[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:fr:l-auto-evaluation-au-titre-du-cra-ce-que-le-module-a-exige-vraiment":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"fr","l-auto-evaluation-au-titre-du-cra-ce-que-le-module-a-exige-vraiment","L'auto-évaluation au titre du CRA : ce que le module A exige vraiment, d'après l'annexe VIII et la FAQ de la Commission","La plupart des produits logiciels ne verront jamais un organisme notifié. Ils utilisent le module A, la procédure de contrôle interne de l'annexe VIII, et « auto-évaluation » est le mot que tout le monde emploie sans dire ce qu'il contient. L'annexe VIII, partie I, tient en cinq points ; la FAQ de la Commission ajoute la liste des activités, le fait qu'aucune méthodologie d'essai n'est imposée, l'endroit où un produit logiciel porte son marquage CE, les deux formes de la déclaration de conformité, et le calendrier des normes harmonisées qui décide quand l'auto-évaluation cesse de vouloir dire « directement contre l'annexe I ».","2026-09-11","\nL'article 32(1) du Cyber Resilience Act, règlement (UE) 2024\u002F2847, permet à un fabricant de démontrer la conformité par « la procédure de contrôle interne (fondée sur le module A) décrite à l'annexe VIII », et pour un produit qui ne figure pas aux annexes III ou IV, c'est la voie que presque tout le monde prendra. [Le niveau dans lequel un produit tombe](\u002Farticles\u002Fdefault-important-or-critical-the-26-technical-descriptions-and-the-core-functionality-test) décide si le module A est disponible ; cet article porte sur ce qu'il contient une fois qu'il l'est. Le règlement lui donne cinq points à l'annexe VIII, partie I. La FAQ de la Commission sur la mise en œuvre, version 1.4 du 4 septembre 2026, section 6, en fait une liste d'activités et répond aux questions qui suivent : quelle méthodologie, à quoi doit ressembler le dossier, où va le marquage CE sur un logiciel, ce que dit la déclaration, et quand des normes harmonisées existeront pour s'auto-évaluer.\n\n## Qui peut utiliser le module A\n\nL'entrée 6.1 de la FAQ énumère trois cas. Tout produit « qui n'a pas la fonctionnalité de base d'une catégorie de produits importants ou critiques », la catégorie par défaut. Les produits importants de classe I « si une norme harmonisée a été appliquée conformément à l'article 32(2) ». Et les produits importants de classe I ou II qui sont des logiciels libres et open source, « à condition que la documentation technique soit mise à la disposition du public, conformément à l'article 32(5) ». Les produits de classe II qui ne sont pas open source, et les produits critiques, ont besoin d'un organisme notifié ou d'un schéma de certification, et aucun organisme notifié au titre du règlement n'existait [le jour où l'obligation de notification a commencé](\u002Farticles\u002Fthe-eu-s-own-cra-machinery-on-the-day-the-duty-started).\n\n## Les cinq points de l'annexe VIII, partie I\n\nLe point 1 définit la procédure : le contrôle interne est la procédure par laquelle « le fabricant remplit les obligations énoncées aux points 2, 3 et 4 de la présente partie, et assure et déclare sous sa seule responsabilité que les produits comportant des éléments numériques satisfont à toutes les exigences essentielles de cybersécurité énoncées à l'annexe I, partie I, et que le fabricant satisfait aux exigences essentielles de cybersécurité énoncées à l'annexe I, partie II ». Les deux moitiés de l'annexe I, les propriétés du produit et le processus de gestion des vulnérabilités, et « sa seule responsabilité ».\n\nPoint 2 : « Le fabricant établit la documentation technique décrite à l'annexe VII. »\n\nPoint 3, sur la conception, le développement, la production et la gestion des vulnérabilités : « Le fabricant prend toutes les mesures nécessaires pour que les processus de conception, de développement, de production et de gestion des vulnérabilités, ainsi que leur suivi, assurent la conformité des produits comportant des éléments numériques fabriqués ou développés et des processus mis en place par le fabricant aux exigences essentielles de cybersécurité énoncées à l'annexe I, parties I et II. » Cette phrase est tout ce que signifie « évaluation » dans le module A : des mesures, des processus et leur suivi, du côté du fabricant.\n\nPoint 4 : apposer le marquage CE « sur chaque produit individuel comportant des éléments numériques qui satisfait aux exigences applicables », et établir « une déclaration UE de conformité écrite pour chaque produit comportant des éléments numériques conformément à l'article 28 et la tenir, avec la documentation technique, à la disposition des autorités nationales pendant 10 ans après la mise sur le marché du produit comportant des éléments numériques ou pendant la période d'assistance, la durée la plus longue étant retenue ».\n\nPoint 5 : un mandataire peut accomplir le point 4 au nom du fabricant « à condition que les obligations pertinentes soient spécifiées dans le mandat ».\n\n## Les activités que la FAQ énumère\n\nL'entrée 6.1 reformule la procédure en cinq activités : mettre en œuvre « les mesures d'atténuation de cybersécurité nécessaires dans le produit à la suite de l'évaluation des risques » ; vérifier « par des essais ou un autre mécanisme » que le produit est conforme aux exigences essentielles pertinentes ; établir la documentation technique ; une fois que le fabricant « est en mesure de démontrer » la conformité, apposer le marquage CE et « établir et signer une déclaration de conformité » ; et « veiller à ce que la production des différentes unités du produit comportant des éléments numériques n'altère pas la conformité ». Pour un logiciel, la dernière est le processus de mise en production : ce qui transforme un build évalué en copies que les clients téléchargent ne doit pas changer ce qui a été évalué, la même discipline que [la modification substantielle](\u002Farticles\u002Fwhich-update-puts-your-existing-software-under-the-cra-substantial-modifications) exige version après version.\n\n## Aucune méthodologie n'est imposée, et les essais ne sont pas déterministes\n\nL'entrée 6.5 dit ce que bien des vendeurs d'outils préféreraient taire : « Le CRA n'impose l'utilisation d'aucune méthodologie d'évaluation particulière, y compris potentiellement les essais. » Appliquer une norme harmonisée ou une spécification technique est « une pratique courante », pas une obligation. Les essais peuvent être réalisés « dans leurs propres laboratoires, s'ils en disposent, ou dans des laboratoires externes », le règlement « ne fixe aucune exigence particulière pour les laboratoires », et « le fabricant assume la seule responsabilité de l'évaluation de la conformité ». Les autorités de surveillance du marché « peuvent effectuer des essais ou des procédures d'évaluation lors des inspections pertinentes », peuvent utiliser la méthodologie du fabricant « en particulier si cette méthodologie fait partie d'une norme harmonisée », et « peuvent appliquer une méthodologie différente, sur une base justifiée ». La dernière phrase de la FAQ sur ce point est celle à retenir : « les essais de cybersécurité ne sont pas déterministes comme dans d'autres domaines régis par le NLF et les résultats peuvent ne pas être uniques ». La défense est une méthode documentée et la trace de son application, pas un outil particulier.\n\n## La documentation technique : n'importe quelle langue, non publique, complète et claire\n\nEntrée 6.6 : la documentation « doit contenir les éléments énoncés à l'annexe VII », [point par point](\u002Farticles\u002Fwhat-goes-in-the-cra-technical-file-annex-vii-point-by-point). Elle « n'est pas seulement un livrable interne mais peut être demandée par les autorités de surveillance du marché », de sorte qu'« elle doit être complète et claire », et le fabricant « doit être en mesure de démontrer que le produit a été conçu, développé et fabriqué pour se conformer aux exigences essentielles », ce qui « inclut les spécifications des processus de gestion des vulnérabilités ». Elle « peut être rédigée dans n'importe quelle langue », mais si une autorité la demande, « elle doit être fournie dans une langue aisément compréhensible par cette autorité ». Et il n'y a « aucune obligation de mettre la documentation technique à la disposition des clients du fabricant ou du public », à une exception près : les fabricants open source de produits de classe I ou II qui s'auto-évaluent au titre de l'article 32(5), dont la documentation doit être publique.\n\n## Le marquage CE, sur un logiciel\n\nEntrée 6.7 avec l'article 30(1) : pour les produits « qui prennent la forme d'un logiciel, le marquage CE est apposé soit sur la déclaration UE de conformité visée à l'article 28, soit sur le site web accompagnant le produit logiciel. Dans ce dernier cas, la section pertinente du site web doit être aisément et directement accessible aux consommateurs. » Le marquage est « une simple auto-déclaration visuelle », il « ne peut pas être apposé si le fabricant n'a pas effectué une procédure d'évaluation de la conformité, avec un résultat positif », et sur les produits physiques il mesure au moins 5 mm. [L'article sur le marquage CE](\u002Farticles\u002Fdoes-software-need-a-ce-mark-under-the-cra) a le reste.\n\n## La déclaration de conformité : deux formes, une par produit\n\nEntrée 6.8 avec l'article 28 et les annexes V et VI. La déclaration complète suit l'annexe V : le nom et le type du produit et « toute information supplémentaire permettant l'identification unique », le nom et l'adresse du fabricant, « une déclaration selon laquelle la déclaration UE de conformité est établie sous la seule responsabilité du fournisseur », l'objet de la déclaration, la déclaration de conformité à la législation d'harmonisation de l'Union pertinente, « les références des normes harmonisées pertinentes utilisées ou de toute autre spécification commune ou certification de cybersécurité par rapport à laquelle la conformité est déclarée », l'organisme notifié lorsqu'un est intervenu, et une signature avec lieu, date, nom et fonction. La déclaration simplifiée de l'annexe VI est une phrase avec l'adresse de la déclaration complète : « Par la présente, … [nom du fabricant] déclare que le produit comportant des éléments numériques de type … est conforme au règlement (UE) 2024\u002F2847. Le texte complet de la déclaration UE de conformité est disponible à l'adresse internet suivante : … ».\n\nTrois points de la FAQ à son sujet : la déclaration « est un document lié au produit individuel et non seulement au type ou au modèle », même s'« il n'est pas nécessaire qu'elle inclue l'identifiant unique » ; « une nouvelle version du produit peut nécessiter une nouvelle déclaration de conformité, en particulier lorsqu'elle met en œuvre une modification substantielle » ; et lorsque plusieurs actes de l'Union s'appliquent, l'article 28(3) exige « une déclaration de conformité unique pour tous ces actes de l'Union », qui « peut être un dossier constitué des déclarations de conformité individuelles pertinentes ».\n\n## Les normes harmonisées : ce contre quoi l'auto-évaluation sera mesurée\n\nTant que la référence d'une norme harmonisée n'est pas publiée au Journal officiel, le module A signifie évaluer directement contre l'annexe I et documenter « les solutions adoptées », comme le dit l'annexe VII, point 5. L'entrée 6.10 donne le plan. La demande de normalisation M\u002F606 a demandé au CEN, au CENELEC et à l'ETSI 15 normes horizontales, regroupées en trois livrables : une sur la conception, le développement et la production de produits « de manière à assurer un niveau approprié de cybersécurité fondé sur les risques », et une sur la gestion des vulnérabilités, toutes deux « à adopter par les OEN d'ici le 30 août 2026 » ; et une couvrant les propriétés des produits de l'annexe I, partie I, « à adopter par les OEN d'ici le 30 octobre 2027 ». Elle a demandé 26 normes verticales, « que les OEN traitent par 31 livrables distincts », pour les catégories des annexes III et IV, « à adopter par les OEN d'ici le 30 octobre 2026 ». L'adoption par les organismes de normalisation n'est pas la publication : en vertu de l'article 27(6), la Commission évalue ensuite chaque norme au titre du règlement (UE) no 1025\u002F2012 avant de la citer. Un projet d'amendement à la demande publié en juillet 2026 recule les dates de 2026 d'environ deux mois, et la phrase de la FAQ elle-même sur ce point reste inchangée : « l'utilisation des normes harmonisées est volontaire », et la conformité « par d'autres moyens techniques » documentée dans le dossier technique reste ouverte.\n\nPour un produit par défaut, cela signifie que l'auto-évaluation que vous ferez en 2027 est celle que décrit l'annexe VIII, avec ou sans norme : l'évaluation des risques, les mesures, la vérification, le dossier, le marquage, la déclaration. Pour un produit de classe I, cela signifie que la voie de l'auto-évaluation ne s'ouvre pas tant que la norme verticale de sa catégorie n'est pas citée, et que le dossier construit contre l'annexe I entre-temps est ce que l'organisme notifié, quand il en existera un, lira.\n\n## Ce qu'il faut conserver\n\nLe dossier du module A pour un produit est court : l'évaluation des risques et les mesures qu'elle a entraînées ; la méthode utilisée pour vérifier chaque exigence essentielle et ses résultats, datés ; le dossier technique de l'annexe VII ; la déclaration sous la forme de l'annexe V, signée, avec la phrase de l'annexe VI lorsqu'elle accompagne le produit ; l'emplacement du marquage CE, déclaration ou site web ; et le contrôle des mises en production qui maintient les copies livrées identiques au build évalué. StandardOS tient [le dossier technique](\u002Fcyber-resilience-act\u002Ftechnical-file) et ses preuves comme des enregistrements vivants avec la conservation de dix ans que fixe l'annexe VIII, point 4.2, plus longue que ce que la plupart des entreprises conservent de quoi que ce soit.\n\n## Sources\n\n- Règlement (UE) 2024\u002F2847, article 27(1) et (6), article 28, article 30(1), article 32(1), (2) et (5), annexe V, annexe VI, annexe VII point 5, annexe VIII partie I.\n- Commission européenne, FAQ sur le Cyber Resilience Act, version 1.4 du 4 septembre 2026, entrées 6.1, 6.5, 6.6, 6.7, 6.8, 6.9 et 6.10.\n- Commission européenne, demande de normalisation M\u002F606, C(2025) 618, et le projet d'amendement de juillet 2026.\n\nCeci n'est pas un avis juridique. L'annexe VIII, partie I, tient en cinq points sur une page, et la section 6 de la FAQ en huit ; ensemble, elles sont la définition de « l'auto-évaluation », et méritent d'être lues avant d'acheter un outil qui la promet.\n",1789383978337]