Important — classe I
La liste (annexe III, partie I)
Les catégories, telles qu’énumérées par le règlement. Le classement se fait par fonctionnalité effective.
- Systèmes de gestion des identités et logiciels ou matériels de gestion des accès à privilèges.
- Navigateurs autonomes et embarqués.
- Gestionnaires de mots de passe.
- Logiciels de recherche, suppression ou mise en quarantaine de logiciels malveillants — antivirus, protection des postes de travail.
- Produits de réseau privé virtuel (VPN).
- Systèmes de gestion de réseau.
- Systèmes de gestion des informations et des événements de sécurité (SIEM).
- Gestionnaires d’amorçage (boot managers).
- Logiciels d’émission de certificats numériques et infrastructures à clés publiques.
- Interfaces réseau physiques et virtuelles.
- Routeurs, modems destinés à la connexion internet, et commutateurs.
- Microprocesseurs, microcontrôleurs, circuits intégrés à application spécifique (ASIC) et réseaux de portes programmables (FPGA) dotés de fonctionnalités liées à la sécurité.
- Assistants virtuels domestiques à usage général.
- Produits domotiques dotés de fonctions de sécurité : serrures connectées, caméras de sécurité, systèmes d’alarme, dispositifs de surveillance de bébé.
- Jouets connectés dotés de fonctions d’interaction sociale ou de suivi de localisation.
- Produits portables personnels destinés au suivi de la santé ou portés sur le corps.
Les trois voies d’évaluation
| Voie | Contenu | Tiers |
|---|---|---|
| Module A — contrôle interne | Auto-évaluation complète | Aucun — mais sous condition, voir ci-dessous |
| Modules B + C | Examen UE de type par un organisme notifié, puis conformité au type sur la base du contrôle interne | Organisme notifié |
| Module H | Assurance qualité complète du système de conception, développement et production, auditée | Organisme notifié |
Une quatrième possibilité existe : la détention d’un certificat européen de cybersécurité délivré au titre d’un schéma adopté sous le Cybersecurity Act, à un niveau d’assurance au moins « substantiel », qui couvre les exigences essentielles pertinentes.
La condition qui change tout
Le module A n’est ouvert aux produits de classe I que si le fabricant applique intégralement des normes harmonisées, des spécifications communes ou un schéma de certification européen couvrant l’ensemble des exigences essentielles pertinentes.
« Intégralement » et « l’ensemble » sont les deux mots à retenir. Une application partielle, avec des écarts justifiés, ne suffit pas : elle referme la voie de l’auto-évaluation.
Conséquence de planning. Tant que les normes harmonisées issues de la demande de normalisation M/606 — travaux du comité technique mixte CEN/CENELEC JTC 13, groupe de travail 9 — ne sont pas publiées et citées au Journal officiel de l’Union européenne, la voie du module A est fermée en pratique pour la classe I. Une norme adoptée mais non citée au JOUE ne confère aucune présomption de conformité.
Ce qu’il faut décider maintenant
Deux scénarios à instruire en parallèle, et un choix par défaut :
- Scénario normes — les normes harmonisées sont publiées et citées à temps ; vous démontrez leur application intégrale et restez en module A. Coût faible, délai maîtrisé, probabilité incertaine.
- Scénario organisme notifié — vous engagez un organisme sur les modules B+C ou H. Coût significatif, délai de plusieurs mois, maîtrisé par vous seuls à condition de réserver tôt.
La position prudente consiste à traiter le scénario 2 comme le scénario de référence et le scénario 1 comme une économie éventuelle. L’inverse expose à découvrir en 2027 qu’aucun créneau d’évaluation n’est disponible.
Points de vigilance sur la qualification
- Un navigateur embarqué dans un autre produit fait basculer ce produit en classe I. Un composant de rendu web intégré dans une application de bureau doit être examiné à ce titre.
- Un microcontrôleur doté de fonctionnalités liées à la sécurité relève de la classe I ; s’il est en outre résistant à l’altération, il relève de la classe II. La frontière est technique et doit être tranchée par l’ingénierie, pas par le juridique.
- Un produit domotique n’est en classe I que s’il est doté de fonctions de sécurité. Une ampoule connectée n’en relève pas ; une caméra de sécurité, si.
- Les jouets connectés ne relèvent de la classe I qu’en présence d’interaction sociale ou de suivi de localisation — mais restent par ailleurs soumis à la réglementation des jouets.