La déclaration UE de conformité est le document le plus court de la paperasse du Cyber Resilience Act et celui qui porte le plus de poids. L'article 28(1) du règlement (UE) 2024/2847 dit ce qu'elle est : la déclaration « est établie par le fabricant conformément à l'article 13, paragraphe 12, et atteste que le respect des exigences essentielles de cybersécurité applicables énoncées à l'annexe I a été démontré ». L'article 28(4) dit ce que signifie la signer : « En établissant la déclaration UE de conformité, le fabricant assume la responsabilité de la conformité du produit comportant des éléments numériques. » La documentation technique montre le travail ; la déclaration est la signature du fabricant au bas. Cet article est ce que la déclaration doit contenir, lu dans l'annexe V, les règles qui l'entourent et un exemple rempli.

Sa place dans la séquence

L'article 13(12) fixe l'ordre. Avant de mettre un produit sur le marché, le fabricant établit la documentation technique de l'article 31, effectue ou fait effectuer la procédure d'évaluation de la conformité de l'article 32 et, lorsque cette procédure a démontré la conformité avec la partie I de l'annexe I pour le produit et la partie II pour ses processus, établit la déclaration UE de conformité au titre de l'article 28 et appose le marquage CE au titre de l'article 30. La FAQ de la Commission, section 6.8, énonce la conséquence sans détour : la déclaration ne peut pas être signée si le fabricant n'a pas mené l'une des procédures d'évaluation de la conformité applicables, avec un résultat positif. Ce que le module A, la procédure que la plupart des fabricants de logiciels utiliseront, exige réellement fait l'objet de son propre article ; la déclaration en est la dernière étape.

Deux documents peuvent porter la déclaration jusqu'à l'utilisateur. Article 13(20) : les fabricants « fournissent soit une copie de la déclaration UE de conformité, soit une déclaration UE de conformité simplifiée avec le produit », et une déclaration simplifiée « contient l'adresse internet exacte à laquelle le texte complet de la déclaration UE de conformité est accessible ». La déclaration complète suit le modèle de l'annexe V ; la simplifiée est la phrase unique de l'annexe VI. Les deux sont disponibles dans les langues requises par l'État membre dans lequel le produit est mis sur le marché ou mis à disposition sur le marché (article 28(2)).

L'annexe V, les huit points

L'annexe V dit que la déclaration « contient l'ensemble des informations suivantes » et énumère huit points. Le tableau donne chaque point et ce qu'un fabricant de logiciels écrit en face.

Point Ce que demande l'annexe V Ce qu'il faut écrire
1 Nom et type, ainsi que toute information supplémentaire permettant l'identification unique du produit Le nom du produit, la désignation du type ou du modèle, et la version ou la plage de versions que couvre la déclaration. La FAQ dit que la déclaration est liée au produit individuel et pas seulement au type ou au modèle, mais qu'un identifiant unique par unité n'est pas nécessaire.
2 Nom et adresse du fabricant ou de son mandataire L'entité juridique qui met le produit sur le marché, avec son adresse postale, en cohérence avec l'article 13(16) et l'annexe II point 1.
3 Attestation certifiant que la déclaration est établie sous la seule responsabilité du fournisseur Le mot du règlement est ici « fournisseur », dans chaque langue du Journal officiel ; le CRA ne connaît par ailleurs que des fabricants, et l'article 28(4) place la responsabilité sur le fabricant. L'attestation nomme le fabricant.
4 Objet de la déclaration : identification du produit permettant sa traçabilité, pouvant inclure une photographie Pour un logiciel, la même identification qu'au point 1 plus ce qui le trace : un identifiant de build, un hachage de l'artefact de la version, ou l'emplacement de téléchargement avec la chaîne de version.
5 Une mention indiquant que l'objet décrit ci-dessus est conforme à la législation d'harmonisation de l'Union applicable Le règlement, cité avec sa référence de publication. Lorsque d'autres actes de l'Union imposent aussi une déclaration pour le produit, tous ces actes (article 28(3)).
6 Les références de toute norme harmonisée pertinente appliquée ou de toute autre spécification commune ou certification de cybersécurité par rapport auxquelles la conformité est déclarée Au 12 septembre 2026, il n'existe aucune norme harmonisée citée au titre du règlement ni aucune spécification commune, de sorte qu'un fabricant de la catégorie par défaut écrit que la conformité a été évaluée selon le module A directement par rapport à l'annexe I, et nomme les spécifications techniques qu'il a appliquées.
7 Le cas échéant, le nom et le numéro de l'organisme notifié, une description de la procédure d'évaluation de la conformité suivie et la référence du certificat délivré Seulement lorsqu'un organisme notifié est intervenu : modules B et C ou module H. Pour le module A, la procédure est nommée et le reste est sans objet.
8 Informations supplémentaires ; signé par et au nom de, lieu et date d'établissement, nom, fonction, signature La personne qui signe engage le fabricant au titre de l'article 28(4) ; la date précède la mise sur le marché.

Le point 3 mérite l'aparté. « Fournisseur » est le mot de l'annexe V du règlement sur l'IA, règlement (UE) 2024/1689, où l'opérateur économique est le fournisseur et dont le point 3 se lit de la même façon, et il figure dans le CRA dans chaque langue du Journal officiel. Rien n'en dépend : la déclaration est celle du fabricant, et la description qu'en donne la FAQ est que le fabricant déclare que le produit est conforme au CRA et en assume la responsabilité.

Les règles qui l'entourent

Les langues. Article 28(2) : les deux formes sont disponibles dans les langues requises par l'État membre dans lequel le produit est mis sur le marché ou mis à disposition sur le marché. Un produit vendu dans toute l'Union peut avoir besoin de la déclaration dans plus d'une langue ; la documentation technique, non (l'article 13(22) demande une langue que l'autorité requérante peut facilement comprendre).

Une déclaration pour tous les actes de l'Union. Article 28(3) : lorsqu'un produit relève de plusieurs actes de l'Union imposant une déclaration UE de conformité, « une seule déclaration UE de conformité est établie pour l'ensemble de ces actes juridiques », en mentionnant chaque acte avec sa référence de publication. La FAQ ajoute, d'après le Guide bleu, que la déclaration unique peut être un dossier composé des déclarations de conformité individuelles pertinentes. Un appareil connecté relevant de la directive sur les équipements radioélectriques et du CRA a une déclaration, ou un dossier.

Les familles de produits. Les lignes directrices de la Commission C(2026) 5252, points 174 et 175 : des variantes, modèles ou configurations qui partagent la même architecture, la même conception pertinente pour la sécurité et la même destination, et qui sont exposés aux mêmes risques, peuvent s'appuyer sur une seule évaluation des risques, une seule documentation technique et une seule évaluation de la conformité, ce qui permet une seule déclaration UE de conformité pour le groupe de produits, pour autant qu'elle identifie clairement les variantes auxquelles elle s'applique.

Les versions. L'article 28(2) dit que la déclaration « est mise à jour en tant que de besoin ». La FAQ : une nouvelle version du produit peut nécessiter une nouvelle déclaration de conformité, en particulier lorsqu'elle met en œuvre une modification substantielle, ce qui est le point auquel un produit déjà sur le marché passe sous le règlement.

La conservation. Article 13(13) : la documentation technique et la déclaration sont tenues à la disposition des autorités de surveillance du marché pendant au moins 10 ans après la mise sur le marché du produit, ou pendant la période d'assistance si elle est plus longue. Le point 4.2 du module A le répète et ajoute qu'une copie « est mise à la disposition des autorités compétentes sur demande ». Le mandat d'un mandataire doit lui permettre de conserver les deux pendant la même durée (article 18(3)).

Le marquage CE. Pour un logiciel, l'article 30(1) permet d'apposer le marquage sur la déclaration elle-même ou sur le site web accompagnant le produit ; l'article sur le marquage CE en donne le détail. L'annexe II point 6 demande que les informations à l'utilisateur donnent, le cas échéant, l'adresse internet à laquelle la déclaration est accessible, qui est l'adresse vers laquelle pointe la forme simplifiée.

En aval de la chaîne. Les importateurs doivent s'assurer, avant la mise sur le marché, que le produit est accompagné de la déclaration visée à l'article 13(20) (article 19(2)) ; les distributeurs vérifient que le fabricant et l'importateur ont respecté, entre autres, l'article 13(20) (article 20(2)). Une déclaration absente arrête le produit chez le premier revendeur qui lit le règlement.

Un exemple rempli

Notre exemple, pour un fabricant fictif, dans l'ordre de l'annexe V. C'est un modèle de la structure, pas un formulaire à recopier sans avoir lu les points ci-dessus.

  1. Produit : Ledger Desktop, type LD-4, versions 4.2.0 et suivantes de la série 4.x, pour Windows et macOS.
  2. Fabricant : Example Software GmbH, Musterstraße 1, 10115 Berlin, Allemagne.
  3. La présente déclaration UE de conformité est établie sous la seule responsabilité du fabricant.
  4. Objet de la déclaration : Ledger Desktop LD-4, version 4.2.0, artefacts de version identifiés par les empreintes SHA-256 publiées à l'adresse example.com/ledger/releases.
  5. L'objet de la déclaration décrit ci-dessus est conforme au règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 (Cyber Resilience Act), JO L, 2024/2847, 20.11.2024.
  6. Normes harmonisées, spécifications communes ou certifications : aucune citée au titre du règlement à la date d'établissement. Conformité évaluée selon la procédure de contrôle interne (module A) de l'annexe VIII par rapport aux exigences essentielles de l'annexe I, en appliquant les spécifications techniques énumérées dans la documentation technique, section 5.
  7. Organisme notifié : sans objet.
  8. Signé par et au nom d'Example Software GmbH, Berlin, le 1er décembre 2027, Jane Doe, directrice générale.

Et la forme simplifiée, la phrase que prescrit l'annexe VI, avec les blancs remplis : « Example Software GmbH déclare que le produit comportant des éléments numériques de type Ledger Desktop LD-4 est conforme au règlement (UE) 2024/2847. Le texte complet de la déclaration UE de conformité est disponible à l'adresse internet suivante : example.com/ledger/conformity. »

Ce que coûte une déclaration absente ou erronée

L'article 58(1) énumère les constatations sur lesquelles une autorité de surveillance du marché « invite le fabricant concerné à mettre un terme à la non-conformité en question » ; deux des six sont que « la déclaration UE de conformité n'a pas été établie » et qu'elle « n'a pas été établie correctement ». Si la non-conformité persiste, l'État membre restreint ou interdit la mise à disposition du produit sur le marché, ou fait en sorte qu'il soit rappelé ou retiré (article 58(2)). L'article 64(3) place l'article 28 dans le deuxième palier d'amendes : jusqu'à 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Une déclaration incorrecte est aussi la première chose qu'une autorité lit : elle nomme le produit, le fabricant, la procédure et les normes, et chacun de ces éléments se vérifie dans la documentation.

La déclaration est le septième des onze documents du pack de documentation technique, rédigé à partir de la fiche produit avec les huit points dans l'ordre de l'annexe V, pour que ce qui est signé le jour venu soit ce que dit la documentation. Ce que contient la documentation elle-même est l'article compagnon.

Sources

  • Règlement (UE) 2024/2847 (CRA), article 13(12), (13), (16), (20) et (22), article 18(3), article 19(2), article 20(2), article 28, article 30(1), article 58, article 64(3), annexe II point 6, annexe V, annexe VI, annexe VIII partie I point 4.2.
  • Commission européenne, FAQ sur le Cyber Resilience Act, version 1.4 du 4 septembre 2026, section 6.8.
  • Commission européenne, lignes directrices C(2026) 5252 du 27 juillet 2026, points 174 et 175.
  • Règlement (UE) 2024/1689 (règlement sur l'IA), annexe V, pour l'origine du libellé du point 3.

Ceci n'est pas un avis juridique. La déclaration engage le fabricant qui la signe ; le texte à lire avant de signer est celui du règlement.