Importer des objets de maison connectée de Chine : RED et cybersécurité 2025

Un objet de maison connectée est, au sens du droit européen, un équipement radioélectrique dès qu'il émet ou reçoit des ondes pour communiquer avec un autre appareil ou un réseau. Une prise pilotable, une caméra de surveillance, un capteur de mouvement ou de fumée, un thermostat, une ampoule ou un robot aspirateur connectés en Wi-Fi, Bluetooth, Zigbee ou Thread relèvent tous de cette définition, quelle que soit leur fonction domestique.

Cette qualification déclenche un cadre précis : le produit doit respecter la directive RED avant sa mise sur le marché européen, et depuis le 1er août 2025, une couche supplémentaire d'exigences de cybersécurité s'applique aux objets connectés grand public.

La directive RED, Radio Equipment Directive 2014/53/UE, encadre la mise sur le marché de tout équipement radioélectrique dans l'Union européenne. Elle s'applique depuis le 13 juin 2016 et a remplacé la directive R&TTE 1999/5/CE. Son objectif d'origine couvre trois volets : la sécurité et la santé des utilisateurs, l'usage efficace du spectre radioélectrique, et la compatibilité électromagnétique de l'appareil.

Avant même la cybersécurité, un objet connecté doit déjà satisfaire ces exigences de base pour porter le marquage CE. Le fabricant, ou l'importateur qui agit comme tel lorsqu'aucun fabricant établi dans l'Union n'assume ce rôle, doit produire une déclaration UE de conformité et un dossier technique disponible pour les autorités.

Le règlement délégué (UE) 2022/30 ajoute trois exigences essentielles à l'article 3, paragraphe 3, points d, e et f de la directive RED. Elles sont entrées en application le 1er août 2025 pour les objets connectés grand public, les wearables, les jouets connectés et les moniteurs bébé.

Ces trois exigences s'ajoutent, sans le remplacer, au cadre existant de la RED. Un produit qui ne les respecte pas ne peut pas porter le marquage CE, même s'il satisfait par ailleurs aux exigences radio et électriques classiques.

La série de normes harmonisées EN 18031, publiée au Journal officiel de l'Union européenne le 30 janvier 2025, décline les trois exigences ci-dessus en critères techniques vérifiables : EN 18031-1 pour le réseau, EN 18031-2 pour les données et la vie privée, EN 18031-3 pour les garde-fous anti-fraude. Depuis le 1er août 2025, s'y conformer fait présumer la conformité au règlement délégué 2022/30.

Dans la majorité des cas, le respect d'EN 18031 permet une auto-déclaration : le fabricant réalise lui-même l'évaluation, constitue le dossier technique et signe la déclaration UE de conformité, sans organisme notifié. Un organisme notifié devient nécessaire si le produit s'écarte d'une clause restrictive de la norme, par exemple s'il permet de ne pas définir de mot de passe : la présomption automatique tombe alors, et un examen de type UE devient requis.

Pour un objet connecté avec une fonction radio, Wi-Fi ou Bluetooth par exemple, la compatibilité électromagnétique est couverte par la RED elle-même. Pour un appareil électrique sans fonction radio, c'est la directive CEM 2014/30/UE qui s'applique séparément pour les émissions et l'immunité.

Un objet connecté alimenté sur secteur reste par ailleurs soumis à la directive basse tension 2014/35/UE pour les risques électriques, ainsi qu'aux directives RoHS et DEEE sur les substances dangereuses et la fin de vie, comme tout produit électronique. Ces textes se cumulent avec la RED, ils ne s'y substituent pas.

En France, l'ANFR surveille le marché des équipements radioélectriques : amende plafonnée à 1 500 euros pour une personne physique, 7 500 euros pour une personne morale, plus des sanctions pénales possibles. Le Cyber Resilience Act prévoit un régime distinct, jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial.

Le Cyber Resilience Act, règlement (UE) 2024/2847 sur les produits à éléments numériques, est entré en vigueur le 10 décembre 2024. Deux jalons comptent pour le sourcing de la maison connectée : dès le 11 septembre 2026, obligation de signaler les vulnérabilités activement exploitées et les incidents graves à l'ENISA ou au CSIRT national ; à partir du 11 décembre 2027, application complète des exigences essentielles, de l'évaluation de conformité, du marquage CE et de la documentation technique du CRA.

Le règlement délégué 2022/30, qui porte aujourd'hui la cybersécurité de la RED, sera abrogé le 11 décembre 2027 et absorbé par le CRA. Un produit déjà placé sur le marché avant cette date reste sous le régime RED tant qu'il ne subit pas de modification substantielle après le 11 décembre 2027 ; l'obligation de signalement s'applique, elle, dès le 11 septembre 2026, quelle que soit la date de mise sur le marché.

Une usine qui produit déjà des objets connectés pour des marques européennes a normalement fait tester ses références par un laboratoire accrédité et dispose de rapports EN 18031 réutilisables ou adaptables. Une usine qui découvre ces exigences au moment de votre commande représente un risque de délai et de non-conformité plus élevé.

La politique de mise à jour du micrologiciel mérite une attention particulière : protéger le réseau suppose que l'appareil puisse recevoir des correctifs de sécurité après sa mise sur le marché. Faites préciser par écrit la durée pendant laquelle l'usine s'engage à fournir ces mises à jour.

Sorva est une maison de courtage et de négoce entre l'Europe et la Chine, avec une équipe sinophone à Guangzhou et un bureau à Paris. Notre étude de conformité réglementaire vérifie la classification RED du produit, la présomption EN 18031 applicable et les textes qui se cumulent, CEM, basse tension, RoHS, avant tout engagement de production. Un dossier technique produit rassemble ensuite les pièces attendues par les autorités : rapports de test, déclaration de conformité, fiche radio.

Dans la plupart des cas, vous ne payez pas d'honoraires sur la marchandise elle-même : vous ouvrez un dossier, nous négocions l'achat pour vous auprès de l'usine et nous prenons une commission sur sa valeur départ usine. L'étude de conformité et le dossier technique restent des prestations à part, utiles dès la sélection du fournisseur.