Quels produits sont concernés par le CRA ?

La définition retenue par le règlement est large et surprend souvent : elle englobe des produits que leurs fabricants ne considèrent pas comme « numériques ».

La définition du règlement

Le CRA s'applique aux produits comportant des éléments numériques mis à disposition sur le marché de l'Union, dont l'utilisation prévue ou raisonnablement prévisible comporte une connexion logique ou physique, directe ou indirecte, à un appareil ou à un réseau.

Trois mots méritent attention : indirecte (un capteur qui ne communique qu'avec une passerelle est concerné), raisonnablement prévisible (peu importe que la connexion soit optionnelle si l'usage la rend courante), et mise à disposition (la fourniture dans le cadre d'une activité commerciale, y compris à titre gratuit).

Catégories couvertes

• Matériel connecté : objets connectés grand public et professionnels, capteurs, passerelles, caméras, équipements domotiques, automates et équipements industriels ;
• Logiciels : systèmes d'exploitation, applications de bureau et mobiles, firmwares, middlewares, bibliothèques commercialisées ;
• Composants matériels et logiciels mis sur le marché séparément ;
• Solutions de traitement de données à distance conçues par le fabricant et dont l'absence empêcherait le produit d'assurer l'une de ses fonctions.

Les exclusions

Sont exclus les produits couverts par des régimes sectoriels de cybersécurité équivalents :

• dispositifs médicaux et dispositifs de diagnostic in vitro (MDR, IVDR) ;
• véhicules soumis à réception par type ;
• produits de l'aviation civile ;
• équipements marins ;
• produits développés ou modifiés exclusivement à des fins de défense ou de sécurité nationale, ou destinés au traitement d'informations classifiées ;
• pièces de rechange identiques destinées à remplacer un composant à l'identique.

L'exclusion ne signifie pas l'absence d'obligations : elle signifie que d'autres règles, souvent plus exigeantes, s'appliquent.

Le cas des logiciels libres

Le règlement prévoit un traitement spécifique pour les logiciels libres et open source. Un logiciel libre développé ou fourni en dehors d'une activité commerciale n'entre pas dans le champ des obligations pesant sur les fabricants. En revanche, dès lors qu'un composant open source est intégré dans un produit commercialisé, c'est le fabricant du produit final qui porte la responsabilité du composant qu'il a choisi d'embarquer.

Le règlement introduit par ailleurs la notion d'« intendant de logiciel open source », soumis à des obligations allégées.

Le critère décisif : la mise à disposition sur le marché de l'Union

Un fabricant établi hors de l'Union qui commercialise ses produits dans l'UE reste soumis au règlement. Inversement, un produit conçu dans l'Union mais exclusivement exporté hors UE n'entre pas dans le champ. Ce qui compte est le marché de destination, pas le lieu de conception.

Et les produits vendus il y a des années ?

Pour l'obligation de signalement applicable au 11 septembre 2026, le périmètre couvre les produits mis à disposition sur le marché, sans distinction de date de commercialisation. Un produit ancien, toujours en service et non maintenu, reste concerné. Les exigences de conformité produit de décembre 2027 obéissent, elles, à une logique différente, liée à la mise sur le marché et aux modifications substantielles.