INTERCALAIRE I · LE CHAMP
Le CRA vise vos produits un par un. Trois questions vous situent.
Le CRA s'applique produit par produit, sans seuil de taille. Trois questions vous situent : connexion, exclusions et rôle.
Le Cyber Resilience Act (CRA) s'applique à chacun de vos produits, pris séparément.
Le CRA ne vise pas votre entreprise.
Trois questions vous situent : votre produit se connecte-t-il ? Est-il exclu par un texte sectoriel ? Quel rôle tenez-vous à son égard ?
Ce produit, logiciel ou matériel, se connecte-t-il à un appareil ou à un réseau ?
Ouiquestion 2NonHors du champ : une réponse négative se documente, elle ne se suppose pas
Relève-t-il d'une exclusion sectorielle ?
OuiExclu du champ : l'exclusion porte sur le produit, jamais sur l'entrepriseNonquestion 3
Le mettez-vous sur le marché sous votre nom ou votre marque ?
OuiFabricant : toutes les obligations du règlementNonquestion 4
Importateur ou distributeur, modifiez-vous de façon substantielle un produit déjà sur le marché ?
OuiConsidéré comme un fabricant, avec les mêmes obligationsNonImportateur, distributeur ou intendant de logiciels ouverts : ce rôle découle des faits
Hors du champ : une réponse négative se documente, elle ne se suppose pas
Exclu du champ : l'exclusion porte sur le produit, jamais sur l'entreprise
Fabricant : toutes les obligations du règlement
Considéré comme un fabricant, avec les mêmes obligations
Importateur, distributeur ou intendant de logiciels ouverts : ce rôle découle des faits
Le principe
Chaque produit a son analyse, et parfois son régime
Votre catalogue compte un boîtier connecté, un dispositif médical et un service en ligne pur.
Le boîtier entre dans le champ. Le dispositif médical relève de son propre texte. Le service en ligne n'est pas concerné.
Le CRA raisonne par produit, pas par entreprise. Il n'existe ni seuil de taille, ni seuil de chiffre d'affaires, ni liste de secteurs éligibles.
Votre rôle se lit aussi produit par produit. Vous pouvez fabriquer votre boîtier et distribuer les accessoires que vous revendez.
Articles 2 et 3
Premier filtre : votre produit se connecte, même indirectement
Un capteur qui envoie ses mesures à une passerelle est connecté. Un appareil que vous branchez en USB pour le mettre à jour aussi.
Le CRA vise les produits comportant des éléments numériques, c'est-à-dire tout produit logiciel ou matériel. Il s'applique dès que leur usage prévu, ou raisonnablement prévisible, comporte une connexion, même indirecte, à un appareil ou à un réseau.
Un logiciel vendu seul est un produit,
au même titre qu'un boîtier.
Un composant vendu séparément est un produit,
même si d'autres l'intègrent ensuite.
Votre traitement à distance fait partie du produit
quand vous l'avez conçu et que le produit en dépend pour une de ses fonctions.
Votre produit ne se connecte pas ? Écrivez pourquoi. Une réponse négative se documente, elle ne se suppose pas.
Le texte en détail : article 2, paragraphe 1 et article 3, points 1 et 2
Un produit comportant des éléments numériques est un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément (article 3, point 1).
Le règlement s'applique à ces produits dès lors que leur utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte, logique ou physique, à un dispositif ou à un réseau (article 2, paragraphe 1).
Le traitement de données à distance fait partie du produit lorsque son logiciel est conçu et développé sous la responsabilité du fabricant, et que son absence empêcherait le produit d'exécuter une de ses fonctions (article 3, point 2).
Article 2, paragraphes 2 à 7
Deuxième filtre : quelques secteurs ont déjà leur propre texte
Vous fabriquez un dispositif médical connecté ? Le CRA ne s'applique pas à lui.
Un régime sectoriel traite déjà le sujet.
La liste est courte et fermée. Elle vise le produit, jamais l'entreprise.
Les dispositifs médicaux
Y compris les dispositifs de diagnostic in vitro.
Les véhicules
Couverts par leur propre règlement européen.
L'aviation civile
Les produits certifiés au titre de son règlement européen.
Les équipements marins
Couverts par leur propre directive européenne.
La défense et la sécurité nationale
Les produits conçus ou modifiés exclusivement à ces fins, et ceux faits pour traiter des informations classifiées.
Les pièces de rechange identiques
Fabriquées selon les mêmes spécifications que le composant qu'elles remplacent.
Le texte en détail : article 2, paragraphes 2 à 7
Les dispositifs médicaux et les dispositifs de diagnostic in vitro sont exclus par renvoi aux règlements (UE) 2017/745 et (UE) 2017/746 (article 2, paragraphe 2, points a) et b)). Les véhicules sont exclus par renvoi au règlement (UE) 2019/2144 (article 2, paragraphe 2, point c)).
Les produits certifiés au titre du règlement (UE) 2018/1139, en aviation civile, sont exclus (article 2, paragraphe 3). Les équipements marins relevant de la directive 2014/90/UE le sont aussi (article 2, paragraphe 4).
Les pièces de rechange destinées à remplacer des composants identiques et fabriquées selon les mêmes spécifications sont exclues (article 2, paragraphe 6). Les produits développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense, et ceux spécifiquement conçus pour traiter des informations classifiées, sont exclus (article 2, paragraphe 7).
Une porte reste entrouverte. L'article 2, paragraphe 5 permet, par acte délégué, de limiter ou d'exclure l'application du règlement à des produits relevant d'autres règles de l'Union couvrant les mêmes risques. Aucune limitation de ce type n'est acquise du seul fait du règlement.
Article 3, points 1 et 2
Un logiciel en ligne pur n'est pas concerné
Votre client ouvre votre application dans son navigateur, et rien d'autre ne quitte vos serveurs ?
Un service en ligne pur n'est pas concerné. Regardez plutôt du côté des textes sur la sécurité des organisations.
Votre application mobile ou votre capteur a besoin de votre serveur pour faire ce que le client a acheté ? Un service en ligne qui fait fonctionner un produit que vous vendez entre dans le champ avec ce produit.
La question décisive : quelque chose est-il installé, embarqué ou livré chez le client ?
Le texte en détail : article 3, points 1 et 2
Un service en ligne pur n'est pas un produit comportant des éléments numériques. L'infrastructure dont dépend le produit vendu, par exemple une interface de programmation, n'est pas un service tiers : elle suit le produit dans le champ, par l'effet de l'article 3, points 1 et 2.
Articles 13, 19, 20 et 24
Troisième filtre : votre rôle se constate, il ne se déclare pas
Le CRA répartit ses obligations entre quatre rôles.
Votre rôle découle des faits, pas d'une déclaration.
Le fabricant
Il développe ou fait développer le produit, et le met sur le marché sous son nom ou sa marque. Il porte tout le régime : exigences essentielles, documentation, suivi de sécurité, marquage CE et signalement.
L'importateur
Il est établi dans l'Union et met sur le marché un produit qui porte le nom ou la marque d'une entreprise établie hors de l'Union. C'est ce nom qui compte, pas la provenance. Il contrôle avant la mise sur le marché, puis il alerte.
Le distributeur
Il revend un produit sans altérer ses propriétés. Il vérifie le marquage CE et les mentions obligatoires. Il ne revend pas un produit qu'il sait non conforme, et il fait remonter l'information.
L'intendant de logiciels ouverts
Une organisation, autre que le fabricant, qui soutient durablement un logiciel libre destiné à des activités commerciales. Trois obligations seulement, et aucune amende administrative.
Le texte en détail : articles 3, 13, 19, 20, 24 et 64
Le fabricant développe ou fait développer le produit et le met sur le marché sous son nom ou sa marque.
Il porte le régime complet : évaluation des risques de cybersécurité documentée et tenue à jour (article 13, paragraphes 2 et 3), exigences essentielles de l'annexe I, documentation technique, période d'assistance, déclaration UE de conformité, marquage CE, et signalement de l'article 14.
L'importateur est établi dans l'Union et met sur le marché un produit portant le nom ou la marque d'une personne établie hors de l'Union (article 3, point 16). Son rôle est un rôle de contrôle avant la mise sur le marché, et d'alerte ensuite (article 19).
Le distributeur met un produit à disposition sur le marché sans altérer ses propriétés (article 3, point 17). Il agit avec la diligence requise, vérifie le marquage CE et les mentions obligatoires, ne revend pas ce qu'il sait non conforme, et fait remonter l'information au fabricant et aux autorités (article 20).
L'intendant de logiciels ouverts (libres, ou open source, dans l'usage courant) est une personne morale, autre que le fabricant, qui apporte un soutien systématique et continu au développement d'un produit libre destiné à des activités commerciales (article 3, point 14).
Son régime tient en trois obligations à l'article 24. Les amendes administratives ne lui sont pas applicables (article 64, paragraphe 10, point b)).
Article 21
Vendre sous votre marque fait de vous un fabricant
Vous faites fabriquer un boîtier connecté à l'autre bout du monde. Vous le vendez sous votre marque.
Au sens du CRA, vous n'êtes pas un revendeur. Vous êtes fabricant, avec la totalité des obligations.
Un importateur ou un distributeur devient fabricant dans deux cas seulement.
Il vend sous son nom
Il met le produit sur le marché sous son propre nom ou sa propre marque.
Il modifie le produit en profondeur
Il apporte une modification substantielle à un produit déjà mis sur le marché.
Une modification est substantielle si elle touche le respect des exigences de sécurité, ou si elle change l'usage prévu du produit. Il n'y a ni troisième cas ni degré intermédiaire.
Le texte en détail : article 21 et article 3, point 30
Un importateur ou un distributeur est considéré comme un fabricant, et soumis aux articles 13 et 14, dans deux cas seulement : il met le produit sur le marché sous son propre nom ou sa propre marque, ou il apporte une modification substantielle à un produit déjà mis sur le marché (article 21).
La modification substantielle est une modification apportée après la mise sur le marché qui a une incidence sur la conformité aux exigences essentielles de l'annexe I, partie I, ou qui change l'usage prévu pour lequel le produit a été évalué (article 3, point 30).
En pratique
Le diagnostic pose ces trois questions pour votre produit
Le diagnostic reprend ces trois questions et les applique à un produit donné.
Treize questions au maximum, deux minutes, sans création de compte : commencer le diagnostic.
Vous êtes fabricant ? La classe de votre produit dit ensuite comment prouver sa conformité.
Les fiches de cet intercalaire
- Le CRA vise vos produits connectés, un par unLes trois critères du champ, ce qui entre et ce qui n'entre pas, et le logiciel en ligne en détail. Pour trancher un cas précis : un produit peu connecté, ou un service adossé à un objet vendu.
- Quatre rôles, et un piège : votre marque fait de vous un fabricantLes obligations de chaque rôle, article par article, dont les vérifications de l'importateur et du distributeur. Pour qui connaît son rôle, et pour le revendeur sous marque propre.
- Un logiciel libre entre dans le CRA quand il sert une activité commercialeCe qui fait entrer un projet ouvert dans le champ : l'activité commerciale, pas le prix. Puis le régime de l'intendant. Pour les fondations, les associations et les éditeurs qui monétisent ou intègrent du libre.
- Le CRA vise vos produits, NIS 2 votre organisationUn texte de produit, un texte d'entité, et leur seul vrai point de rencontre : la chaîne d'approvisionnement. Pour qui relève des deux, et pour l'entreprise qui ne fabrique rien mais va recevoir les alertes de ses fournisseurs.
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.