Classe I, classe II, produit critique : comment le CRA classe votre produit
Le régime applicable à votre produit ne dépend pas de votre chiffre d'affaires mais de sa catégorie. Quatre régimes coexistent, et l'écart entre eux se mesure surtout à une question : devez-vous faire intervenir un organisme notifié ?
Quatre régimes, pas deux
Le règlement ne distingue pas des « produits concernés » et des « produits non concernés ». Il pose un principe large — tout produit comportant des éléments numériques mis sur le marché de l'Union est dans le champ — puis désigne des catégories pour lesquelles l'exigence de vérification augmente.
En pratique, votre produit relève de l'un de ces quatre cas :
| Régime | Ce que cela signifie | Évaluation de la conformité |
|---|---|---|
| Catégorie par défaut | Le produit est dans le champ mais ne figure dans aucune liste des annexes III ou IV. C'est le cas de la grande majorité des équipements industriels connectés. | Auto-évaluation possible (module A) |
| Classe I (annexe III) | Produit important : sa compromission facilite l'atteinte à d'autres systèmes. | Auto-évaluation si les normes harmonisées sont intégralement appliquées, sinon organisme notifié |
| Classe II (annexe III) | Produit important relevant d'un niveau de risque supérieur. | Organisme notifié |
| Produit critique (annexe IV) | Produit assurant une fonction de sécurité de premier plan, dont dépendent d'autres produits. | Organisme notifié, évaluation renforcée, susceptible d'exiger une certification de cybersécurité européenne |
Quelle que soit la classe, les exigences essentielles de l'annexe I sont les mêmes. Ce que la classe change, c'est la manière dont vous devez démontrer que vous les respectez (art. 32).
Annexe III — les catégories de classe I
Ces catégories couvrent des produits dont la compromission ouvre la voie à d'autres systèmes : sécurité, réseau, socle logiciel, composants à fonctions de sécurité.
- Systèmes de gestion des identités et des accès
- Gestionnaires de mots de passe
- Navigateurs web
- Antivirus / protection des terminaux
- Réseaux privés virtuels (VPN)
- Systèmes de gestion de réseau
- Interfaces réseau physiques et virtuelles
- Systèmes SIEM
- Gestionnaires d'amorçage (boot managers)
- Infrastructures à clés publiques / certificats
- Systèmes d'exploitation
- Routeurs, modems (connexion internet) et commutateurs
- Microprocesseurs à fonctions de sécurité
- Microcontrôleurs à fonctions de sécurité
- Circuits ASIC / FPGA à fonctions de sécurité
- Assistants domestiques connectés à usage général
- Produits domotiques à fonction de sécurité (serrures, caméras, alarmes)
- Jouets connectés (suivi / social)
- Dispositifs portables de suivi de santé
Annexe III — les catégories de classe II
Même logique, à un niveau de risque supérieur : ces produits ne peuvent pas être auto-évalués.
- Hyperviseurs et systèmes de conteneurs
- Pare-feu / IDS / IPS
- Microcontrôleurs résistants à l'altération
- Microprocesseurs résistants à l'altération
Annexe IV — les produits critiques
Trois catégories, soumises au régime le plus strict du règlement.
- Dispositifs matériels à boîtiers sécurisés (HSM)
- Passerelles de compteurs intelligents
- Cartes à puce / éléments sécurisés
Mon produit n'est dans aucune liste. Que se passe-t-il ?
Il relève de la catégorie par défaut : il est dans le champ du règlement, et vous pouvez procéder vous-même à l'évaluation de la conformité (module A). C'est le cas le plus fréquent pour un équipement industriel connecté, un capteur, un automate ou une passerelle qui ne remplit pas de fonction de sécurité au sens de l'annexe III.
Attention au raccourci : « catégorie par défaut » ne signifie pas « rien à faire ». Les exigences essentielles, la documentation technique, la nomenclature logicielle, le traitement des vulnérabilités et le marquage CE s'appliquent de la même manière. Seule la procédure de vérification est allégée.
Les produits qui sortent du champ
Deux familles de cas seulement :
Régime sectoriel (lex specialis)
Un produit déjà couvert par une réglementation sectorielle relève de celle-ci : dispositifs médicaux (règlements 2017/745 et 2017/746), véhicules à moteur (2019/2144), aéronautique (2018/1139), équipements marins (directive 2014/90/UE).
Logiciel libre hors activité commerciale
Un logiciel libre développé ou fourni en dehors d'une activité commerciale n'est pas soumis aux obligations du fabricant. Le règlement crée un régime distinct et allégé pour les stewards de logiciels libres (art. 24).
Questions fréquentes
Qui décide de la classe de mon produit ?
Personne ne vous l'attribue. C'est au fabricant de déterminer, sous sa responsabilité, si son produit relève d'une catégorie des annexes III ou IV. Cette qualification doit être documentée et cohérente avec le reste de la documentation technique.
La classe change-t-elle les exigences techniques ?
Non. Les exigences essentielles de l'annexe I sont identiques quelle que soit la classe. La classe détermine la procédure d'évaluation de la conformité applicable (art. 32) : auto-évaluation ou intervention d'un organisme notifié.
Qu'est-ce qu'un organisme notifié ?
Un organisme tiers désigné par un État membre pour conduire les procédures d'évaluation de la conformité prévues par le règlement. Le chapitre IV qui encadre leur désignation s'applique depuis le 11 juin 2026 — un point à anticiper si votre produit relève de la classe II ou de l'annexe IV.
Où trouver la liste officielle des catégories ?
Les catégories sont fixées par les annexes III et IV du règlement (UE) 2024/2847, consultable sur EUR-Lex. Les intitulés utilisés sur cette page sont des reformulations destinées à la lecture : le texte officiel fait foi.
Source : règlement (UE) 2024/2847, annexes III et IV.