Produits critiques
La liste (annexe IV)
- Dispositifs matériels dotés de boîtiers de sécurité (security boxes) — modules matériels de sécurité, coffres cryptographiques.
- Passerelles de compteurs intelligents au sein des systèmes de comptage intelligents au sens de la directive (UE) 2019/944, et autres dispositifs destinés à des fins de sécurité avancées, y compris pour le cryptotraitement sécurisé.
- Cartes à puce ou dispositifs similaires, y compris les éléments sécurisés (secure elements).
La liste est courte et volontairement restrictive : elle vise des composants dont la compromission dégrade la sécurité de tout ce qui repose sur eux.
Le régime renforcé
Les produits critiques suivent d’abord le régime des produits importants de classe II — organisme notifié obligatoire, modules B+C ou H.
S’y ajoute une habilitation spécifique : la Commission est habilitée à imposer, par acte délégué, l’obtention d’un certificat européen de cybersécurité délivré au titre d’un schéma adopté sous le règlement (UE) 2019/881 — typiquement le schéma EUCC — à un niveau d’assurance au moins « substantiel ».
Le déclenchement de cette obligation se fait catégorie par catégorie, en fonction du niveau de risque et de la disponibilité d’un schéma adapté. Suivre les actes délégués est donc indispensable pour tout fabricant concerné : c’est un point permanent de la veille.
Ce que cela change concrètement
| Classe II | Critique avec exigence EUCC | |
|---|---|---|
| Évaluateur | Organisme notifié | Laboratoire d’évaluation (ITSEF) accrédité au titre du schéma |
| Livrable d’entrée | Dossier technique | Cible de sécurité, description des mécanismes, preuves de conception |
| Méthode | Examen de type ou audit qualité | Évaluation selon la méthodologie du schéma, proche des Critères communs |
| Durée typique | Quelques mois | Souvent plus d’un an pour un premier passage |
| Coût | Significatif | Sensiblement supérieur |
| Maintien | Extension de certificat | Maintenance du certificat, réévaluation à chaque évolution |
Conséquences pour la feuille de route
Pour un produit critique, la conformité au CRA n’est pas un chantier documentaire : c’est un programme d’ingénierie de sécurité qui doit être lancé très en amont de la date d’application, avec :
- la désignation d’un responsable de la certification, distinct du chef de produit ;
- la rédaction anticipée de la cible de sécurité et l’identification des hypothèses d’environnement ;
- le choix et la contractualisation du laboratoire d’évaluation ;
- l’alignement de la feuille de route produit sur les fenêtres d’évaluation, y compris le gel des évolutions pendant les phases critiques ;
- la budgétisation du maintien du certificat, et non seulement de son obtention.
À poser au comité. Pour un produit critique, la question n’est pas « comment vous mettre en conformité ? » mais « ce produit reste-t-il dans votre portefeuille au regard du coût de certification récurrent ? ». C’est une décision de portefeuille, pas une décision de conformité, et elle doit être prise explicitement.