Documentation technique et évaluation de la conformité
C'est le chantier le plus long du CRA, et celui qu'on ne rattrape pas en fin de projet : la documentation technique est la preuve, l'évaluation de la conformité est la procédure qui la valide.
La documentation technique (annexe VII)
Établie en vertu de l'article 31, la documentation technique doit démontrer que le produit satisfait aux exigences essentielles de l'annexe I. Elle est constituée avant la mise sur le marché et tenue à jour pendant toute la période d'assistance.
Elle couvre notamment :
- Le produit : description générale, usage prévu, versions, environnement d'exploitation.
- L'évaluation des risques de cybersécurité menée pour ce produit.
- La conception et l'architecture : comment les exigences essentielles sont satisfaites.
- Les composants logiciels du produit — c'est là que la nomenclature logicielle trouve sa place.
- Le processus de traitement des vulnérabilités et la politique de divulgation coordonnée.
- La période d'assistance retenue et la façon dont les mises à jour de sécurité sont diffusées.
- Les résultats d'essais et, le cas échéant, les normes harmonisées appliquées.
L'annexe VII fait foi pour le contenu exigible ; cette liste en donne la structure de lecture.
Les procédures d'évaluation de la conformité (art. 32)
| Procédure | Ce que c'est | Quand elle s'applique |
|---|---|---|
| Module A — contrôle interne | Le fabricant vérifie lui-même la conformité et l'atteste, sans intervention d'un tiers. | Catégorie par défaut ; classe I lorsque les normes harmonisées applicables sont intégralement appliquées. |
| Modules B + C — examen UE de type, puis conformité au type | Un organisme notifié examine un exemplaire représentatif du produit ; le fabricant assure ensuite la conformité de la production au type examiné. | Classe I sans normes harmonisées, classe II, produits critiques de l'annexe IV. |
| Module H — assurance complète de la qualité | Un organisme notifié évalue le système qualité du fabricant, de la conception au contrôle final du produit. | Alternative aux modules B + C pour les mêmes cas. |
Quelle que soit la procédure, l'objet de l'évaluation ne change pas : ce sont les exigences essentielles de l'annexe I.
Puis-je m'auto-évaluer ?
Oui dans deux situations : si votre produit relève de la catégorie par défaut, ou s'il relève de la classe I et que vous appliquez intégralement les normes harmonisées applicables. Dans tous les autres cas — classe I sans normes harmonisées, classe II, annexe IV — l'intervention d'un organisme notifié est requise.
Marquage CE et déclaration UE de conformité
Une fois la procédure conduite, le fabricant établit la déclaration UE de conformité et appose le marquage CE. Ces deux gestes n'ont de valeur que si la documentation technique les soutient : le marquage n'est pas une étape administrative de fin de parcours, c'est l'engagement du fabricant sur tout ce qui précède.
Un ordre de travail qui fonctionne
- Déterminer la classe du produit — elle décide de la procédure, donc du calendrier et du budget.
- Mener l'évaluation des risques : c'est elle qui justifie les choix de conception.
- Constituer l'inventaire des composants et la veille de vulnérabilités associée.
- Écrire la documentation technique au fil de l'eau, pas après.
- Conduire la procédure d'évaluation applicable, puis établir la déclaration UE et apposer le marquage CE.
Questions fréquentes
Quand la documentation technique doit-elle être prête ?
Avant la mise sur le marché du produit. Elle est ensuite tenue à jour pendant la période d'assistance.
Qui peut me demander la documentation technique ?
Les autorités de surveillance du marché. L'importateur et le distributeur doivent, eux, s'assurer qu'elle a été établie et que le marquage CE est apposé, sans avoir à la constituer.
Les normes harmonisées existent-elles déjà ?
Les normes harmonisées destinées à donner présomption de conformité au CRA sont en cours d'élaboration au niveau européen. Leur disponibilité conditionne la possibilité d'auto-évaluer un produit de classe I au titre du module A.
Un organisme notifié valide-t-il mon produit ?
Il évalue la conformité selon la procédure retenue — examen d'un type représentatif (modules B + C) ou du système qualité (module H). Il ne se substitue pas au fabricant, qui reste responsable de la conformité du produit.
Source : règlement (UE) 2024/2847, articles 31 et 32, annexes I et VII.