Le Cyber Resilience Act, règlement (UE) 2024/2847, répartit les produits comportant des éléments numériques en quatre niveaux. Tout ce qui est dans le champ d'application est « par défaut », sauf s'il a la fonctionnalité de base de l'une des 19 catégories de classe I ou des 4 catégories de classe II de l'annexe III, ce qui le rend « important », ou de l'une des 3 catégories de l'annexe IV, ce qui le rend « critique ». Le niveau décide de la procédure d'évaluation de la conformité, pas de l'applicabilité du règlement. Les annexes nomment chaque catégorie en une ligne. L'article 7(4) a chargé la Commission de préciser la description technique de chacune, et le règlement d'exécution (UE) 2025/2392 de la Commission du 28 novembre 2025 le fait en deux annexes : publié au Journal officiel le 1er décembre 2025, en vigueur depuis le 21 décembre 2025.
Les descriptions sont le texte par rapport auquel un organisme notifié et une autorité de surveillance du marché classent. Les orientations de la Commission sur l'application du règlement, C(2026) 5252 du 27 juillet 2026, section 6, disent comment les lire. Cet article donne les deux : les six règles des orientations avec leurs exemples, et les 26 descriptions textuellement, dans les termes mêmes du Journal officiel pour cette langue.
Le test : la fonctionnalité de base
Paragraphe 139 des orientations : « La fonctionnalité de base d'un produit comportant des éléments numériques désigne les principales caractéristiques et capacités techniques de ce produit, sans lesquelles il ne pourrait pas remplir sa destination. » Elle s'apprécie « à la lumière du contexte et des conditions d'utilisation spécifiques de ce produit », en tenant compte « des informations que le fabricant fournit dans la notice d'utilisation, dans les documents et déclarations promotionnels ou commerciaux, ainsi que dans la documentation technique ». Le considérant 2 du règlement d'exécution dit la même chose en une phrase : en vertu des articles 7(1) et 8(1), « la fonctionnalité de base d'un produit comportant des éléments numériques détermine si ce produit comportant des éléments numériques correspond à la description technique d'une catégorie ».
Six règles en découlent, chacune avec un exemple dans les orientations.
1. Les fonctions accessoires ne changent pas le niveau. Paragraphe 140 : les produits « exécutent souvent, sinon toujours, des fonctions supplémentaires qui ne contribuent pas à la fonctionnalité de base du produit », et exécuter des fonctions « autres que ou en plus de » la description d'une catégorie « n'empêche pas en soi le produit d'avoir une telle fonctionnalité de base ». Le considérant 4 du règlement d'exécution donne l'exemple : les systèmes d'exploitation « comprennent souvent des logiciels qui exécutent des fonctions accessoires non incluses dans la description technique de cette catégorie de produits, telles que des calculatrices ou de simples éditeurs graphiques ».
2. Intégrer un produit important ou critique ne fait pas de vous l'un d'eux. Paragraphe 141, citant l'article 7(1) : « la simple intégration d'un produit important ou critique comportant des éléments numériques ne fait pas en soi du produit comportant des éléments numériques un produit important ou critique ». L'exemple 58 est un smartphone : il intègre un système d'exploitation, mais « le smartphone dans son ensemble a une fonctionnalité de base différente ». Le considérant 3 du règlement d'exécution prend une application d'actualités avec un navigateur intégré, qui n'en devient pas un navigateur, tandis que le fabricant doit toujours « évaluer la sécurité de l'ensemble du produit, en tenant compte, le cas échéant, de la sécurité des composants ».
3. Substantiellement plus, ou substantiellement moins, c'est un autre produit. Paragraphe 142 : un produit peut ressembler à une catégorie « alors que sa fonctionnalité de base peut la dépasser substantiellement ou lui être substantiellement inférieure ». Exemple 59 : un logiciel SOAR peut faire ce que fait un SIEM, mais sa fonctionnalité de base « dépasse substantiellement celle d'un SIEM, en incluant des services tels que la réponse aux incidents », de sorte qu'il « n'est généralement pas considéré comme ayant la fonctionnalité de base des systèmes SIEM ». Exemple 60 : les outils de collecte et de visualisation de journaux qui affichent des tableaux de bord « n'effectuent pas de corrélation de données et ne fournissent pas d'informations de sécurité exploitables », ils sont donc en deçà d'un SIEM. Les fonctions supplémentaires qui « ne font que compléter ou améliorer » une fonctionnalité de base qui correspond ne sortent pas le produit de la catégorie.
4. On ne se soustrait pas par la description. Paragraphe 143 : un fabricant « ne peut pas présenter de manière trompeuse la fonctionnalité de base » pour échapper à un régime plus strict, « par exemple en surestimant ou en minimisant le rôle de certaines fonctionnalités », et « des incohérences manifestes entre les documents promotionnels, la notice d'utilisation et la documentation technique » sont ce qui le révélerait.
5. Une fonctionnalité de base par produit, inscrite dans la documentation technique. Paragraphe 144 : un produit « ne peut pas avoir plus d'une fonctionnalité de base aux fins de la détermination du régime d'évaluation de la conformité applicable », et comme l'annexe VII exige de décrire la destination et la procédure de conformité, « la fonctionnalité de base du produit devrait donc être clairement identifiée ».
6. Les modules vendus séparément sont des produits à part entière. Paragraphe 145 : lorsque les modules d'une suite « sont proposés à l'achat, à la licence ou à l'abonnement séparément », chacun « constitue un produit comportant des éléments numériques autonome à part entière » classé selon sa propre fonctionnalité de base. L'exemple 61 est une suite de sécurité dont le module SIEM est de classe I, le module de détection d'intrusion de classe II et le module d'analyse par défaut. Les modules « fournis uniquement en tant que composants d'un produit intégré comportant des éléments numériques et non mis à disposition séparément » sont classés au niveau du produit intégré.
Ce que le niveau change, et ce qu'il ne change pas
La section 6.2 reprend l'article 32. Les produits par défaut ont toujours la voie du contrôle interne, module A. Les produits de classe I ne l'ont que lorsqu'une norme harmonisée, une spécification commune ou un schéma de certification au niveau d'assurance substantiel est appliqué intégralement ; le paragraphe 149 ajoute que « le champ d'application de la norme doit couvrir au moins tous les risques de cybersécurité associés à la fonctionnalité de base de ce produit », et le paragraphe 151 que les risques des fonctions supplémentaires doivent alors être couverts « par d'autres moyens » et documentés. L'exemple 62 est un antivirus avec des fonctions de nettoyage de disque et d'anti-pistage : une norme harmonisée pour le cœur, des mesures supplémentaires pour le reste, et la voie du contrôle interne pour l'ensemble. L'exemple 63 est un routeur avec pare-feu intégré : classé comme routeur, classe I, bien que les pare-feu soient de classe II, parce que « c'est la fonctionnalité de base du produit comportant des éléments numériques dans son ensemble, et non la fonctionnalité des composants intégrés pris isolément, qui détermine » le niveau (paragraphe 152). Les produits de classe II et les produits critiques ont besoin d'un organisme notifié ou d'un schéma de certification, avec l'exception open source de l'article 32(5). Le paragraphe 146 note que se tromper sur l'article 32 « peut entraîner des amendes administratives conformément à l'article 64(3) ».
Rien de tout cela ne touche l'obligation de notification : l'article 14 s'applique de la même façon à tous les niveaux.
Les 26 descriptions, textuellement
Les noms de catégories sont les annexes III et IV du règlement ; les descriptions sont les annexes I et II du règlement d'exécution, marques de notes de bas de page supprimées, paragraphes réunis. Là où le Journal officiel dit « cette catégorie comprend, sans s'y limiter », il énumère des exemples, il ne définit pas la catégorie.
| Réf. | Catégorie (annexe III / IV) | Description technique (règlement d'exécution 2025/2392) |
|---|---|---|
| III.I.1 | Systèmes de gestion des identités et logiciels et dispositifs de gestion des accès privilégiés, dont lecteurs d’authentification et de contrôle d’accès et lecteurs biométriques | Les systèmes de gestion de l’identité sont des produits comportant des éléments numériques qui prévoient des mécanismes d’authentification ou d’autorisation et qui peuvent également prévoir des mécanismes de gestion tout au long du cycle de vie des identifiants des personnes physiques, des personnes morales, des dispositifs ou des systèmes, tels que l’enregistrement de l’identité, la fourniture, la maintenance et la radiation de l’identité. Ces systèmes comprennent les systèmes de gestion des accès qui contrôlent l’accès des personnes physiques, des personnes morales, des dispositifs ou des systèmes aux ressources numériques ou aux lieux physiques. Le logiciel de gestion des accès privilégiés est un système de gestion des accès qui contrôle et surveille les droits d’accès aux systèmes informatiques ou opérationnels et aux informations sensibles au sein d’une organisation, y compris les systèmes appliquant des politiques de contrôle d’accès différenciées pour les utilisateurs privilégiés. Cette catégorie comprend, sans s’y limiter, les lecteurs d’authentification et de contrôle d’accès, les lecteurs biométriques, les logiciels d’authentification unique, les logiciels de gestion des identités fédérés, les logiciels de mot de passe à usage unique, les dispositifs d’authentification matériels tels que les générateurs de numéros d’authentification de transaction (TAN), les logiciels d’authentification et les logiciels d’authentification multifactorielle. |
| III.I.2 | Navigateurs autonomes et intégrés | Les produits logiciels comportant des éléments numériques qui permettent aux utilisateurs finaux d’accéder aux contenus et services web hébergés sur des serveurs connectés à des réseaux tels que l’internet, de les afficher ou les utiliser et d’interagir avec eux. Ils comprennent généralement un moteur de navigateur pour l’interprétation et l’affichage de contenus écrits dans un langage de balisage (par exemple, HTML), un support pour les protocoles web (par exemple HTTP, HTTPS), la capacité d’exécuter des scripts et de gérer les entrées des utilisateurs ainsi que le stockage de données temporaires ou persistantes provenant de sites web (cookies). Cette catégorie comprend, sans s’y limiter, les applications autonomes qui remplissent les fonctions des navigateurs, les navigateurs intégrés destinés à être intégrés dans un autre système ou application, ainsi que les navigateurs intégrant des agents d’IA. |
| III.I.3 | Gestionnaires de mots de passe | Les produits comportant des éléments numériques qui stockent des mots de passe localement sur un appareil ou sur un serveur à distance, y compris des activités telles que la génération de mots de passe et le partage de mots de passe ainsi que l’intégration avec des applications locales ou tierces pour l’utilisation de mots de passe. Cette catégorie comprend, sans s’y limiter, les gestionnaires de mots de passe locaux, les gestionnaires de mots de passe fournis sous forme d’extensions de navigateurs, les gestionnaires de mot de passe d’entreprise ainsi que les gestionnaires de mots de passe basés sur le matériel. |
| III.I.4 | Logiciels qui recherchent, suppriment ou mettent en quarantaine des logiciels malveillants | Les logiciels comportant des éléments numériques, généralement appelés antivirus ou antilogiciels malveillants, qui détectent ou recherchent des logiciels malveillants ou des codes sur des dispositifs, ou retirent ou mettent en quarantaine ces logiciels ou codes, afin de préserver l’intégrité, la confidentialité ou la disponibilité de ces dispositifs. Dans le contexte de cette catégorie de produits, on entend par «logiciels malveillants» les logiciels contenant des caractéristiques ou des capacités malveillantes qui peuvent causer un préjudice direct ou indirect à l’utilisateur et/ou au système informatique, tels que les virus, les vers, les rançongiciels, les logiciels espions et les chevaux de Troie. Cette catégorie comprend, sans s’y limiter, les logiciels qui détectent ou recherchent des logiciels malveillants en temps réel ou manuellement, les disques de détection des outils de dissimulation d’activité (rootkit) et de sauvetage avec la fonctionnalité essentielle de recherche, de retrait ou de mise en quarantaine de logiciels malveillants. |
| III.I.5 | Produits comportant des éléments numériques avec la fonction de réseau privé virtuel (VPN) | Les produits comportant des éléments numériques qui établissent un tunnel logique crypté construit à partir des ressources du système d’un réseau physique ou virtuel. Cette catégorie comprend, sans s’y limiter, les clients de réseaux privés virtuels, les serveurs de réseaux privés virtuels et les passerelles de réseaux privés virtuels. |
| III.I.6 | Systèmes de gestion de la qualité | Les produits comportant des éléments numériques qui gèrent des éléments de réseau connectés, tels que les serveurs, les routeurs, les commutateurs, les postes de travail, les imprimantes ou les appareils mobiles, en les surveillant et en contrôlant leur fonctionnement et leur configuration de réseau. Cette catégorie comprend, sans s’y limiter, les systèmes de gestion de bout en bout et les systèmes de gestion de configuration dédiés, tels que les contrôleurs pour la mise en réseau définie par logiciel. |
| III.I.7 | Systèmes de gestion des informations et des événements de sécurité (SIEM) | Les produits comportant des éléments numériques qui collectent des données provenant de sources multiples, analysent et mettent en corrélation ces données et les présentent comme des informations exploitables à des fins liées à la sécurité, telles que la détection des menaces et des incidents, l’analyse médico-légale ou la conformité. |
| III.I.8 | Gestionnaires de démarrage | Les logiciels comportant des éléments numériques qui gèrent le processus de démarrage initial du système après la mise en puissance/le redémarrage en initialisant le matériel, en chargeant ou en transférant la commande dans l’environnement du système d’exploitation ou les ressources du système, et en sélectionnant des options de démarrage. Cette catégorie comprend, sans s’y limiter, le micrologiciel UEFI, les chargeurs d’amorçage en une ou plusieurs étapes. |
| III.I.9 | Infrastructure à clé publique et logiciels d’émission de certificats numériques | Les produits comportant des éléments numériques utilisés dans le cadre d’une infrastructure à clé publique (ICP) qui gèrent la validation, la création, la délivrance, la distribution, la publication du statut, le renouvellement ou la révocation de certificats numériques, ou la production, le stockage, le séquestre, l’échange, la destruction ou la rotation de clés cryptographiques associées à ces certificats numériques. Cette catégorie comprend, sans s’y limiter, les systèmes de gestion des clés, les systèmes de gestion des certificats numériques, les services OSCP et les solutions d’ICP tout-en-un. |
| III.I.10 | Interfaces réseau physiques et virtuelles | Les interfaces de réseau physiques sont des produits comportant des éléments numériques qui connectent directement un appareil à un réseau au moyen d’une interface de programmation d’application (API) fournie par les pilotes de l’interface, qui fonctionnent généralement à la couche de liaison de données, et qui présentent des adaptateurs matériels aux supports de transmission avec le micrologiciel correspondant, qui fonctionnent généralement à la couche de liaison physique et de liaison de données. Les interfaces de réseau virtuelles sont des produits comportant des éléments numériques qui connectent directement ou indirectement un appareil à un réseau au moyen d’une API émulant celle des pilotes d’interfaces de réseau physiques, qui fonctionnent généralement à la couche de liaison de données. Cette catégorie comprend, sans s’y limiter, les cartes d’interface réseau filaire et sans fil, les contrôleurs et adaptateurs, tels que Wi-Fi, Ethernet, IrDA, USB, Bluetooth, NearLink, Zigbee ou Fieldbus, ainsi que les produits autonomes purement virtuels, tels que les cartes d’interface réseau virtuel, les interfaces réseau de conteneurs et les interfaces VPN. |
| III.I.11 | Systèmes d'exploitation | Les produits logiciels comportant des éléments numériques qui fournissent une interface abstraite avec le matériel sous-jacent et contrôlent l’exécution des logiciels, et qui peuvent fournir des services tels que la gestion et la configuration des ressources informatiques, la programmation, le contrôle entrée-sortie, la gestion des données et la fourniture d’une interface par l’intermédiaire de laquelle les applications interagissent avec les ressources du système et les périphériques. Cette catégorie comprend, sans s’y limiter, les systèmes d’exploitation en temps réel, les systèmes d’exploitation à usage général et les systèmes d’exploitation à usage spécial. |
| III.I.12 | Routeurs, modems destinés à la connexion à l’internet et commutateurs | Les routeurs sont des produits comportant des éléments numériques qui établissent et contrôlent le flux de données entre les différents réseaux en sélectionnant des chemins ou des itinéraires à l’aide de mécanismes et d’algorithmes de protocole de routage, qui fonctionnent généralement à la couche réseau. Cette catégorie comprend, sans s’y limiter, les routeurs filaires et sans fil, les routeurs virtuels et les routeurs avec ou sans modems. Les modems destinés à la connexion à l’internet sont des produits matériels comportant des éléments numériques qui utilisent des techniques de modulation numérique et de démodulation pour convertir les signaux analogiques depuis et vers les signaux numériques pour la communication IP. Cette catégorie comprend, sans s’y limiter, les modems à fibre optique, les modems de ligne d’abonné numérique (DSL), les modems par câble (DOCSIS), les modems satellites et les modems cellulaires. Les commutateurs sont des produits comportant des éléments numériques qui assurent la connectivité entre les dispositifs en réseau au moyen de mécanismes de transmission de paquets et qui disposent d’un plan de gestion ( management plane ), généralement mis en œuvre à la liaison de données ou à la couche réseau. Cette catégorie comprend, sans s’y limiter, les commutateurs gérés, les commutateurs intelligents, les commutateurs multicouches, les interrupteurs virtuels de sécurité, les commutateurs programmables pour la mise en réseau définie par logiciel et les ponts tels que les points d’accès sans fil. |
| III.I.13 | Microprocesseurs dotés de fonctionnalités liées à la sécurité | Les produits comportant des éléments numériques qui sont des circuits intégrés assurant des fonctions de traitement centrales reposant sur une mémoire externe et des périphériques, y compris des microcodes et d’autres micrologiciels de faible niveau. Ils fournissent en outre des fonctionnalités liées à la sécurité, telles que le cryptage, l’authentification, le stockage sécurisé des clés, la génération aléatoire de numéros, l’environnement d’exécution de confiance ou d’autres mécanismes de protection fondés sur le matériel, qui visent à sécuriser d’autres produits, réseaux ou services au-delà du microprocesseur lui-même, tels que la chaîne d’amorçage sécurisée, la virtualisation ou les interfaces de communication sécurisées. |
| III.I.14 | Microcontrôleurs dotés de fonctionnalités liées à la sécurité | Les produits comportant des éléments numériques qui sont des circuits intégrés assurant des fonctions de traitement centrales intégrant une mémoire qui permet la programmabilité du microcontrôleur et habituellement d’autres périphériques, notamment des microcodes et d’autres micrologiciels de faible niveau. Ils fournissent en outre des fonctionnalités liées à la sécurité, telles que le cryptage, l’authentification, le stockage sécurisé des clés, la génération aléatoire de numéros, l’environnement d’exécution de confiance ou d’autres mécanismes de protection fondés sur le matériel, qui visent à sécuriser d’autres produits, réseaux ou services au-delà du microprocesseur lui-même, tels que la chaîne d’amorçage sécurisée, la virtualisation ou les interfaces de communication sécurisées. |
| III.I.15 | Circuits intégrés spécifiques à l’application (ASIC) et réseaux de portes programmables (FPGA) dotés de fonctionnalités liées à la sécurité | Les circuits intégrés spécifiques à une application (ASIC) dotés de fonctionnalités liées à la sécurité sont des produits comportant des éléments numériques qui sont des circuits intégrés, entièrement ou partiellement personnalisés, conçus pour remplir une fonction spécifique ou mettre en œuvre une application spécifique, y compris le microcode et d’autres micrologiciels de faible niveau. Ils fournissent en outre des fonctionnalités liées à la sécurité, telles que le cryptage, l’authentification, le stockage sécurisé des clés, la génération aléatoire de numéros, l’environnement d’exécution de confiance ou d’autres mécanismes de protection fondés sur le matériel, qui visent à sécuriser d’autres produits, réseaux ou services au-delà du microprocesseur lui-même, tels que la chaîne d’amorçage sécurisée, la virtualisation ou les interfaces de communication sécurisées. Les réseaux de portes programmables in situ (FPGA) dotés de fonctionnalités liées à la sécurité sont des produits comportant des éléments numériques qui sont des circuits intégrés caractérisés par une matrice de blocs logiques configurables conçus pour être reprogrammables après leur fabrication afin de remplir une fonction spécifique ou de mettre en œuvre une application spécifique, y compris le microcode et d’autres micrologiciels de faible niveau. Ils fournissent en outre des fonctionnalités liées à la sécurité, telles que le cryptage, l’authentification, le stockage sécurisé des clés, la génération aléatoire de numéros, l’environnement d’exécution de confiance ou d’autres mécanismes de protection fondés sur le matériel, qui visent à sécuriser d’autres produits, réseaux ou services au-delà du FGPA lui-même, tels que la chaîne d’amorçage sécurisée, la virtualisation ou les interfaces de communication sécurisées. |
| III.I.16 | Assistants virtuels polyvalents pour maison intelligente | Les produits comportant des éléments numériques qui communiquent sur l’internet public, que ce soit directement ou par l’intermédiaire d’autres équipements, qui traitent des demandes, des tâches ou des questions fondées sur le langage naturel, telles que des entrées audio ou écrites, et qui, sur la base de ces demandes, tâches ou questions, donnent accès à d’autres services ou contrôlent les fonctions des appareils connectés dans des environnements résidentiels. Cette catégorie comprend, sans s’y limiter, les haut-parleur intelligents dotés d’un assistant virtuel intégré et les assistants virtuels autonomes qui répondent à cette description. |
| III.I.17 | Produits domestiques intelligents dotés de fonctionnalités de sécurité, notamment serrures, caméras de sécurité, systèmes de surveillance pour bébé et systèmes d’alarme | Les produits comportant des éléments numériques qui protègent la sécurité physique des consommateurs dans un environnement résidentiel et qui peuvent être contrôlés ou gérés à distance à partir d’autres systèmes, ainsi que le matériel et les logiciels qui contrôlent ces produits de manière centralisée. Cette catégorie comprend, sans s’y limiter, les dispositifs intelligents de verrouillage des portes, les systèmes de surveillance des bébés, les systèmes d’alarme et les caméras de sécurité à domicile. |
| III.I.18 | Jouets connectés couverts par la directive 2009/48/CE du Parlement européen et du Conseil ( 1 ) qui présentent des caractéristiques sociales interactives (par exemple, parler ou filmer) ou qui possèdent des fonctions de localisation. | Les jouets connectés à l’internet qui présentent des caractéristiques sociales interactives sont des produits comportant des éléments numériques qui sont couverts par la directive 2009/48/CE, qui communiquent sur l’internet public, directement ou par l’intermédiaire de tout autre équipement, et qui disposent de technologies intégrées permettant la communication entrante et sortante, telles que le clavier, le microphone, le haut-parleur ou la caméra. Les jouets connectés à l’internet qui comportent des fonctionnalités de localisation sont des produits comportant des éléments numériques qui sont couverts par la directive 2009/48/CE, qui communiquent sur l’internet public, que ce soit directement ou par l’intermédiaire de tout autre équipement, et qui disposent de technologies permettant de suivre ou de déduire la localisation géographique du jouet ou de son utilisateur. Lorsque le jouet détecte simplement la proximité de l’utilisateur ou d’autres jouets au moyen de technologies de détection, le jouet ne doit pas être considéré comme ayant des caractéristiques de localisation. |
| III.I.19 | Produits portables personnels destinés à être portés ou mis sur un corps humain à des fins de surveillance de la santé (suivi par exemple) et auxquels le règlement (UE) 2017/745 ( 2 ) ou (UE) 2017/746 ( 3 ) du Parlement européen et du Conseil ne s’applique pas, ou produits portables personnels destinés à être utilisés par et pour les enfants | Les produits portables personnels destinés à être portés ou placés sur le corps humain à des fins de surveillance de la santé sont des produits comportant des éléments numériques qui sont portés sur le corps directement ou par l’intermédiaire de vêtements ou d’accessoires et qui peuvent, de manière régulière ou continue, capter et traiter des informations, y compris des paramètres corporels, ayant trait à la santé de l’utilisateur, à l’exclusion des produits qui relèvent du champ d’application du règlement (UE) 2017/745 ou du règlement (UE) 2017/746. Cette catégorie comprend, sans s’y limiter, les dispositifs de suivi de la condition physique, les montres intelligentes, les bijoux intelligents, les vêtements intelligents et les vêtements de sport qui répondent à cette description. Les produits portables personnels destinés à être utilisés par et pour les enfants sont des produits comportant des éléments numériques qui peuvent être portés ou placés sur le corps, directement ou par l’intermédiaire de vêtements ou d’accessoires, de personnes de moins de 14 ans. Cette catégorie comprend, sans s’y limiter, les dispositifs portables de sécurité pour enfants. |
| III.II.1 | Hyperviseurs et systèmes d’exécution de conteneurs prenant en charge l’exécution virtualisée de systèmes d’exploitation et d’environnements similaires | Les hyperviseurs sont des produits logiciels comportant des éléments numériques qui extraient et/ou attribuent des ressources informatiques et permettent l’exécution, la gestion et l’orchestration de machines virtuelles qui sont logiquement séparées les unes des autres et/ou du matériel physique. Les hyperviseurs peuvent fonctionner directement sur du matériel ( bare metal ), au-dessus d’un système d’exploitation ou à l’intérieur d’une autre machine virtuelle (virtualisation imbriquée). Dans le contexte de cette catégorie de produits, une machine virtuelle est une séparation logique définie par logiciel d’un environnement informatique, qui comprend un ensemble virtualisé de ressources matérielles (par exemple, CPU, mémoire, stockage, interfaces réseau) et qui héberge généralement son propre système d’exploitation. Cette catégorie comprend, sans s’y limiter, les hyperviseurs de type 1 ( bare metal ), les hyperviseurs de type 2 (hébergés sur un système d’exploitation) et les hyperviseurs hybrides. Les systèmes d’exécution de conteneurs sont des produits logiciels comportant des éléments numériques qui gèrent l’exécution et le cycle de vie de conteneurs fonctionnant sur un seul système d’exploitation hôte en tant que processus isolés, allouant des ressources et permettant la gestion et l’orchestration de conteneurs individuels. Dans le contexte de cette catégorie de produits, un conteneur est un environnement d’exécution fondé sur des logiciels qui intègre un ou plusieurs composants logiciels et leurs dépendances dans un seul et même emballage, ce qui lui permet de fonctionner de manière indépendante et cohérente. |
| III.II.2 | Pare-feu, systèmes de détection et de prévention des intrusions | Les pare-feu sont des produits comportant des éléments numériques qui protègent un réseau ou un système connecté contre tout accès non autorisé en surveillant et en limitant le trafic de communication de données à destination et en provenance de ce réseau. Cette catégorie comprend, sans s’y limiter, les pare-feu de réseau et les pare-feu d’application tels que les pare-feu pour applications web ou les filtres et les passerelles anti-spam. Les systèmes de détection des intrusions sont des produits comportant des éléments numériques qui surveillent le trafic une fois qu’il est entré dans l’environnement de réseau et détectent ou constatent qu’une intrusion a été tentée, se produit ou s’est produite sur un réseau ou un système connecté. Cette catégorie comprend, sans s’y limiter, les systèmes de détection des intrusions basés sur le réseau et les systèmes de détection des intrusions basés sur l’hôte. Les systèmes de prévention des intrusions sont des produits comportant des éléments numériques composés d’un système de détection des intrusions qui répond activement à une intrusion dans un réseau ou un système connecté. Cette catégorie comprend, sans s’y limiter, les systèmes de prévention des intrusions basés sur le réseau et les systèmes de prévention des intrusions basés sur l’hôte. |
| III.II.3 | Microprocesseurs résistants aux manipulations | Les produits comportant des éléments numériques qui sont des microprocesseurs dotés de fonctionnalités liées à la sécurité visés dans le tableau «Classe I», point 13, de la présente annexe, notamment les preuves de manipulation ou la résistance/réponse aux manipulations, et qui sont en outre conçus pour assurer la protection AVA_VAN niveau 2 ou 3, comme indiqué dans les critères communs et la méthodologie d’évaluation commune. |
| III.II.4 | Microcontrôleurs résistants aux manipulations | Les produits comportant des éléments numériques qui sont des microprocesseurs dotés de fonctionnalités liées à la sécurité visés dans le tableau «Classe I», point 14, de la présente annexe, notamment les preuves de manipulation ou la résistance/réponse aux manipulations, et qui sont en outre conçus pour assurer la protection AVA_VAN niveau 2 ou 3, comme indiqué dans les critères communs et la méthodologie d’évaluation commune. |
| IV.1 | Dispositifs matériels avec boîtier de sécurité | Les produits matériels comportant des éléments numériques qui stockent, traitent ou gèrent des données sensibles en toute sécurité ou effectuent des opérations cryptographiques, et qui consistent en plusieurs composants discrets, comprenant une enveloppe physique matérielle fournissant en cas de manipulation des preuves, une résistance ou une réaction, contre-mesures face aux attaques physiques. Cette catégorie comprend, sans s’y limiter, les terminaux de paiement physiques, les modules de sécurité matériels qui génèrent et gèrent des éléments cryptographiques et les tachygraphes qui répondent à la description ci-dessus. |
| IV.2 | «Passerelles pour compteur intelligent» au sein des systèmes intelligents de mesure tels que définis à l’article 2, point 23), de la directive (UE) 2019/944 du Parlement européen et du Conseil ( 1 ) et autres dispositifs à des fins de sécurité avancées, y compris pour un traitement cryptographique sécurisé | Les passerelles des compteurs intelligents sont des produits comportant des éléments numériques qui contrôlent la communication entre les composants des systèmes intelligents de mesure ou connectés à ceux-ci, tels que définis à l’article 2, paragraphe 23, de la directive (UE) 2019/944, et les tiers autorisés, tels que les fournisseurs de services d’utilité publique. Les passerelles des compteurs intelligents collectent, traitent et stockent des données de compteurs ou des données à caractère personnel, protègent les données et les flux d’informations en répondant à des besoins cryptographiques spécifiques, tels que le cryptage et le décryptage de données, intègrent des fonctionnalités de pare-feu et fournissent les moyens de contrôler d’autres dispositifs. Cette catégorie comprend, sans s’y limiter, les passerelles de compteurs intelligents liées aux systèmes intelligents de mesure de l’électricité tels que définis à l’article 2, paragraphe 23, de la directive (UE) 2019/944. Elle peut également inclure des passerelles de compteur intelligent utilisées dans d’autres systèmes intelligents de mesure de la consommation d’autres sources d’énergie telles que le gaz ou la chaleur, à condition que la passerelle réponde à cette description. |
| IV.3 | Cartes à puce ou dispositifs similaires, y compris éléments sécurisés | Les éléments sécurisés sont des microcontrôleurs ou des microprocesseurs dotés de fonctionnalités liées à la sécurité, notamment les preuves de manipulation ou la résistance/réponse aux manipulations. Ils stockent, traitent ou gèrent généralement des opérations cryptographiques ou des données sensibles, telles que des identifiants d’identité ou des identifiants de paiement. Les éléments sécurisés sont conçus pour assurer une protection d’au moins AVA_VAN.4, comme indiqué dans les critères communs ou la méthodologie d’évaluation commune. Ils peuvent être de silicium discret ou être intégrés dans des systèmes sur puce (SoC). Les éléments sécurisés peuvent intégrer un environnement d’application ou un système d’exploitation et peuvent comprendre une ou plusieurs applications. Cette catégorie comprend, sans s’y limiter, les modules de plateforme de confiance et les cartes à circuit intégré universelles embarquées (UICC). Les cartes à puce ou dispositifs similaires sont des éléments sécurisés intégrés dans un matériau porteur, tels que le plastique ou le bois, sous la forme d’une carte, ou des éléments sécurisés intégrés dans des matériaux porteurs prenant d’autres formes. Cette catégorie comprend, sans s’y limiter, les documents d’identité et de voyage, les cartes de signature qualifiées, les cartes à circuit intégré universelle embarquées (UICC) remplaçables, les cartes de paiement physiques, les cartes d’accès physiques, les cartes tachygraphiques numériques ou les bandes de poignet comportant des éléments intégrés sécurisés pour les paiements. |
Ce qu'il faut consigner
Pour chaque produit que vous mettez sur le marché : la fonctionnalité de base en une phrase, dans les termes de la description à laquelle elle correspond ou la constatation qu'elle ne correspond à aucune ; les fonctions accessoires que vous écartez au titre de la règle 1 ; les composants que vous intégrez et qui sont eux-mêmes listés, écartés au titre de la règle 2 ; lorsque le produit ressemble à une catégorie, s'il la dépasse ou lui est inférieur et pourquoi, au titre de la règle 3 ; et, pour une suite, quels modules sont vendus séparément. Cette page est la classification qu'un organisme notifié demandera, l'entrée de la détermination du champ d'application, qui affiche désormais la description sous chaque catégorie, et la raison pour laquelle votre documentation technique nomme une procédure de conformité et pas une autre.
Sources
- Règlement (UE) 2024/2847, article 7(1) et (4), article 8(1), article 32, article 64(3), annexe III, annexe IV, annexe VII.
- Règlement d'exécution (UE) 2025/2392 de la Commission du 28 novembre 2025, considérants 1 à 5, articles 1 à 3, annexe I et annexe II, relevés auprès de l'Office des publications le 12 septembre 2026.
- Commission européenne, orientations de la Commission sur l'application du règlement (UE) 2024/2847, C(2026) 5252 final du 27 juillet 2026, annexe, section 6, paragraphes 136 à 152 et exemples 57 à 63.
Ceci n'est pas un avis juridique. Les descriptions sont les mots mêmes de la loi et les exemples ceux de la Commission ; la classification de votre produit est la vôtre, et c'est la première chose qu'une autorité de surveillance du marché lira.