Le champ du CRA : quels produits, et à quel titre
Trois questions décident : est-ce bien un produit connecté, relève-t-il d'une exclusion sectorielle, et quel rôle tenez-vous face à ce produit précis ?
Sur cette page
- Une réglementation de produit, et ce que cela change
- Premier filtre : un produit comportant des éléments numériques, et la connexion
- Deuxième filtre : les exclusions sectorielles
- Le cas du logiciel en ligne, qui fait trébucher tout le monde
- Troisième filtre : le rôle, qui se constate et ne se déclare pas
- Le point qui coûte le plus cher : vendre sous sa marque
- Poser ces trois filtres sur un produit précis
Le Cyber Resilience Act ne s'applique pas à votre entreprise, il s'applique à chacun de vos produits pris séparément. Trois questions suffisent à vous situer : ce produit est-il un produit comportant des éléments numériques qui se connecte, relève-t-il d'une exclusion sectorielle, et quel rôle tenez-vous à son égard ? Cet intercalaire répond aux trois, dans l'ordre où il faut les poser.
Une réglementation de produit, et ce que cela change
Le Cyber Resilience Act (CRA) raisonne par produit, pas par personne morale. Il ne demande pas comment votre société est organisée, il demande ce que fait l'objet que vous mettez sur le marché.
La conséquence est immédiate et souvent mal anticipée : un même catalogue peut contenir un produit pleinement dans le champ, un produit exclu au titre d'une réglementation sectorielle, et un service qui n'y entre pas du tout. Il n'existe ni seuil de taille, ni seuil de chiffre d'affaires, ni liste de secteurs éligibles. Deux produits, ce sont deux analyses, et parfois deux régimes.
Le rôle se lit de la même façon. Vous n'êtes pas fabricant ou distributeur en général, vous l'êtes pour un produit donné. La même société peut être fabricant de son boîtier et distributeur des accessoires qu'elle revend.
Premier filtre : un produit comportant des éléments numériques, et la connexion
Un produit comportant des éléments numériques est un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément (art. 3, point 1). Le règlement s'applique à ces produits dès lors que leur utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte, logique ou physique, à un dispositif ou à un réseau (art. 2, paragraphe 1).
Trois éléments de cette définition décident presque toujours du résultat. Le matériel et le logiciel sont traités sur le même plan : un logiciel vendu seul est un produit au même titre qu'un boîtier. Un composant mis sur le marché séparément est un produit à lui seul, même s'il est destiné à être intégré par d'autres. Et le traitement de données à distance dont le logiciel est conçu sous la responsabilité du fabricant, et dont l'absence empêcherait le produit d'exécuter une de ses fonctions, fait partie du produit (art. 3, point 2).
Sur la connexion, les deux mots qui comptent sont « indirecte » et « prévisible ». Un capteur qui remonte ses mesures à une passerelle est connecté. Un appareil que l'on branche en USB pour le mettre à jour est connecté. Une réponse négative se documente, elle ne se suppose pas.
Deuxième filtre : les exclusions sectorielles
Certains produits sortent du champ parce qu'un régime sectoriel traite déjà la même matière. La liste est courte, fermée, et elle porte sur le produit, jamais sur l'entreprise.
Les dispositifs médicaux et les dispositifs de diagnostic in vitro sont exclus, par renvoi aux règlements (UE) 2017/745 et (UE) 2017/746 (art. 2, paragraphe 2, points a) et b)). Les véhicules sont exclus, par renvoi au règlement (UE) 2019/2144 (art. 2, paragraphe 2, point c)). Les produits certifiés au titre du règlement (UE) 2018/1139, en aviation civile, sont exclus (art. 2, paragraphe 3). Les équipements marins relevant de la directive 2014/90/UE sont exclus (art. 2, paragraphe 4). Les produits développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense, ainsi que ceux spécifiquement conçus pour traiter des informations classifiées, sont exclus (art. 2, paragraphe 7). Enfin, les pièces de rechange destinées à remplacer des composants identiques et fabriquées selon les mêmes spécifications sont exclues (art. 2, paragraphe 6).
Une porte reste entrouverte : l'article 2, paragraphe 5 permet de limiter ou d'exclure l'application du règlement à des produits relevant d'autres règles de l'Union couvrant les mêmes risques, par acte délégué. Aucune limitation de ce type n'est acquise du seul fait du règlement.
Le cas du logiciel en ligne, qui fait trébucher tout le monde
Un service en ligne pur n'est pas un produit comportant des éléments numériques et ne relève pas du CRA. Mais un service en ligne qui fait fonctionner un produit que vous vendez entre dans le champ avec ce produit.
La ligne de partage tient à une seule question : quelque chose est-il installé, embarqué ou livré chez le client ? Si le client accède à une application depuis son navigateur et que rien d'autre ne quitte vos serveurs, le CRA n'est pas votre sujet, et c'est du côté des textes qui portent sur la sécurité des organisations qu'il faut regarder. Si en revanche votre application mobile ou votre capteur a besoin de votre interface de programmation pour faire ce que le client a acheté, cette infrastructure n'est pas un service tiers : elle suit le produit dans le champ, par l'effet de l'article 3, points 1 et 2.
Troisième filtre : le rôle, qui se constate et ne se déclare pas
Le CRA répartit ses obligations par rôle tenu face au produit, et il en distingue quatre. Ce rôle découle des faits, aucune déclaration préalable ne l'établit.
Le fabricant
développe ou fait développer le produit et le met sur le marché sous son nom ou sa marque. Il porte le régime complet : évaluation des risques de cybersécurité documentée et tenue à jour (art. 13, paragraphes 2 et 3), exigences essentielles de l'annexe I, documentation technique, période d'assistance, déclaration UE de conformité, marquage CE, et signalement de l'article 14.
L'importateur
est établi dans l'Union et met sur le marché un produit portant le nom ou la marque d'une personne établie hors de l'Union (art. 3, point 16). Ce n'est donc pas la provenance qui décide, c'est le nom porté par le produit. Son rôle est un rôle de contrôle avant la mise sur le marché, et d'alerte ensuite (art. 19).
Le distributeur
met un produit à disposition sur le marché sans altérer ses propriétés (art. 3, point 17). Il doit agir avec la diligence requise, vérifier le marquage CE et les mentions obligatoires, ne pas revendre ce qu'il sait non conforme, et faire remonter l'information au fabricant et aux autorités (art. 20).
L'intendant de logiciels ouverts
, ce que l'usage courant appelle le logiciel libre ou l'open source, est une personne morale, autre que le fabricant, qui apporte un soutien systématique et continu au développement d'un produit libre destiné à des activités commerciales (art. 3, point 14). Son régime tient en trois obligations à l'article 24, et les amendes administratives ne lui sont pas applicables (art. 64, paragraphe 10, point b)).
Le point qui coûte le plus cher : vendre sous sa marque
Un importateur ou un distributeur est considéré comme un fabricant, et soumis aux articles 13 et 14, dans deux cas seulement (art. 21). Premier cas : il met le produit sur le marché sous son propre nom ou sa propre marque. Second cas : il apporte une modification substantielle à un produit déjà mis sur le marché.
Il n'y a ni troisième cas ni degré intermédiaire. La PME qui fait fabriquer un boîtier connecté à l'autre bout du monde et le revend sous sa marque n'est pas un revendeur au sens du CRA : c'est un fabricant, avec la totalité des obligations. La modification substantielle, elle, se définit comme une modification apportée après la mise sur le marché qui a une incidence sur la conformité aux exigences essentielles de l'annexe I, partie I, ou qui change l'usage prévu pour lequel le produit a été évalué (art. 3, point 30).
Poser ces trois filtres sur un produit précis
Le diagnostic reprend ces trois questions et les applique à un produit donné. Treize questions au maximum, deux minutes, sans création de compte : commencer le diagnostic.
Les fiches de cet intercalaire
Qui est concerné par le Cyber Resilience Act ?
La fiche déroule les trois critères du champ d'application, avec les listes de ce qui entre et de ce qui n'entre pas, et le traitement complet du logiciel en ligne. Pour qui doit trancher un cas précis, notamment un produit peu connecté ou un service adossé à un objet vendu.
Les quatre rôles du CRA, et le piège de la marque propre
La fiche donne le détail des obligations de chaque rôle, article par article et paragraphe par paragraphe, y compris les vérifications exactes qu'un importateur et un distributeur doivent opérer. Pour qui a identifié son rôle et veut savoir ce qu'il doit tenir, ainsi que pour le revendeur sous marque propre.
Le CRA et les logiciels libres et ouverts
La fiche explique ce qui fait entrer un projet ouvert dans le champ, à savoir l'activité commerciale et non le prix, et détaille le régime de l'intendant de logiciels ouverts. Pour les fondations, les associations et les éditeurs qui monétisent un projet libre ou qui intègrent des composants libres.
CRA et NIS 2, ce qui les sépare et ce qui les relie
La fiche compare les deux textes, l'un de produit et l'autre d'entité, et traite leur seul vrai point de rencontre, la chaîne d'approvisionnement. Pour qui relève des deux, et pour l'entreprise qui ne fabrique rien mais va recevoir les alertes de ses fournisseurs.
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.