Quatre rôles, et un piège : votre marque fait de vous un fabricant

• Fabricant : celui qui développe ou fait développer un produit et le met sur le marché sous son nom ou sa marque. Son régime est fixé à l'article 13.
• Importateur : personne établie dans l'Union qui met sur le marché un produit portant le nom ou la marque d'une personne établie hors de l'Union (article 3, point 16). Son régime est fixé à l'article 19.
• Distributeur : celui qui, sans être le fabricant ni l'importateur, met à disposition sur le marché un produit sans altérer ses propriétés (article 3, point 17). Son régime est fixé à l'article 20.
• Intendant de logiciels ouverts : défini à l'article 3, point 14. Il n'est tenu qu'aux obligations énumérées à l'article 24, et aucune amende administrative ne lui est applicable (article 64, paragraphe 10, point b)). Le détail figure plus bas.

Ce n'est pas la provenance du fournisseur qui décide : la définition de l'article 3, point 16 tient au nom ou à la marque que porte le produit.

L'importateur ne met sur le marché que des produits conformes aux exigences essentielles de l'annexe I, partie I, et dont les processus du fabricant sont conformes à celles de l'annexe I, partie II (article 19, paragraphe 1).

Les quatre vérifications sont celles de l'article 19, paragraphe 2 : la procédure d'évaluation de la conformité de l'article 32 ; la documentation technique ; le marquage CE de l'article 30, avec la déclaration UE de conformité et les informations et instructions destinées à l'utilisateur figurant à l'annexe II ; le respect par le fabricant de l'article 13, paragraphes 15, 16 et 19.

L'importateur doit être en mesure de produire les documents qui le prouvent.

Le reste de l'article tient en quatre réflexes.

• En cas de doute sur la conformité, le produit ne part pas, et si le risque de cybersécurité est important, le fabricant et les autorités de surveillance du marché en sont informés (art. 19, paragraphe 3).
• L'importateur indique ses propres coordonnées sur le produit, son emballage ou un document d'accompagnement (art. 19, paragraphe 4).
• Lorsqu'il prend connaissance d'une vulnérabilité, il en informe le fabricant sans retard injustifié, et immédiatement les autorités en cas de risque de cybersécurité important (art. 19, paragraphe 5).
• Enfin il tient à disposition une copie de la déclaration UE de conformité pendant au moins dix ans à compter de la mise sur le marché, ou pendant la période d'assistance si elle est plus longue, et s'assure que la documentation technique peut être fournie sur demande (art. 19, paragraphe 6).

Le distributeur agit avec la diligence requise au regard des exigences du règlement (article 20, paragraphe 1).

Avant de mettre le produit à disposition, il vérifie que le produit porte le marquage CE, et que le fabricant et l'importateur se sont conformés à l'article 13, paragraphes 15, 16, 18, 19 et 20, ainsi qu'à l'article 19, paragraphe 4, et lui ont communiqué tous les documents nécessaires (article 20, paragraphe 2).

S'il considère ou a des raisons de croire, sur la base des informations en sa possession, que le produit ou les processus du fabricant ne sont pas conformes aux exigences essentielles de l'annexe I, il ne le met pas à disposition, et il informe le fabricant et les autorités de surveillance du marché sans retard injustifié lorsque le risque de cybersécurité est important (art. 20, paragraphe 3).

Pour ce qui est déjà en rayon, il fait prendre les mesures correctives nécessaires, au besoin le retrait ou le rappel, informe le fabricant sans retard injustifié de toute vulnérabilité dont il prend connaissance, et les autorités immédiatement en cas de risque important (art. 20, paragraphe 4).

La définition compte, parce qu'elle est étroite.

L'article 3, point 14 retient « une personne morale, autre que le fabricant, qui a pour objectif ou finalité de fournir un soutien systématique et continu au développement de produits spécifiques comportant des éléments numériques qui répondent aux critères de logiciels libres et ouverts et sont destinés à des activités commerciales, et qui assure la viabilité de ces produits ».

Quatre conditions doivent donc être réunies, et elles se vérifient une par une :

• être une personne morale,
• ne pas être le fabricant du produit,
• soutenir de façon systématique et continue le développement de produits identifiés,
• et viser des produits destinés à des activités commerciales.

Une contribution ponctuelle, ou le soutien d'une personne physique agissant seule, ne fait pas entrer dans cette catégorie.

Le régime lui-même tient en trois obligations, et cette énumération est limitative.

• Une politique de cybersécurité mise en place et documentée de manière vérifiable, qui traite notamment de la documentation, du traitement et de la correction des vulnérabilités et encourage le signalement volontaire de l'article 15 (art. 24, paragraphe 1).
• La coopération avec les autorités de surveillance du marché, et la communication de cette politique sur demande motivée (art. 24, paragraphe 2).
• Et le signalement, qui ne s'applique que dans des cas délimités : l'article 14, paragraphe 1 dès lors que l'intendant participe au développement des produits, et l'article 14, paragraphes 3 et 8 lorsque l'incident grave touche les réseaux et systèmes d'information qu'il fournit pour ce développement (art. 24, paragraphe 3).

Ce qu'il ne lui impose pas n'est écrit nulle part sous forme d'exemption : cela se déduit de la structure du texte. Les exigences essentielles de l'annexe I, la documentation technique, la déclaration UE de conformité et le marquage CE sont attachés au fabricant, par l'article 13 puis par les articles 28 à 32.

Le règlement ne les étend pas à l'intendant de logiciels ouverts, qui n'y est donc pas soumis. C'est une conséquence de la façon dont le règlement répartit ses obligations par rôle, et non une phrase que l'on pourrait citer.

Une seule dispense est, elle, expressément écrite : celle des amendes. Les amendes administratives ne s'appliquent pas aux violations du règlement commises par les intendants de logiciels ouverts (art. 64, paragraphe 10, point b)).