Auto-évaluation de conformité CRA : modèle Excel gratuit

Auto-évaluation de conformité CRA (annexe I, Excel)

Cette auto-évaluation gratuite de conformité CRA est un classeur Excel téléchargeable (accompagné d'un guide de terrain PDF et d'un fichier Markdown lisible par machine) qui guide le fabricant à travers les quatre questions que le règlement (UE) 2024/2847 rend décisives : le produit est-il dans le champ d'application, quelle est sa classe (par défaut, important classe I ou II, ou critique), quelle voie d'évaluation de la conformité de l'article 32 est licite pour cette classe — et satisfait-il chaque exigence de l'annexe I partie I (les 14 propriétés du produit) et partie II (les 8 processus de gestion des vulnérabilités) ? Listes déroulantes de statut, colonnes de preuves et feuille de préparation documentation-et-notification incluses. Sans inscription.

Le calendrier compte plus que la plupart des fabricants ne le réalisent. Les obligations de notification de l'article 14 s'appliquent à partir du 11 septembre 2026 — y compris pour les produits déjà mis sur le marché — et le régime complet des exigences essentielles arrive le 11 décembre 2027. Les organismes notifiés ne peuvent être désignés qu'à partir du 11 juin 2026, si bien que la capacité d'évaluation sera rare exactement au moment où les fabricants de classe I et II en auront besoin. L'auto-évaluation existe pour répondre, tôt et sur le papier, à la question : de quelle voie avons-nous besoin, et quelle est l'ampleur de l'écart ?

À retenir

1. La classification vient en premier, et elle suit la fonctionnalité principale. Le règlement d'exécution (UE) 2025/2392, adopté le 28 novembre 2025, donne des descriptions techniques contraignantes pour les 26 catégories importantes et critiques — et classe les produits selon ce qu'ils sont principalement, pas selon ce qu'ils contiennent. Un routeur avec pare-feu intégré est un routeur ; un pare-feu autonome relève de la classe II. La première feuille du classeur parcourt les 19 + 4 + 3 catégories avec ce test.
2. L'auto-évaluation est la voie par défaut — mais une voie conditionnelle. Le contrôle interne du module A est ouvert à tout produit par défaut. Pour les produits importants de classe I, il n'est disponible que si des normes harmonisées, des spécifications communes ou des certificats EUCC sont intégralement appliqués — et avec des normes harmonisées CRA encore en développement à la mi-2026 (demande de normalisation M/606 : 41 normes, acceptée par le CEN, le CENELEC et l'ETSI le 3 avril 2025), cette condition est difficile à remplir aujourd'hui. Fin juillet 2026, aucune norme harmonisée CRA n'est encore citée au JOUE et aucun organisme notifié n'est encore inscrit dans NANDO — planifiez la classe I comme une voie avec organisme notifié tant que les normes ne sont pas citées au JOUE.
3. L'annexe I est vérifiable — alors vérifiez-la. Le point (2) de la partie I s'applique « le cas échéant » sur la base de l'évaluation des risques de cybersécurité (article 13(2)), ce qui signifie que chaque « non applicable » exige une justification documentée, pas un haussement d'épaules. Les feuilles de checklist imposent exactement cela.
4. La préparation à la notification est un sujet 2026, pas 2027. À partir du 11 septembre 2026, les vulnérabilités activement exploitées déclenchent une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous 14 jours via la plateforme unique de notification de l'ENISA — les incidents graves suivent le rythme 24 h / 72 h / 1 mois. La feuille de préparation suit le processus, l'accès à la plateforme et l'obligation d'information des utilisateurs de l'article 14(8).
5. Les amendes sont du niveau de DORA. Les violations de l'annexe I ou des articles 13/14 atteignent 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial (article 64) — et les produits non conformes peuvent en plus être retirés du marché.

Ce que contient le classeur

Feuille	Ce qu'elle contient	Pourquoi elle compte
1. Champ et classification	Les données du produit, le test du champ d'application de l'article 2 (y compris les exclusions sectorielles et la frontière SaaS) et les checklists complètes des catégories des annexes III et IV avec la règle de la fonctionnalité principale	Tout ce qui suit — voie, organisme notifié, coût — dépend de cette réponse
2. Voie de conformité	La logique de décision de l'article 32 : modules licites par classe, la condition des normes harmonisées pour la classe I, l'exception FOSS, l'indicateur organisme notifié, le calendrier de mise sur le marché face au 11 déc. 2027	Choisir une voie illicite signifie refaire l'évaluation sous pression
3. Annexe I partie I	Les 14 exigences relatives aux propriétés du produit — le point (1) plus (2)(a)–(m) — chacune avec statut, référence de preuve, responsable et notes	La substance de la conformité CRA
4. Annexe I partie II	Les 8 exigences de gestion des vulnérabilités : SBOM, remédiation, tests, divulgation, politique CVD, contact, mises à jour sécurisées, diffusion gratuite	Des obligations de processus qui courent pendant toute la période de support
5. Docs et notification	Les éléments de documentation technique de l'annexe VII, la période de support de l'article 13(8) (minimum 5 ans sauf durée d'utilisation prévue plus courte), la préparation à l'article 14, le marquage CE, l'exposition aux sanctions	Le dossier qu'un organisme notifié ou une autorité de surveillance du marché demande

Les valeurs de statut sont Conforme / Partiel / Écart / Non applicable (justifié) partout, avec des validations par liste déroulante, et un exemple travaillé utilise un agent fictif de supervision d'endpoints pour montrer une décision de classification complétée. La variante Markdown lisible par machine porte l'intégralité des définitions de champs, les énumérations de classification et la logique de dérivation des voies sous forme de pseudocode, de sorte qu'un agent IA peut classer un produit, dériver les voies licites et produire un rapport d'écarts à partir du seul fichier.

Comment l'utiliser

1. Faites le test du champ d'application honnêtement. Un logiciel ou un matériel avec une connexion de données directe ou indirecte, mis sur le marché de l'UE dans le cadre d'une activité commerciale, est concerné — sauf si un régime sectoriel (dispositifs médicaux, aviation, véhicules, équipements marins) le couvre déjà. Le pur SaaS est hors champ, sauf s'il constitue la solution de traitement de données à distance d'un produit.
2. Classez selon la fonctionnalité principale. Parcourez les 19 catégories de classe I, les 4 de classe II et les 3 critiques, et confrontez toute correspondance aux descriptions techniques du RE (UE) 2025/2392. Consignez le raisonnement — les autorités de surveillance du marché peuvent le demander, et une classe erronée invalide la voie choisie.
3. Dérivez la voie, puis vérifiez la condition des normes. Si vous êtes en classe I et comptez sur l'auto-évaluation, vérifiez que des normes harmonisées couvrant les exigences pertinentes sont effectivement citées au JOUE — pas simplement rédigées — avant de vous appuyer sur le module A.
4. Travaillez les deux checklists de l'annexe I. Ancrez chaque statut dans des preuves (documents d'architecture, rapports de tests, documents de politique) et justifiez chaque N/A à partir de l'évaluation des risques. La partie II est du processus, pas du produit : un SBOM généré une seule fois est un Partiel, pas un Conforme.
5. Fermez les écarts de documentation et de notification. La documentation de l'annexe VII doit exister avant la mise sur le marché ; la période de support doit être déterminée et annoncée (au moins 5 ans, sauf durée d'utilisation réellement plus courte) ; le processus de l'article 14 doit être opérationnel au 11 septembre 2026.

Base juridique

• Règlement (UE) 2024/2847 (Cyber Resilience Act), article 32 et annexe VIII — les procédures d'évaluation de la conformité : contrôle interne (module A), examen UE de type suivi de la conformité au type (modules B et C), assurance qualité complète (module H) et schémas européens de certification de cybersécurité ; avec les restrictions par classe décrites ci-dessus et l'exception de documentation publique pour les logiciels libres et open source.
• Annexes III et IV, telles que précisées par le règlement d'exécution (UE) 2025/2392 de la Commission — les catégories de produits importants (classes I et II) et critiques avec descriptions techniques contraignantes, et le principe de classification par la fonctionnalité principale.
• Annexe I — les exigences relatives aux propriétés des produits de la partie I (point (1) et point (2)(a)–(m)) et les exigences de gestion des vulnérabilités de la partie II (points (1)–(8)) ; applicables via l'article 6 et l'article 13.
• Article 13 — le socle d'obligations du fabricant : l'évaluation des risques de cybersécurité (13(2)–(3)) qui détermine l'applicabilité de l'annexe I, la période de support d'au moins 5 ans (13(8)) et les obligations documentaires.
• Article 14 — la notification des vulnérabilités activement exploitées et des incidents graves à partir du 11 septembre 2026 via la plateforme unique de notification (article 16), avec les échelles 24 h / 72 h / 14 jours et 24 h / 72 h / 1 mois.
• Article 64 — les sanctions : jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial pour les violations de l'annexe I et des articles 13 et 14.

Pour la vue d'ensemble réglementaire, consultez nos guides sur le Cyber Resilience Act et les articles 13 et 14 du CRA.

Surveillance du marché en France

L'ANFR est l'autorité française de surveillance du marché pour le CRA, en coopération étroite avec l'ANSSI ; le CERT-FR, rattaché à l'ANSSI, recevra les notifications de vulnérabilités et d'incidents de l'article 14 à partir du 11 septembre 2026. La législation française d'application est encore à l'état de projet en juillet 2026 — les obligations du règlement s'appliquent néanmoins directement, sans attendre le texte national. Le message public de l'ANSSI aux fabricants est sans ambiguïté : n'attendez pas les normes harmonisées. Les exigences essentielles de l'annexe I s'appliquent dans tous les cas ; les normes restent volontaires et n'apportent qu'une présomption de conformité — ce qui rejoint la logique de ce classeur : évaluer d'abord contre l'annexe I elle-même, puis raccrocher les normes quand elles seront citées.

Royaume-Uni et Norvège/EEE

Royaume-Uni : il n'existe pas encore d'équivalent britannique du CRA. Le régime PSTI, en vigueur depuis le 29 avril 2024, couvre les produits connectables grand public avec un socle bien plus étroit (règles sur les mots de passe, politique de divulgation des vulnérabilités, transparence sur la période de mises à jour) — un produit conforme au PSTI est très loin de la conformité CRA, si bien que les fabricants britanniques vendant dans l'UE doivent s'évaluer directement contre le CRA. Norvège/EEE : le CRA est marqué comme pertinent pour l'EEE et devrait être incorporé dans l'accord sur l'EEE ; les fabricants norvégiens, islandais et liechtensteinois mettant des produits sur le marché unique de l'UE sont en pratique concernés quel que soit le calendrier d'incorporation.

De l'auto-évaluation à la preuve visible par les acheteurs

Le classeur vous dit où vous en êtes. De plus en plus, vos acheteurs posent les mêmes questions — les équipes achats passent désormais au crible la préparation CRA des fournisseurs de matériel et de logiciels bien avant 2027. Orbiq publie les preuves que cette évaluation produit — avis de sécurité, politiques SBOM et de mises à jour, déclarations de période de support — dans un Trust Center gouverné, pour que le même travail réponde une seule fois au régulateur et au client. Pour l'obligation de divulgation de l'annexe I partie II en particulier, associez ce classeur à notre modèle d'avis de vulnérabilité CRA.

Sources et références

1. Règlement (UE) 2024/2847 (Cyber Resilience Act) — texte intégral — articles 13, 14, 32, 64 ; annexes I, III, IV, VII, VIII.
2. Règlement d'exécution (UE) 2025/2392 de la Commission — descriptions techniques des catégories de produits importants et critiques ; adopté le 28 novembre 2025.
3. Commission européenne — synthèse du texte législatif du CRA — dates d'application, classification, procédures de conformité.
4. Commission européenne — normalisation CRA — demande de normalisation M/606 avec 41 normes.
5. CEN/CENELEC — acceptation officielle de la demande de normalisation CRA — acceptée le 3 avril 2025.
6. ENISA — plateforme unique de notification (SRP) — opérationnelle au 11 septembre 2026 pour les notifications de l'article 14.
7. Commission européenne — obligations de notification du CRA — les délais de l'article 14 et la plateforme.
8. ANFR — Cyber Resilience Act — l'autorité française de surveillance du marché pour le CRA.
9. entreprises.gouv.fr — CRA : ce qui change pour les entreprises — décryptage officiel pour les fabricants.
10. UK Product Security and Telecommunications Infrastructure Act 2022 — le régime britannique de sécurité des produits.

Lectures connexes

• Cyber Resilience Act : exigences, champ d'application et échéances
• Articles 13 et 14 du CRA : obligations des fabricants et notification
• Modèle gratuit : avis de vulnérabilité CRA (DOCX + exemple rempli) — le compagnon de divulgation de l'annexe I partie II