Quatre rôles, et un piège : votre marque fait de vous un fabricant

Un importateur ou un distributeur est considéré comme un fabricant, et soumis aux obligations des articles 13 et 14, dans deux cas seulement : il met le produit sur le marché sous son propre nom ou sa propre marque, ou il apporte une modification substantielle à un produit déjà mis sur le marché (article 21).

La modification substantielle est une modification apportée après la mise sur le marché qui a une incidence sur la conformité aux exigences essentielles de l'annexe I, partie I, ou qui change l'usage prévu pour lequel le produit a été évalué (article 3, point 30).

L'article 71, paragraphe 2 ne rend applicable par anticipation que l'article 14, depuis le 11 septembre 2026, et le chapitre IV, depuis le 11 juin 2026. L'article 21, qui porte la requalification, relève du reste du règlement et n'est donc applicable que le 11 décembre 2027.

L'article 69, paragraphe 3, de son côté, étend les obligations de l'article 14 à tous les produits mis sur le marché avant cette date.

À quelle date exacte un revendeur sous marque propre devient-il tenu de signaler au titre de l'article 14, le texte ne le dit pas : l'articulation des deux dispositions n'est écrite nulle part, et aucune source primaire ne la tranche à ce jour.

Ce n'est pas la provenance du fournisseur qui décide : la définition de l'article 3, point 16 tient au nom ou à la marque que porte le produit.

L'importateur ne met sur le marché que des produits conformes aux exigences essentielles de l'annexe I, partie I, et dont les processus du fabricant sont conformes à celles de l'annexe I, partie II (article 19, paragraphe 1).

Les quatre vérifications sont celles de l'article 19, paragraphe 2 : la procédure d'évaluation de la conformité de l'article 32 ; la documentation technique ; le marquage CE de l'article 30, avec la déclaration UE de conformité et les informations et instructions destinées à l'utilisateur figurant à l'annexe II ; le respect par le fabricant de l'article 13, paragraphes 15, 16 et 19.

L'importateur doit être en mesure de produire les documents qui le prouvent.

Le reste de l'article tient en quatre réflexes.

• En cas de doute sur la conformité, le produit ne part pas, et si le risque de cybersécurité est important, le fabricant et les autorités de surveillance du marché en sont informés (art. 19, paragraphe 3).
• L'importateur indique ses propres coordonnées sur le produit, son emballage ou un document d'accompagnement (art. 19, paragraphe 4).
• Lorsqu'il prend connaissance d'une vulnérabilité, il en informe le fabricant sans retard injustifié, et immédiatement les autorités en cas de risque de cybersécurité important (art. 19, paragraphe 5).
• Enfin il tient à disposition une copie de la déclaration UE de conformité pendant au moins dix ans à compter de la mise sur le marché, ou pendant la période d'assistance si elle est plus longue, et s'assure que la documentation technique peut être fournie sur demande (art. 19, paragraphe 6).

La définition compte, parce qu'elle est étroite.

L'article 3, point 14 retient « une personne morale, autre que le fabricant, qui a pour objectif ou finalité de fournir un soutien systématique et continu au développement de produits spécifiques comportant des éléments numériques qui répondent aux critères de logiciels libres et ouverts et sont destinés à des activités commerciales, et qui assure la viabilité de ces produits ».

Quatre conditions doivent donc être réunies, et elles se vérifient une par une :

• être une personne morale,
• ne pas être le fabricant du produit,
• soutenir de façon systématique et continue le développement de produits identifiés,
• et viser des produits destinés à des activités commerciales.

Une contribution ponctuelle, ou le soutien d'une personne physique agissant seule, ne fait pas entrer dans cette catégorie.

Le régime lui-même tient en trois obligations, et cette énumération est limitative.

• Une politique de cybersécurité mise en place et documentée de manière vérifiable, qui traite notamment de la documentation, du traitement et de la correction des vulnérabilités et encourage le signalement volontaire de l'article 15 (art. 24, paragraphe 1).
• La coopération avec les autorités de surveillance du marché, et la communication de cette politique sur demande motivée (art. 24, paragraphe 2).
• Et le signalement, qui ne s'applique que dans des cas délimités : l'article 14, paragraphe 1 dès lors que l'intendant participe au développement des produits, et l'article 14, paragraphes 3 et 8 lorsque l'incident grave touche les réseaux et systèmes d'information qu'il fournit pour ce développement (art. 24, paragraphe 3).

Ce qu'il ne lui impose pas n'est écrit nulle part sous forme d'exemption : cela se déduit de la structure du texte. Les exigences essentielles de l'annexe I, la documentation technique, la déclaration UE de conformité et le marquage CE sont attachés au fabricant, par l'article 13 puis par les articles 28 à 32.

Le règlement ne les étend pas à l'intendant de logiciels ouverts, qui n'y est donc pas soumis. C'est une conséquence de la façon dont le règlement répartit ses obligations par rôle, et non une phrase que l'on pourrait citer.

Une seule dispense est, elle, expressément écrite : celle des amendes. Les amendes administratives ne s'appliquent pas aux violations du règlement commises par les intendants de logiciels ouverts (art. 64, paragraphe 10, point b)).