Catégorie par défaut

Cible principale :Legal

Publié le19 août 2026

Ce que la catégorie recouvre

Tout produit comportant des éléments numériques qui ne figure ni à l’annexe III ni à l’annexe IV. C’est le cas de la très grande majorité des produits du marché : logiciels métier, applications mobiles, jeux, outils bureautiques, objets connectés sans fonction de sécurité, bibliothèques génériques.

La catégorie n’est donc pas définie par une liste, mais par soustraction. La fiche de classification doit en conséquence démontrer que le produit a été confronté aux listes des annexes III et IV, et écarté de chacune — pas simplement affirmer qu’il est « standard ».

La voie de conformité : le module A

Le module A — contrôle interne de la production (annexe VIII, partie I) est ouvert sans condition. Le fabricant :

réalise lui-même l’évaluation des risques de cybersécurité et la documente ;
conçoit, développe et produit le produit conformément aux exigences essentielles de l’annexe I ;
constitue le dossier technique de l’annexe VII ;
prend les mesures nécessaires pour que le processus de fabrication garantisse la conformité en série ;
établit la déclaration UE de conformité (annexe V) ;
appose le marquage CE.

Aucun organisme notifié n’intervient, aucun numéro d’organisme n’est apposé à côté du marquage.

Ce que « auto-évaluation » ne veut pas dire

C’est le contresens le plus répandu du sujet, et il coûte cher.

Ce que le module A dispense	Ce que le module A ne dispense pas
De faire vérifier le dossier par un tiers accrédité	De constituer le dossier technique
De payer un organisme notifié	De réaliser et documenter l’analyse de risques
D’attendre un créneau d’évaluation	De produire un SBOM lisible par machine
De figer une version pour l’examen de type	De mettre en place une politique de divulgation coordonnée
—	De déterminer et de publier une période de support
—	De signaler sous 24 heures les vulnérabilités activement exploitées
—	De conserver dossier et déclaration pendant dix ans

Le fond des obligations est strictement identique à celui d’un produit de classe II. Seule la vérification externe disparaît.

Le risque réel

Il ne réside pas dans la classification, il réside dans le contrôle. Une autorité de surveillance du marché peut, à tout moment et sans motif préalable, exiger le dossier technique d’un produit qu’elle a acheté dans le commerce. Trois situations se présentent alors :

Dossier complet : la démonstration se fait en quelques jours, l’incident s’arrête là.
Dossier incomplet : injonction de mise en conformité dans un délai imparti, avec risque de restriction de mise à disposition pendant la remise à niveau.
Dossier inexistant alors que le marquage CE est apposé : c’est une non-conformité formelle doublée d’une déclaration inexacte. Le plafond de sanction pour la fourniture d’informations incorrectes ou trompeuses aux autorités s’y ajoute.

À retenir. L’auto-évaluation transfère la charge de la preuve, elle ne la supprime pas. Un dossier auto-déclaré mais vide est une situation plus grave qu’une absence de marquage, parce qu’elle est une affirmation fausse et non une omission.

Liste de contrôle du module A