Produits importants et critiques du CRA : classes I, II et annexe IV

Avant de choisir une procédure d’évaluation de la conformité, un fabricant doit savoir dans quelle catégorie du Cyber Resilience Act (CRA) tombe son produit. Cette catégorie ne change pas les exigences de sécurité, mais elle décide si l’autoévaluation suffit ou si un organisme notifié doit intervenir. Voici la liste officielle, le critère de classement et les erreurs à éviter.

Trois niveaux de produits, une seule série d’exigences

Le CRA applique les mêmes exigences essentielles à tous les produits comportant des éléments numériques, mais il module la procédure de preuve selon la catégorie : produit par défaut, produit important de classe I ou II, ou produit critique. Les exigences de l’annexe I du règlement (UE) 2024/2847 sont identiques pour tous ; seule la procédure de l’article 32 change.

Catégorie	Base légale	Exemples	Procédure (art. 32)
Par défaut	Tout produit hors annexes III et IV	Thermostat, prise connectée, capteur, application métier	Autoévaluation (module A) possible
Important, classe I	Art. 7, annexe III (19 catégories)	Routeur, système d’exploitation, gestionnaire de mots de passe, caméra de sécurité domestique	Module A seulement avec une norme harmonisée, une spécification commune ou un schéma appliqué intégralement ; sinon organisme notifié
Important, classe II	Art. 7, annexe III (4 catégories)	Pare-feu, hyperviseur, microcontrôleur résistant aux manipulations	Organisme notifié (module B+C ou H) ou certification européenne
Critique	Art. 8, annexe IV (3 catégories)	Module de sécurité matériel, passerelle de compteur intelligent, élément sécurisé	Comme la classe II, sauf certification européenne rendue obligatoire

Les catégories de l’annexe III regroupent des produits qui assurent des fonctions de sécurité pour d’autres (authentification, détection d’intrusion, protection des réseaux) ou dont la compromission pourrait toucher un grand nombre d’autres produits, ou la santé et la sécurité des utilisateurs (art. 7, par. 2). L’annexe IV ajoute un critère de dépendance critique des entités essentielles ou de risque pour les chaînes d’approvisionnement (art. 8, par. 2).

La catégorie fixe la procédure, pas les mesures : celles-ci découlent de l’évaluation des risques. La FAQ de la Commission (version 1.4, 3.3) cite deux VPN, l’un pour une infrastructure critique, l’autre résidentiel : tous deux de classe I, chacun sécurisé à la mesure de ses risques. Pour la vue d’ensemble, voyez notre guide complet du Cyber Resilience Act ; pour savoir si votre produit entre dans le champ, notre test sur les produits concernés par le CRA.

La fonctionnalité de base, le critère qui décide

Un produit est important ou critique lorsque sa fonctionnalité de base, c’est-à-dire sa fonction principale, correspond à une catégorie des annexes III ou IV telle que décrite par le règlement d’exécution (UE) 2025/2392 (art. 7, par. 1, et art. 8, par. 1). Ce règlement, adopté le 28 novembre 2025 et publié au Journal officiel le 1er décembre 2025, donne une description technique de chaque catégorie, avec des exemples non exhaustifs.

Le CRA ne définit pas la fonctionnalité de base (lignes directrices de la Commission C(2026) 5252, point 138). La Commission la décrit comme les caractéristiques principales du produit sans lesquelles il ne remplirait pas sa destination, appréciées notamment au vu de la notice, des documents commerciaux et de la documentation technique (point 139). Un produit n’a qu’une seule fonctionnalité de base, à identifier clairement dans la documentation technique (point 144), et la présenter de façon trompeuse pour échapper à la procédure n’est pas admis (point 143).

Quatre règles se dégagent des textes :

• Les fonctions annexes ne retirent rien. Un routeur qui intègre un pare-feu reste un routeur (règlement 2025/2392, considérant 4 ; FAQ CRA v1.4, 3.4).
• Savoir faire ne suffit pas. Un smartphone contient un système d’exploitation, mais sa fonctionnalité de base est autre : il n’est en général pas classé à ce titre (considérant 5 ; lignes directrices, exemple 58).
• Dépasser ou ne pas atteindre la catégorie. Un logiciel SOAR dépasse un SIEM ; un simple outil d’affichage de journaux, sans corrélation, n’en atteint pas la fonctionnalité. Aucun des deux n’est classé comme SIEM (point 142, exemples 59 et 60).
• Les modules vendus séparément sont des produits. Une suite dont les modules SIEM, détection d’intrusion et analytique sont aussi vendus seuls donne trois produits : classe I, classe II et catégorie par défaut (point 145, exemple 61).

Enfin, intégrer un composant important ne rend pas le produit final important (art. 7, par. 1) : la FAQ (3.2) cite un ordinateur portable qui intègre un élément sécurisé. Le fabricant doit toutefois garantir la sécurité du produit entier, composants compris (lignes directrices, point 147). En pratique, trois questions suffisent :

1. Quelle est la fonction principale annoncée et réelle du produit (notice, communication commerciale, architecture) ?
2. Correspond-elle à une description technique du règlement d’exécution (UE) 2025/2392 ?
3. Les composants intégrés changent-ils quelque chose ? En principe non (art. 7, par. 1).

Nous recommandons de consigner ce raisonnement dans la documentation technique : c’est ce qu’une autorité de surveillance du marché vérifiera en premier.

La liste des produits importants (annexe III)

L’annexe III du CRA énumère 23 catégories de produits importants : 19 en classe I, dont les routeurs, les systèmes d’exploitation et les caméras de sécurité domestiques, et 4 en classe II, dont les pare-feu et les microcontrôleurs résistants aux manipulations. Les intitulés suivent la version française du règlement, parfois abrégés ; la colonne de droite résume le règlement d’exécution (UE) 2025/2392, annexe I.

Classe I	Précisions du règlement 2025/2392
1. Gestion des identités et des accès privilégiés, dont lecteurs d’authentification, de contrôle d’accès et biométriques	Inclut authentification unique et multifacteur
2. Navigateurs autonomes et intégrés	Inclut les navigateurs intégrés à une autre application
3. Gestionnaires de mots de passe	Inclut les extensions de navigateur et les gestionnaires matériels
4. Logiciels qui recherchent, suppriment ou mettent en quarantaine des logiciels malveillants	Antivirus et anti-logiciels malveillants
5. Produits avec fonction de réseau privé virtuel (VPN)	Clients, serveurs et passerelles VPN
6. Systèmes de gestion de réseau (voir l’encadré)	Inclut les contrôleurs de réseau défini par logiciel
7. Systèmes de gestion des informations et des événements de sécurité (SIEM)	Collecte et corrélation de données de sécurité
8. Gestionnaires de démarrage	Inclut UEFI et chargeurs d’amorçage
9. Infrastructure à clé publique et logiciels d’émission de certificats numériques	Gestion des certificats et des clés
10. Interfaces réseau physiques et virtuelles	Inclut cartes, contrôleurs et adaptateurs Wi-Fi, Ethernet, Bluetooth, Zigbee, bus de terrain
11. Systèmes d’exploitation	Inclut les systèmes temps réel
12. Routeurs, modems destinés à la connexion à l’internet et commutateurs	Inclut modems cellulaires et points d’accès sans fil
13. Microprocesseurs dotés de fonctionnalités liées à la sécurité	Fonctions protégeant d’autres produits : chiffrement, stockage de clés, démarrage sécurisé
14. Microcontrôleurs dotés de fonctionnalités liées à la sécurité	Idem
15. ASIC et FPGA dotés de fonctionnalités liées à la sécurité	Idem
16. Assistants virtuels polyvalents pour maison intelligente	Enceintes connectées avec assistant
17. Produits domestiques intelligents dotés de fonctionnalités de sécurité (serrures, caméras de sécurité, surveillance pour bébé, alarmes)	Sécurité physique en cadre résidentiel, pilotables à distance
18. Jouets connectés à fonctions sociales interactives ou de localisation	La simple détection de proximité ne compte pas
19. Produits portables de suivi de la santé hors dispositifs médicaux, ou destinés aux enfants	Enfants : moins de 14 ans

Classe II	Précisions du règlement 2025/2392
1. Hyperviseurs et systèmes d’exécution de conteneurs	Hyperviseurs de type 1, 2 et hybrides
2. Pare-feu, systèmes de détection et de prévention des intrusions	Réseau ou applicatifs, IDS et IPS
3. Microprocesseurs résistants aux manipulations	Conçus pour un niveau AVA_VAN 2 ou 3
4. Microcontrôleurs résistants aux manipulations	Conçus pour un niveau AVA_VAN 2 ou 3

La Commission peut ajouter, déplacer ou retirer des catégories par acte délégué, avec le cas échéant une période transitoire d’au moins 12 mois (art. 7, par. 3).

Les produits critiques (annexe IV) et la certification européenne

L’annexe IV du CRA vise trois catégories de produits critiques, toutes liées à la sécurité matérielle et cryptographique : dispositifs avec boîtier de sécurité, passerelles de compteurs intelligents et cartes à puce ou éléments sécurisés.

Annexe IV	Précisions du règlement 2025/2392, annexe II
1. Dispositifs matériels avec boîtier de sécurité	Enveloppe physique qui détecte, résiste ou réagit aux attaques ; par exemple terminaux de paiement, modules de sécurité matériels (HSM), tachygraphes
2. Passerelles pour compteur intelligent et autres dispositifs à des fins de sécurité avancées	Passerelles de comptage d’électricité, voire de gaz ou de chaleur si elles répondent à la description
3. Cartes à puce ou dispositifs similaires, y compris éléments sécurisés	Conçus pour AVA_VAN.4 au moins ; par exemple TPM, eUICC, cartes de paiement, d’accès ou d’identité

Pour les puces, la gradation suit le niveau de résistance aux attaques selon les Critères communs (considérant 8) : fonctionnalités de sécurité seules, classe I ; conception pour AVA_VAN 2 ou 3, classe II ; élément sécurisé conçu pour AVA_VAN.4 au moins, annexe IV.

La Commission peut imposer par acte délégué un certificat européen de cybersécurité au niveau « substantiel » au moins pour certains produits de l’annexe IV, si un schéma adopté au titre du règlement (UE) 2019/881 les couvre, comme l’EUCC (art. 8, par. 1). À notre connaissance, aucun acte délégué de ce type n’a été adopté au 28 octobre 2026 : les produits critiques suivent donc les procédures de la classe II (art. 32, par. 4).

Ce que la catégorie change pour la procédure

La catégorie détermine qui évalue la conformité : le fabricant seul pour un produit par défaut, un organisme notifié ou un schéma de certification pour la classe II et les produits critiques, et l’un ou l’autre pour la classe I selon les normes appliquées.

Catégorie	Procédures possibles	Référence
Par défaut	Module A, B+C, H ou schéma européen	Art. 32, par. 1
Classe I avec norme harmonisée, spécification commune ou schéma (au moins substantiel) appliqué intégralement	Module A possible	Art. 32, par. 2
Classe I sans application intégrale	Module B+C ou H, avec organisme notifié	Art. 32, par. 2
Classe II	Module B+C, H, ou schéma européen au moins substantiel	Art. 32, par. 3
Critique	Schéma européen si un acte délégué l’impose, sinon comme la classe II	Art. 32, par. 4
Logiciel libre et ouvert de classe I ou II	Module A possible si la documentation technique est publique	Art. 32, par. 5

La conséquence est forte pour la classe I : faute de norme harmonisée CRA citée au Journal officiel à fin octobre 2026, un fabricant de routeur ou de caméra de sécurité domestique doit aujourd’hui prévoir un organisme notifié pour une mise sur le marché à partir du 11 décembre 2027, sauf publication de normes d’ici là. Une norme adoptée par les organismes de normalisation doit encore être évaluée par la Commission avant d’être citée (art. 27, par. 6).

Le détail des modules figure dans notre article sur l’évaluation de la conformité CRA, l’avancement des normes dans l’état des normes harmonisées CRA.

Exemples et erreurs fréquentes de classement

La plupart des erreurs de classement viennent d’une confusion entre ce qu’un produit contient et ce qu’il fait principalement : seule la fonctionnalité de base compte. Ces exemples sont des orientations ; le classement final relève du fabricant.

Produit	Catégorie probable	Raisonnement	Certitude
Routeur Wi-Fi domestique avec pare-feu	Classe I, point 12	Routage ; le pare-feu intégré n’y change rien	Certain
Caméra de sécurité connectée pour la maison	Classe I, point 17	Sécurité physique en cadre résidentiel	Certain
Caméra de surveillance d’un site industriel	Hors point 17	La description vise le cadre résidentiel	Interprétation
Module Wi-Fi ou Bluetooth vendu à des intégrateurs	Classe I, point 10 probable	Adaptateurs et contrôleurs d’interface réseau cités	Interprétation, selon le module
Microcontrôleur avec démarrage sécurisé et accélérateur cryptographique	Classe I, point 14 ; classe II s’il vise AVA_VAN 2 ou 3	Selon les fonctions de sécurité et la résistance visée	À vérifier au cas par cas
Pare-feu industriel	Classe II, point 2	Fonctionnalité de base de pare-feu	Certain
Ordinateur portable avec élément sécurisé	Par défaut à ce titre	Intégration sans effet (FAQ 3.2)	Certain
Machine avec routeur 4G intégré	Pas importante à ce seul titre	Art. 7, par. 1 ; le routeur vendu séparément reste de classe I	Interprétation
Thermostat ou prise connectée	Par défaut	Pas de fonction de sécurité physique au sens du point 17	Interprétation

Erreurs courantes : croire que tout produit connecté est « important » ; penser qu’un composant de classe I « contamine » le produit qui l’intègre ; oublier que le classement vaut aussi pour les logiciels vendus seuls.

Classer son produit avant de planifier

Le classement est la première décision du projet CRA : il conditionne le budget, le calendrier et le choix éventuel d’un organisme notifié. Säfeli analyse la fonctionnalité de base de votre produit au regard du règlement d’exécution (UE) 2025/2392, documente le raisonnement pour votre dossier technique et vous indique la procédure à prévoir. Säfeli accompagne ; le fabricant reste responsable de la conformité de son produit. Pour en parler, voyez notre page Cyber Resilience Act ou contactez-nous.