Article considérant 91

(91) L’évaluation de la conformité des produits comportant des éléments numériques qui ne sont pas répertoriés dans le présent règlement en tant que produits importants ou critiques comportant des éléments numériques peut être effectuée par le fabricant sous sa propre responsabilité, conformément à la procédure de contrôle interne fondée sur le module A de la décision 768/2008/CE, conformément au présent règlement. Cela s’applique également aux cas où un fabricant choisit de ne pas appliquer, en tout ou en partie, une norme harmonisée, une spécification commune ou un schéma européen de certification de cybersécurité applicable. Le fabricant conserve la possibilité de choisir une procédure d’évaluation de la conformité plus stricte faisant intervenir un tiers. Dans le cadre de la procédure d’évaluation de la conformité par contrôle interne, le fabricant assure et déclare sous sa seule responsabilité que le produit comportant des éléments numériques et les procédés du fabricant satisfont aux exigences essentielles de cybersécurité applicables définies dans le présent règlement. Si un produit important comportant des éléments numériques relève de la classe I, une assurance supplémentaire est requise pour démontrer la conformité aux exigences essentielles de cybersécurité énoncées dans le présent règlement. Le fabricant devrait appliquer des normes harmonisées, des spécifications communes ou des schémas européens de certification de cybersécurité adoptés conformément au règlement (UE) 2019/881, répertoriés par la Commission dans un acte d’exécution, s’il souhaite effectuer l’évaluation de la conformité sous sa propre responsabilité (module A). Si le fabricant n’applique pas ces normes harmonisées, spécifications communes ou schémas européens de certification de cybersécurité, il devrait se soumettre à une évaluation de la conformité par un tiers (sur la base des modules B et C ou du module H). Compte tenu de la charge administrative pesant sur les fabricants et du fait que la cybersécurité joue un rôle important dans la phase de conception et de développement des produits matériels et immatériels comportant des éléments numériques, les procédures d’évaluation de la conformité fondées respectivement sur les modules B et C ou du module H de la décision 768/2008/CE ont été retenues comme étant les plus appropriées pour évaluer de manière proportionnée et efficace la conformité des produits importants comportant des éléments numériques. Le fabricant qui fait procéder à l’évaluation de conformité par un tiers peut choisir la procédure qui convient le mieux à son processus de conception et de production. Compte tenu du risque de cybersécurité encore plus grand lié à l’utilisation de produits importants comportant des éléments numériques qui relèvent de la classe II, l’évaluation de la conformité de ces produits devrait toujours prévoir l’intervention d’un tiers, même lorsque le produit est conforme, en tout ou en partie, à des normes harmonisées, à des spécifications communes ou à des schémas européens de certification de cybersécurité. Les fabricants de produits importants comportant des éléments numériques répondant aux critères de logiciels libres et ouverts devraient pouvoir suivre la procédure de contrôle interne basée sur le module A, à condition de mettre la documentation technique à la disposition du public.