Le périmètre : les produits comportant des éléments numériques
C’est la première question, et elle conditionne tout le reste : êtes-vous concernés, et pour quels produits ?
La définition
Un produit comportant des éléments numériques (PDE, en anglais product with digital elements) est un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels destinés à être mis sur le marché séparément (art. 3, point 1).
Trois éléments, à examiner séparément.
Le matériel
Ordinateurs, serveurs, objets connectés, équipements réseau, capteurs, cartes, puces, automates industriels, terminaux de paiement, équipements médicaux non couverts par le règlement sectoriel, jouets connectés.
Le logiciel
Systèmes d’exploitation, applications, micrologiciels (firmware), bibliothèques, intergiciels, pilotes — y compris les composants mis sur le marché séparément. Ce dernier point est structurant : une bibliothèque que vous commercialisez seule est elle-même un PDE, avec son propre dossier technique et son propre marquage CE.
Les solutions de traitement de données à distance
Traitement de données à distance conçu et développé par le fabricant, ou sous la responsabilité de celui-ci, dont l’absence empêcherait le produit comportant des éléments numériques d’exécuter l’une de ses fonctions (art. 3, point 2).
C’est la porte d’entrée du cloud dans le CRA. Le critère est la dépendance fonctionnelle : si l’objet connecté cesse d’exécuter une de ses fonctions quand le back-end tombe, ce back-end est dans le périmètre du produit.
Le SaaS : oui ou non ?
C’est la question la plus posée, et la réponse est en deux temps.
| Cas | Régime |
|---|---|
| Application SaaS autonome, vendue comme service, sans produit associé | Hors périmètre CRA. Relève, le cas échéant, de la directive NIS 2 en tant que service de l’entité. |
| Back-end indissociable d’un produit connecté que vous vendez | Dans le périmètre, en tant que solution de traitement de données à distance du produit. |
| Logiciel téléchargeable installé chez le client, même vendu par abonnement | Dans le périmètre : c’est un produit logiciel, le modèle de facturation est indifférent. |
| Portail d’administration facultatif, dont l’absence ne prive le produit d’aucune fonction | À qualifier au cas par cas ; l’absence de dépendance fonctionnelle plaide pour l’exclusion. |
Le modèle économique n’est jamais le critère. Le critère est la nature de ce qui est mis à disposition et sa dépendance fonctionnelle au produit.
Les critères déclencheurs, cumulatifs
Un produit relève du règlement lorsque les trois conditions suivantes sont réunies :
- il est mis à disposition sur le marché de l’Union, quel que soit le lieu d’établissement du fabricant ;
- dans le cadre d’une activité commerciale ;
- il présente une connexion logique ou physique, directe ou indirecte, à un dispositif ou à un réseau.
La connexion « indirecte » est large : un produit qui ne se connecte lui-même à rien, mais qui échange des données avec un autre produit lui-même connecté, satisfait le critère.
Trois notions de vocabulaire à ne pas confondre
- Mise sur le marché — la première mise à disposition d’un produit sur le marché de l’Union. C’est l’instant où s’apprécie la conformité.
- Mise à disposition sur le marché — toute fourniture ultérieure, dans le cadre d’une activité commerciale, à titre onéreux ou gratuit.
- Mise en service — la première utilisation conforme à sa destination.
Le point de bascule est le suivant : la conformité aux exigences essentielles s’apprécie au moment de la mise sur le marché, mais le traitement des vulnérabilités et la fourniture de mises à jour courent pendant toute la période de support.
La modification substantielle
Une modification est substantielle lorsqu’elle change la destination du produit ou qu’elle affecte sa conformité aux exigences essentielles. Elle remet le produit dans le périmètre et déclenche une nouvelle évaluation de la conformité, un dossier technique actualisé et, le cas échéant, une nouvelle intervention de l’organisme notifié.
Cette notion porte tout le régime transitoire :
Les produits mis sur le marché avant le 11 décembre 2027 ne sont soumis au règlement que s’ils font ensuite l’objet d’une modification substantielle — à l’exception des obligations de signalement de l’article 14, qui s’appliquent à tous les produits dans le champ du règlement, y compris ceux déjà sur le marché.
Autrement dit : votre parc historique échappe au marquage CE, mais pas au signalement à 24 heures depuis le 11 septembre 2026. C’est le point le plus souvent manqué.
Une mise à jour de sécurité destinée à corriger une vulnérabilité, sans autre changement, n’est pas une modification substantielle.
Ce qu’il faut produire
Une fiche de qualification par produit, versée au dossier technique et signée, qui tranche explicitement : nature du produit, existence d’une connexion, existence d’une solution de traitement de données à distance, caractère commercial, statut PDE, date et signataire. Un tableau consolidé du portefeuille en découle.
Les produits qualifiés PDE passent ensuite par Les exclusions, puis par Les classes de criticité.