Depuis le 11 juin 2026, les dispositions du Cyber Resilience Act relatives à la notification des organismes d’évaluation de la conformité sont applicables. Cette étape ne signifie pas que l’ensemble du règlement s’impose déjà à tous les produits : l’application générale du CRA est fixée au 11 décembre 2027, tandis que certaines obligations de signalement entreront en application le 11 septembre 2026. Elle ouvre en revanche une phase très concrète pour les organismes qui souhaitent intervenir comme tiers évaluateurs.
En France, l’architecture repose sur deux acteurs aux fonctions distinctes. Le COFRAC accrédite l’organisme candidat et vérifie sa compétence ainsi que son impartialité. L’ANSSI agit comme autorité notifiante : elle évalue la demande, notifie l’organisme auprès de la Commission européenne et assure le contrôle associé à cette notification. L’un ne remplace donc pas l’autre. L’accréditation constitue la base du parcours, mais la notification demeure une décision relevant de l’autorité compétente.
Comprendre les modules avant de constituer le dossier
Le CRA prévoit plusieurs voies d’évaluation de la conformité, adaptées à la criticité du produit et au choix réglementaire applicable.
Le module A correspond à une auto-évaluation du fabricant. Un tiers peut l’accompagner, mais son intervention n’est pas obligatoirement imposée par ce module. Le schéma B + C implique une intervention sur l’examen de la conception et du développement, puis une déclaration de conformité du fabricant. Le module H porte sur le système complet d’assurance qualité du fabricant, avec des contrôles et des vérifications périodiques.
Pour un futur organisme notifié, la distinction est structurante. Le module B s’appuie sur une accréditation selon ISO/IEC 17065. Le module H repose sur ISO/IEC 17021-1. Il ne suffit donc pas d’ajouter le CRA à une liste de prestations existantes : les compétences, les méthodes, les responsabilités et les preuves attendues dépendent du module visé.
Construire une compétence démontrable
Le premier chantier consiste à définir précisément le domaine d’évaluation demandé. Un organisme doit pouvoir démontrer qu’il possède les compétences techniques adaptées aux produits comportant des éléments numériques qu’il souhaite évaluer. Cela suppose d’identifier les familles de produits, les technologies concernées, les risques de cybersécurité, les méthodes d’essai et les profils des évaluateurs.
Cette démonstration ne se limite pas à des curriculum vitae. Elle doit se retrouver dans les procédures de qualification, les formations, la supervision des évaluateurs, les moyens d’essai et les règles de maintien des compétences. Un domaine trop large et insuffisamment documenté fragilise la demande ; un périmètre clair permet de relier chaque activité à des ressources identifiées.
Garantir l’impartialité et la séparation des rôles
Un organisme notifié doit préserver l’indépendance de son jugement. Cette exigence mérite une attention particulière lorsque la même structure propose du conseil, de l’intégration, des tests et de l’évaluation de conformité. Le risque n’est pas seulement théorique : conseiller un fabricant sur la conception d’un produit puis certifier ce même produit peut créer un conflit d’intérêts.
Le dossier doit donc décrire les mécanismes d’impartialité, la gestion des conflits, les restrictions applicables aux équipes et la manière dont les décisions sont séparées des activités commerciales. Une gouvernance formalisée protège l’organisme autant que le fabricant évalué.
Transformer le CRA en processus opérationnel
La préparation peut être organisée autour d’un parcours simple :
- définir le module et le périmètre technique demandés ;
- cartographier les exigences du CRA et les normes d’accréditation correspondantes ;
- vérifier les compétences, les outils et l’indépendance nécessaires ;
- rédiger les procédures d’évaluation, de décision et de surveillance ;
- constituer des dossiers d’essai permettant de démontrer l’application réelle du dispositif ;
- préparer l’accréditation COFRAC ;
- déposer ensuite la demande de notification auprès de l’ANSSI selon la procédure publiée.
Les dossiers d’essai sont essentiels. Une procédure théorique ne suffit pas à montrer comment seront traités une preuve insuffisante, une non-conformité, une modification de produit ou un désaccord avec un fabricant. Simuler ces cas permet de vérifier la traçabilité des décisions avant l’évaluation officielle.
Prévoir le suivi après la notification
La notification n’est pas un agrément définitif sans surveillance. L’organisme devra maintenir ses compétences, signaler les changements pertinents et accepter les contrôles prévus. Il devra également suivre l’évolution des normes, des interprétations réglementaires et des techniques utilisées dans les produits numériques.
La documentation doit donc être conçue pour vivre. Un registre des décisions, des compétences, des conflits d’intérêts, des évolutions de périmètre et des actions correctives simplifie le contrôle et réduit le risque d’une conformité uniquement documentaire.
Le calendrier doit rester factuel
L’ANSSI indique que l’ouverture des accréditations est prévue au second semestre 2026 et que les premières notifications sont attendues vers la fin de l’année. Cette indication doit être suivie sur les pages officielles : elle ne constitue pas une promesse individuelle de délai. Chaque organisme dépendra de la maturité de son dossier, du périmètre demandé et du déroulement de l’évaluation.
Le bon objectif n’est donc pas de déposer le plus vite possible un dossier incomplet. Il consiste à arriver avec un périmètre maîtrisé, une compétence prouvée et des procédures déjà testées. Le CRA fait de l’évaluation de conformité un maillon important de la confiance numérique européenne ; cette responsabilité commence par la qualité du propre système de l’organisme évaluateur.
Sources officielles : FAQ CRA de l’ANSSI et règlement (UE) 2024/2847 sur EUR-Lex.
#CyberResilienceAct #CRA #Cybersécurité #ConformitéNumérique #ANSSI
