capable de traiter, de stocker ou de transmettre des données numériques (art. 3, point 5). Les lignes directrices distinguent quatre familles (C(2026) 5252, point 18) :

• le logiciel autonome, comme une application ou un programme ;
• le matériel avec logiciel embarqué, comme un objet connecté ;
• le matériel autonome, comme un circuit intégré ou une carte mère ;
• la combinaison de matériel et de logiciel fournis séparément mais conçus pour fonctionner ensemble.

Du code source fourni à un client comme produit est mis sur le marché, même s’il doit encore être compilé (point 24, exemple 7) ; du code libre partagé sur un dépôt public ne l’est en général pas (point 23).

Question 2 : votre produit échange-t-il des données avec un appareil ou un réseau ?

Le CRA ne vise pas tout ce qui contient de l’électronique, mais tout ce qui peut échanger des données numériques : la connexion peut être directe ou indirecte, logique ou physique, filaire ou radio (art. 2, par. 1, et art. 3, points 8 à 10).

• Connexion physique (art. 3, point 9) : interfaces électriques, optiques ou mécaniques, fils ou ondes radio. USB, RS-485, Ethernet, Bluetooth, NFC ou un port de maintenance suffisent.
• Connexion indirecte (art. 3, point 10) : le produit est relié à un système plus vaste lui-même connecté. Un appareil branché sur un PC en réseau est concerné.
• Connexion logique (art. 3, point 8) : une connexion de données mise en œuvre par une interface logicielle.

L’utilisation raisonnablement prévisible compte aussi (art. 3, point 24) : un port de service accessible mais absent de la notice entre en ligne de compte.

Les lignes directrices fixent une limite utile : commuter une sortie entre deux états, 0 ou 1, ne constitue pas en soi une connexion de données si ces états ne sont pas destinés à représenter des données ou ne sont pas lus par une entrée numérique (C(2026) 5252, point 28). Un contact sec qui allume une lampe témoin ne suffit pas ; un capteur qui envoie des mesures numériques à un automate, oui.

Question 3 : votre produit est-il mis à disposition sur le marché de l’UE ?

Le CRA s’applique aux produits fournis pour être distribués ou utilisés sur le marché de l’Union dans le cadre d’une activité commerciale, à titre onéreux ou gratuit ; peu importe que le fabricant soit établi dans l’UE, en Suisse ou ailleurs (art. 3, points 21 et 22).

• Produit matériel : la mise sur le marché s’apprécie unité par unité, et non par type de produit (C(2026) 5252, point 11, qui renvoie au Guide bleu de 2022).
• Logiciel autonome : il est mis sur le marché lorsqu’il est fourni pour la première fois, une fois sa phase de fabrication terminée ; toutes les copies d’une même version sont réputées mises sur le marché en même temps (points 13 et 14).
• Application web : un logiciel exécuté à distance et seulement consulté par navigateur n’est pas, à lui seul, un produit comportant des éléments numériques, sauf s’il assure une fonction d’un produit ; un site purement informatif n’est pas concerné (point 21, exemples 5 et 6).
• Logiciel libre : non monétisé, il n’est en général pas mis sur le marché ; il l’est notamment s’il est vendu (point 51), et la monétisation d’autres services peut aussi suffire : analyse au cas par cas (chapitre 3).

Les États membres tolèrent la présentation d’un produit non conforme en salon et la mise à disposition temporaire d’un logiciel inachevé pour essais, avec une marque visible de non-conformité dans les deux cas (art. 4, par. 2 et 3).

Si vous êtes établi hors de l’UE, voir notre article sur le CRA pour une entreprise suisse.

Question 4 : votre produit relève-t-il d’une exclusion ?

Le CRA exclut les produits déjà couverts par des règles sectorielles équivalentes, ainsi que quelques cas particuliers ; la liste est fermée et figure à l’art. 2 du règlement.

Exclusion	Référence	Remarque
Dispositifs médicaux	Art. 2, par. 2, point a) ; règlement (UE) 2017/745	Un accessoire ou un logiciel qui n’est pas lui-même un dispositif médical n’est pas exclu pour autant : analyse au cas par cas
Dispositifs de diagnostic in vitro	Art. 2, par. 2, point b) ; règlement (UE) 2017/746	Un analyseur DIV est exclu ; un instrument de laboratoire de recherche ou industriel ne l’est pas
Véhicules des catégories M, N et O, leurs systèmes et composants	Art. 2, par. 2, point c) ; règlement (UE) 2019/2144	Seuls les composants conçus exclusivement pour ces véhicules sont exclus (C(2026) 5252, points 244 et 245)
Véhicules de catégorie L (deux ou trois roues, quadricycles)	Règlement délégué (UE) 2025/1535, pris sur la base de l’art. 2, par. 5	Source : C(2026) 5252, point 242
Produits certifiés en aviation civile	Art. 2, par. 3 ; règlement (UE) 2018/1139
Équipements marins	Art. 2, par. 4 ; directive 2014/90/UE
Pièces de rechange identiques	Art. 2, par. 6	Voir la question 5
Produits pour la sécurité nationale ou la défense	Art. 2, par. 7	Seulement s’ils sont développés ou modifiés exclusivement à ces fins

Un composant générique vendu aussi hors de la chaîne automobile, par exemple en ligne au grand public, reste soumis au CRA (C(2026) 5252, point 246). Un produit à double usage, civil et militaire, n’est pas exclu, car l’art. 2, par. 7, exige l’exclusivité.

Question 5 : qu’est-ce qui fait partie de votre produit ?

Le périmètre à rendre conforme dépasse souvent le boîtier : le logiciel nécessaire au fonctionnement, l’application compagnon et le traitement de données à distance conçu par le fabricant ou sous sa responsabilité font partie du produit (art. 3, points 1 et 2).

Le logiciel compagnon

Selon les lignes directrices, un logiciel nécessaire pour faire fonctionner, configurer, commander ou utiliser le produit conformément à sa destination en fait partie, même s’il est obtenu par un autre canal (C(2026) 5252, point 25). Les exemples cités sont l’imprimante réseau et ses pilotes (exemple 8), le bracelet de fitness et son application (exemple 9).

Le traitement de données à distance

Le traitement de données à distance fait partie du produit si deux conditions sont réunies : son absence empêcherait le produit de remplir une de ses fonctions, et son logiciel est conçu par le fabricant ou sous sa responsabilité (art. 3, point 2 ; C(2026) 5252, point 202).

Situation	Fait partie du produit ?	Référence
Back-end du fabricant hébergé chez un fournisseur d’infrastructure (IaaS)	Oui	C(2026) 5252, sections 8.3.2 et 8.3.4
Service SaaS tiers indispensable, non conçu par le fabricant	Non, mais à traiter comme un composant, avec diligence raisonnable	Point 202 ; section 8.3.3
Télémétrie collectée à des fins purement statistiques	Non	Point 192
Systèmes internes du fabricant (RH, CRM, chaînes CI/CD)	Non	Point 182
Réseau cellulaire, câble Ethernet, routeur ou Wi-Fi	Non, simple moyen de communication	Section 8.3.5

Composants et pièces de rechange

Un composant vendu séparément est un produit à part entière (art. 3, point 1), et le fabricant qui l’intègre exerce une diligence raisonnable (art. 13, par. 5). Une pièce de rechange est exemptée si elle remplace un composant identique et si elle est fabriquée selon les mêmes spécifications (art. 2, par. 6). Les lignes directrices exigent un contexte de réparation identifiable, par exemple une commande qui désigne le produit à réparer ou une livraison par le service après-vente (point 97). Une différence d’algorithme, de protocole, de mécanisme cryptographique ou de contrôle d’accès peut faire perdre l’exemption (point 100).

Dix exemples passés au test

Appliqué à des produits courants, le test donne des réponses nettes dans la plupart des cas ; les cas limites concernent surtout le logiciel, le cloud et les secteurs exclus. Les exemples ci-dessous sont génériques.

Produit	Résultat	Référence
Thermostat connecté avec application et cloud du fabricant	Concerné, application et cloud compris	Art. 3, point 2 ; C(2026) 5252, section 8.3.2
Machine d’emballage avec automate et port Ethernet de télémaintenance	Concernée, en plus du règlement machines (UE) 2023/1230	Art. 2, par. 1
Robot industriel dont la position de préhension est calculée par un service distant du fabricant	Concerné, service distant compris	C(2026) 5252, section 8.3.4
Appareil de laboratoire relié au PC par USB pour exporter les mesures	Concerné, s’il n’est pas un dispositif de diagnostic in vitro	Art. 3, points 9 et 10
Analyseur de diagnostic in vitro	Exclu	Art. 2, par. 2, point b)
Application mobile vendue ou financée par abonnement	Concernée	C(2026) 5252, exemple 3
Application web accessible uniquement par navigateur	Hors champ, sauf si elle sert une fonction d’un produit	C(2026) 5252, exemple 5
Module Wi-Fi vendu à des intégrateurs	Concerné en tant que composant, et soumis aussi à la RED	Art. 3, point 1
Lampe avec interrupteur électronique, sans communication de données	Hors champ	C(2026) 5252, point 28
Module de communication identique livré pour réparer un contrôleur déjà vendu	Exclu comme pièce de rechange	Art. 2, par. 6 ; C(2026) 5252, points 97 et 100

Pour les produits radio, les exigences de cybersécurité de la directive RED s’appliquent déjà depuis le 1er août 2025 : voir notre article sur la cybersécurité RED et l’EN 18031.

Une fois le champ confirmé, reste à déterminer la catégorie du produit (par défaut, important de classe I ou II, critique) à partir de sa fonctionnalité de base (art. 7, annexes III et IV, règlement d’exécution (UE) 2025/2392). Intégrer un composant important ne rend pas, à lui seul, le produit final important (art. 7, par. 1). Les catégories et procédures sont résumées dans notre guide complet.

Votre produit est concerné : et maintenant ?

Si votre produit est concerné, deux obligations comptent dès aujourd’hui : signaler les vulnérabilités activement exploitées depuis le 11 septembre 2026, et préparer la conformité complète exigée pour toute mise sur le marché à partir du 11 décembre 2027.

Trois actions sont à lancer :

1. Documenter la conclusion du test pour chaque produit et variante, avec ses références, pour pouvoir la présenter à une autorité de surveillance du marché.
2. Organiser le signalement : point de contact, procédure interne et accès à la plateforme unique de signalement. Voir notre article sur le signalement des vulnérabilités.
3. Lancer l’évaluation des risques de cybersécurité (art. 13, par. 2), qui conditionne toute la suite, et planifier vos jalons avec notre calendrier du CRA.

Plusieurs produits, des variantes, un back-end cloud, et des cas limites qui restent ouverts ? Säfeli analyse le périmètre de votre gamme avec vous et prépare l’argumentaire à verser au dossier. Prenez contact pour un premier échange. Säfeli accompagne ; le fabricant reste responsable de la conformité de son produit.