Classification CRA : par défaut, important, critique
Le règlement répartit les produits en quatre niveaux, avec des chemins de conformité plus exigeants pour les plus sensibles. Une précision utile d'emblée : cette classification ne change rien à l'obligation de signalement de 2026.
Les quatre niveaux
| Niveau | Ce qu'il recouvre | Évaluation de conformité |
|---|---|---|
| Par défaut | La grande majorité des produits comportant des éléments numériques, non listés dans les annexes. | Auto-évaluation par le fabricant (contrôle interne). |
| Important — classe I | Produits à fonction de sécurité ou d'accès, listés à l'Annexe III : notamment gestionnaires de mots de passe, VPN, systèmes de gestion de réseau, logiciels antivirus, navigateurs, assistants domestiques intelligents, produits de sécurité physique connectés. | Auto-évaluation possible si application de normes harmonisées ; sinon intervention d'un tiers. |
| Important — classe II | Produits plus sensibles : notamment hyperviseurs, pare-feu et systèmes de détection ou de prévention d'intrusion, microprocesseurs et microcontrôleurs à fonctions de sécurité. | Intervention d'un organisme tiers (examen de type ou assurance qualité complète). |
| Critique | Produits de l'Annexe IV, par exemple certains dispositifs matériels dotés de boîtiers sécurisés, passerelles de compteurs intelligents, cartes à puce sécurisées. | Voie de conformité renforcée, avec possibilité de certification européenne obligatoire. |
Les listes précises figurent aux annexes du règlement et peuvent être précisées par des actes de la Commission. Toute classification doit être vérifiée à la source pour un produit donné.
Ce que la classe change… et ne change pas
La classification n'a aucune incidence sur l'obligation de signalement du 11 septembre 2026. Un fabricant de produit « par défaut » signale une vulnérabilité activement exploitée dans les mêmes 24 heures qu'un fabricant de produit critique. La classification détermine le chemin de conformité applicable en décembre 2027, pas la cadence de signalement.
Ce point mérite d'être clarifié tôt : beaucoup d'entreprises retardent leur préparation au signalement en supposant que leur produit, non listé, serait moins concerné. Ce n'est pas le cas.
Pourquoi connaître sa classe malgré tout
- Coût et délai de mise en conformité 2027. Passer par un organisme tiers demande du budget et des mois de calendrier. Une entreprise qui découvre en 2027 qu'elle est en classe II a un problème de planning, pas seulement de conformité.
- Choix de conception. Ajouter une fonction de sécurité à un produit peut le faire basculer de catégorie. Autant le savoir en phase de conception.
- Argument commercial. Face à un donneur d'ordre, connaître sa classification et son chemin de conformité est un signal de sérieux.
Les obligations communes à toutes les classes
Indépendamment du niveau, tout fabricant devra à terme : appliquer les exigences essentielles de l'Annexe I, assurer le traitement des vulnérabilités pendant la période de support — d'une durée d'au moins cinq ans, sauf si la durée de vie prévue du produit est plus courte —, fournir la documentation technique et les informations aux utilisateurs, et apposer le marquage CE.
Et, depuis le 11 septembre 2026, signaler les vulnérabilités activement exploitées et les incidents graves — quelle que soit la classe du produit.
Êtes-vous concerné ?
5 questions, 2 minutes. Verdict immédiat, CSIRT de rattachement identifié, synthèse PDF offerte.
Faire le test gratuit