Auto-diagnostic CRA
Cyber Resilience Act — Règlement (UE) 2024/2847
Art. 14 en application depuis le 11 septembre 2026 — J−413 avant l’application générale du CRA (11 décembre 2027)
  1. 1Votre site
  2. 2Vérification security.txt
  3. 3Qualification produit
  4. 4Diagnostic

Qualifiez votre produit au regard du CRA

Répondez à quelques questions simples. Elles permettent d’estimer si le produit est concerné par le CRA, votre rôle dans sa mise sur le marché et la catégorie à examiner.

Périmètre — produit comportant des éléments numériques ?

Art. 3(1), art. 2(1)

Votre produit (matériel ou logiciel) peut-il se connecter à un appareil ou à un réseau ?

Pourquoi cette question ? Voir un exemple

Pourquoi : C’est la porte d’entrée du règlement (art. 2(1)). Un produit sans aucune connexion de données possible est hors champ. La connexion peut être indirecte (ex. via un hub, un téléphone) et n’a pas besoin d’être activée par défaut.

Exemple : OUI : compteur communicant LoRaWAN, passerelle IoT, application mobile, firmware de capteur, bibliothèque logicielle commercialisée. NON : pièce purement mécanique sans électronique, document PDF.

Art. 2(1), art. 3(21)-(22)

Le produit est-il vendu ou mis à disposition dans l’UE, dans un cadre commercial ?

Pourquoi cette question ? Voir un exemple

Pourquoi : Le CRA s’applique aux produits mis à disposition sur le marché de l’UE. La mise à disposition à titre commercial est le fait générateur, indépendamment du lieu d’établissement du fabricant.

Exemple : OUI : produit vendu à des clients UE, distribué via un revendeur UE, ou fourni gratuitement mais monétisé. NON : prototype de R&D non commercialisé, produit exclusivement vendu hors UE.

← Retour
Exclusions — un autre régime s’applique-t-il ?

Art. 2(2)-(4)

Le produit relève-t-il déjà d’une réglementation sectorielle UE (médical, aviation, automobile, marine) ?

Pourquoi cette question ? Voir un exemple

Pourquoi : Ces régimes sectoriels priment : le CRA ne s’y applique pas (ou seulement à titre résiduel). Une réponse OUI sort le produit du champ CRA pour ces aspects.

Exemple : OUI : pompe à insuline connectée (MDR), calculateur moteur homologué véhicule, équipement marin. NON : objet connecté grand public, équipement industriel générique, produit IT/IoT standard.

Art. 24, art. 3(14)

Êtes-vous un « intendant de logiciels ouverts » (art. 24), soutenant durablement un logiciel libre sans le commercialiser ?

Pourquoi cette question ? Voir un exemple

Pourquoi : Les intendants de logiciels ouverts relèvent d’un régime réglementaire allégé (art. 24) et ne sont pas le fabricant commercial du produit. Ce statut est exclusif de celui de fabricant commercial.

Exemple : OUI : fondation ou association qui maintient durablement une bibliothèque critique. NON : vous commercialisez le produit — vous êtes alors fabricant.

Art. 2(1)

Est-ce un pur service SaaS / cloud, sans produit logiciel ou matériel que vous fournissez ?

Pourquoi cette question ? Voir un exemple

Pourquoi : Les services purs relèvent de NIS2, pas du CRA. MAIS le back-end « remote data processing » indispensable au fonctionnement d’un produit (ex. cloud sans lequel l’objet connecté ne marche pas) EST dans le champ CRA.

Exemple : OUI (hors champ CRA, plutôt NIS2) : SaaS de comptabilité autonome. NON (dans le champ) : backend cloud sans lequel votre capteur ne fonctionne pas.

Art. 2(6)-(7)

Le produit est-il exclusivement destiné à la défense ou à la sécurité nationale ?

Pourquoi cette question ? Voir un exemple

Pourquoi : Ces produits sont exclus du CRA. La réponse OUI sort du champ.

Exemple : OUI (hors champ) : équipement de chiffrement classifié défense. NON : produit dual-use commercialisé sur le marché civil.

Rôle — quel opérateur économique êtes-vous ?

Art. 3, art. 13 / 18 / 19 / 20

Pour ce produit, quel est votre rôle ?

Pourquoi cette question ? Voir un exemple

Pourquoi : Le rôle détermine vos obligations. Pour un même produit, les rôles sont exclusifs : le fabricant conçoit et commercialise sous son nom ; le mandataire représente un fabricant établi hors UE ; l'importateur place sur le marché UE le produit d'un fabricant tiers ; le distributeur met à disposition sans être ni l'un ni l'autre.

Exemple : Fabricant : vous concevez et vendez sous votre marque. Mandataire : vous représentez dans l'UE un fabricant hors UE. Importateur : vous importez et placez sur le marché UE. Distributeur : vous revendez un produit déjà sur le marché.

Art. 21

Apposez-vous votre marque sur le produit, ou le modifiez-vous substantiellement ?

Pourquoi cette question ? Voir un exemple

Pourquoi : Un importateur ou distributeur qui appose son nom/sa marque ou modifie substantiellement le produit est considéré comme fabricant (art. 21) et en endosse les obligations (art. 13 et 14).

Exemple : OUI : vous rebadgez un module OEM sous votre marque, ou ajoutez une fonction changeant le profil de risque → vous devenez fabricant. NON : intégration sans modification substantielle ni re-marquage.

Art. 18, art. 14 §7

Le fabricant est-il établi hors de l’Union européenne ?

Pourquoi cette question ? Voir un exemple

Pourquoi : Un fabricant hors UE peut (facultativement) désigner un mandataire UE (art. 18). À défaut d’établissement dans l’Union, le mandataire est le premier critère de repli pour déterminer le CSIRT compétent (art. 14 §7), avant l’importateur, le distributeur et le pays des utilisateurs.

Exemple : OUI → vérifier la chaîne de l’art. 14 §7 (mandataire / importateur / distributeur / utilisateurs) pour le CSIRT compétent. NON → fabricant établi dans l’UE.

Classification — Annexe III / Annexe IV

Art. 7, art. 8, Annexes III & IV

Dans quelle catégorie de criticité le produit se classe-t-il ?

Pourquoi cette question ? Voir un exemple

Pourquoi : Les catégories sont exclusives et croissantes : « par défaut » (auto-évaluation), « important » classe I ou II (Annexe III), « critique » (Annexe IV). Retenez la plus élevée applicable.

Exemple : Par défaut : capteur générique. Important I : VPN, gestionnaire de mots de passe, gestion de réseau. Important II : pare-feu, IDS/IPS, hyperviseur, secure element. Critique : passerelle de compteur intelligent, carte à puce sécurisée.

Art. 7(2), considérant 50

Le produit assure-t-il une fonction de sécurité (authentification, chiffrement, contrôle d’accès) pour d’autres systèmes ?

Pourquoi cette question ? Voir un exemple

Pourquoi : Ce critère qualitatif sous-tend la classification et peut justifier un classement « important » même sans correspondance littérale dans l’Annexe III.

Exemple : OUI : composant fournissant l’auth/chiffrement à tout un écosystème. NON : fonction applicative sans rôle de sécurité transverse.