Produit comportant des éléments numériques (CRA)

Définition

Un produit comportant des éléments numériques, notion centrale du Cyber Resilience Act, désigne tout produit logiciel ou matériel ainsi que ses solutions de traitement de données à distance, dont l'utilisation prévue ou raisonnablement prévisible inclut une connexion directe ou indirecte, logique ou physique, à un dispositif ou à un réseau. Cette définition volontairement large englobe aussi bien les objets connectés grand public, comme les caméras de surveillance domestiques ou les jouets connectés, que les composants logiciels intégrés dans des équipements industriels, les bibliothèques logicielles réutilisables, ou les systèmes d'exploitation, dès lors qu'ils sont mis sur le marché de manière indépendante. Le règlement exclut de son champ d'application les produits déjà couverts par une réglementation sectorielle spécifique prévoyant des exigences de cybersécurité équivalentes, comme les dispositifs médicaux ou certains équipements automobiles, ainsi que les logiciels libres et ouverts développés et mis à disposition en dehors d'une activité commerciale. Pour chaque produit relevant de son champ, le fabricant doit intégrer la cybersécurité dès la conception et tout au long du cycle de vie, réaliser une évaluation des risques, fournir une documentation technique et une déclaration de conformité UE, et assurer une gestion des vulnérabilités pendant une période de support définie. Cette approche transversale marque une extension significative de la logique du marquage CE aux enjeux de cybersécurité des produits numériques.