Qualifier un produit au regard du Cyber Resilience Act

Réponse courte

La qualification commence par les faits du produit et la distribution, puis examine les règles applicables avec une décision humaine.

Définition et périmètre

Décrivez le logiciel ou matériel, les composants distribués séparément, les fonctions à distance, les utilisateurs et les marchés. Identifiez le rôle de l’organisation et les dispositions ou exclusions possibles. Un nom commercial ne remplace pas cette analyse.

Faits à documenter

Après le champ, examinez la catégorie et le parcours d’évaluation applicable. Il faut distinguer « produit concerné », classification et procédure de conformité. Ces décisions ne sont pas déterminées par le score de complétude.

Conséquences pratiques

En édition complète, l’évaluation guidée aide à organiser les réponses, l’affectation et la revue. Les campagnes recueillent des faits externes mais exigent une validation interne avant création ou rattachement. En Light, ce module n’est pas disponible ; l’absence de questionnaire ne constitue pas une décision hors champ.

Source et limites

Articles 2 et 3 ; catégories des annexes III et IV et procédures de l’article 32 du CRA. Règlement (UE) 2024/2847 — texte officiel.

Synthèse pédagogique relue le 8 octobre 2026, en attente de validation juridique. Les faits d’un produit particulier peuvent nécessiter une analyse complémentaire ; CRA Manager ne certifie pas la décision.

Classification réglementaire

Après examen du champ d’application, confrontez la fonction principale du produit aux catégories des annexes III et IV du CRA et aux descriptions techniques du règlement d’exécution (UE) 2025/2392. La criticité métier, un composant intégré ou une proposition de l’application ne déterminent pas à eux seuls cette classification. Conservez les cas ambigus en attente de validation compétente.

Articles liés

• produits concernes par cra
• produit avec elements numeriques

Article issu de la base de connaissance CRA Manager.