L'évaluation de la conformité
La présomption de conformité
Un produit conforme, en tout ou partie, à des normes harmonisées dont les références ont été publiées au Journal officiel de l’Union européenne est présumé conforme aux exigences essentielles couvertes par ces normes.
Trois voies ouvrent cette présomption :
- les normes harmonisées citées au JOUE ;
- les spécifications communes adoptées par la Commission par acte d’exécution, en l’absence de norme harmonisée satisfaisante ;
- les schémas européens de certification de cybersécurité adoptés sous le règlement (UE) 2019/881, à un niveau d’assurance au moins « substantiel ».
La présomption est un renversement de la charge de la preuve, pas une dispense : elle n’exonère ni du dossier technique, ni de la déclaration, ni du marquage.
L’état de la normalisation
La Commission a adressé au CEN et au CENELEC la demande de normalisation M/606. Les travaux sont conduits par le comité technique mixte JTC 13, groupe de travail 9, et comportent :
- des normes horizontales — principes de cyberrésilience, exigences génériques de sécurité, traitement des vulnérabilités — applicables à tous les produits ;
- des normes verticales, par catégorie de produit de l’annexe III.
C’est le principal facteur d’incertitude du calendrier. Une norme adoptée mais non encore citée au JOUE ne confère aucune présomption. Cette page doit être relue à chaque publication ; voir la veille.
Les modules d’évaluation
| Module | Nom | Qui évalue | Ouvert à |
|---|---|---|---|
| A | Contrôle interne de la production | Le fabricant | Par défaut ; classe I sous condition d’application intégrale des normes |
| B | Examen UE de type | Organisme notifié | Classes I et II, Critique — suivi du module C |
| C | Conformité au type sur la base du contrôle interne | Le fabricant, après le module B | Idem |
| H | Conformité sur la base de l’assurance complète de la qualité | Organisme notifié (audit du système) | Classes I et II, Critique |
Le choix entre B+C et H est développé dans Important classe II.
Les organismes notifiés
Un organisme notifié est un organisme d’évaluation de la conformité accrédité, désigné par une autorité notifiante nationale, notifié à la Commission et inscrit dans la base NANDO, où il reçoit un numéro d’identification.
Le règlement leur impose indépendance, compétence technique, impartialité, confidentialité et souscription d’une assurance de responsabilité. Ils sont soumis à des obligations d’information vers l’autorité notifiante et vers les autres organismes.
Le chapitre correspondant s’applique depuis le 11 juin 2026.
Deux points à anticiper :
- la capacité — l’ensemble du marché européen doit passer par ces organismes avant le 11 décembre 2027, avec un nombre d’organismes limité au démarrage ;
- la compétence sectorielle — tous les organismes ne couvriront pas toutes les catégories de l’annexe III ; vérifier la portée exacte de la notification dans NANDO avant de contractualiser.
La voie de la certification
La détention d’un certificat européen de cybersécurité, délivré au titre d’un schéma adopté sous le Cybersecurity Act à un niveau d’assurance au moins « substantiel », et couvrant les exigences essentielles pertinentes, vaut évaluation de la conformité.
Pour les produits critiques de l’annexe IV, la Commission peut rendre cette voie obligatoire par acte délégué — voir Produits critiques.
Coûts et délais : ce qu’il faut budgéter
Le règlement ne fixe évidemment aucun tarif. Les postes à provisionner, eux, sont connus :
- frais d’évaluation de l’organisme notifié, par produit et par cycle ;
- coût interne de préparation du dossier, généralement supérieur au coût externe ;
- coût du gel de version pendant l’examen, en jours de retard de mise sur le marché ;
- coût de maintien : extensions de certificat, audits de surveillance, réévaluations après modification substantielle ;
- pour les produits critiques soumis à certification, coût du laboratoire d’évaluation et de la maintenance du certificat.
Micro, petites et moyennes entreprises
Le règlement prévoit des mesures de soutien : mise à disposition par la Commission d’un formulaire simplifié de dossier technique adapté aux micro et petites entreprises, actions de sensibilisation et de formation par les États membres, et prise en compte de la taille de l’entreprise dans la fixation des sanctions.
Ces mesures allègent la charge documentaire ; elles ne réduisent aucune exigence de fond.