Le CRA et les logiciels libres et ouverts
Ce qui déclenche l'application du règlement à un projet libre, et le régime allégé des intendants de logiciel libre.
Sur cette page
Le règlement emploie les termes « logiciel libre et ouvert » et « intendant de logiciels ouverts », là où l'usage courant dit logiciel libre ou open source. Publier du code sous licence libre ne fait pas entrer un projet dans le champ du Cyber Resilience Act (CRA). Ce qui l'y fait entrer, c'est sa mise à disposition sur le marché dans le cadre d'une activité commerciale.
Ce que le règlement appelle un logiciel libre et ouvert
La définition est courte et technique : un logiciel dont le code source est partagé de manière ouverte et qui est mis à disposition sous licence libre et ouverte prévoyant tous les droits pour qu'il soit librement accessible, utilisable, modifiable et redistribuable (art. 3, point 48). Elle ne dit rien du modèle économique ni de la gouvernance du projet.
Le règlement ne crée donc pas d'exemption pour le logiciel libre en tant que tel. Il traite séparément trois situations : le projet publié hors activité commerciale, le produit libre mis sur le marché par un fabricant, et la personne morale qui soutient durablement un projet sans le vendre, que le texte appelle intendant de logiciels ouverts.
Pour situer votre cas en deux minutes, le diagnostic pose treize questions au maximum, sans création de compte : commencer le diagnostic.
Le déclencheur : l'activité commerciale, pas le prix
C'est le point à ne pas approximer, parce qu'il décide de tout le reste. Le règlement s'applique aux produits « mis à disposition sur le marché », notion qu'il définit comme la fourniture d'un produit destiné à être distribué ou utilisé sur le marché de l'Union « dans le cadre d'une activité commerciale, à titre onéreux ou gratuit » (art. 3, point 22).
Deux conséquences se lisent directement dans cette phrase. Un logiciel distribué sans contrepartie financière peut être dans le champ, si sa fourniture s'inscrit dans une activité commerciale. Et une distribution qui ne s'inscrit dans aucune activité commerciale n'est pas une mise à disposition sur le marché, donc n'est pas dans le champ.
Le règlement confirme cette ligne de partage à un autre endroit, et de façon très utile. Lorsqu'un fabricant intègre des composants de tiers dans son produit, il doit faire preuve de diligence raisonnable, « y compris lors de l'intégration de composants de logiciels libres et ouverts qui n'ont pas été mis à disposition sur le marché dans le cadre d'une activité commerciale » (art. 13, paragraphe 5). Cette précision n'aurait aucun sens si de tels composants étaient eux-mêmes soumis au règlement : elle confirme qu'ils ne le sont pas, et que la responsabilité se déplace alors vers l'intégrateur.
[À VÉRIFIER : ce que recouvre exactement l'« activité commerciale » pour un projet ouvert, notamment le traitement des dons, du financement par des entreprises, de la vente de support et des contributions régulières de salariés. La version consolidée du règlement ne reprend pas les préambules, où cette question est développée. À reprendre sur le texte publié au Journal officiel ou sur les orientations de la Commission.]
Le règlement lui-même reconnaît que cette frontière demande à être expliquée : l'article 26, paragraphe 2, point a) impose que les orientations de la Commission portent au moins sur le champ d'application, « en particulier les solutions de traitement de données à distance et les logiciels libres et ouverts ».
L'intendant de logiciels ouverts, et son régime
L'intendant de logiciels ouverts est une personne morale, autre que le fabricant, qui a pour objectif ou finalité de fournir un soutien systématique et continu au développement de produits spécifiques répondant aux critères de logiciels libres et ouverts et destinés à des activités commerciales, et qui assure la viabilité de ces produits (art. 3, point 14). C'est la fondation ou l'association qui fait vivre un projet, pas celui qui le vend.
Ce que le texte lui impose tient en trois obligations, et elles sont énumérées à l'article 24.
- Mettre en place et documenter de manière vérifiable une politique de cybersécurité, qui traite notamment de la documentation, du traitement et de la correction des vulnérabilités, encourage le signalement volontaire de l'article 15, et tient compte de la nature spécifique de l'intendant et de ses modalités juridiques et organisationnelles (art. 24, paragraphe 1).
- Coopérer avec les autorités de surveillance du marché à leur demande, et leur fournir cette documentation sur demande motivée, dans une langue aisément compréhensible par elles (art. 24, paragraphe 2).
- Signaler, dans des cas délimités : les obligations de l'article 14, paragraphe 1 s'appliquent dès lors que l'intendant participe au développement des produits, et celles de l'article 14, paragraphes 3 et 8 lorsque des incidents graves touchent les réseaux et systèmes d'information qu'il fournit pour ce développement (art. 24, paragraphe 3).
Une dispense est écrite noir sur blanc : par dérogation, les amendes administratives ne s'appliquent pas aux violations du règlement commises par les intendants de logiciels ouverts (art. 64, paragraphe 10, point b)). Les obligations demeurent, et une autorité de surveillance du marché peut exiger des mesures correctives (art. 52).
Ce que le règlement ne lui impose pas n'est écrit nulle part sous forme d'exemption, et il faut le dire ainsi. Les exigences essentielles de l'annexe I, la documentation technique, la déclaration UE de conformité et le marquage CE sont attachés au fabricant, par l'article 13 puis par les articles 28 à 32. Le règlement ne les étend pas à l'intendant. C'est une conséquence de la répartition des obligations par rôle, et non une phrase que l'on pourrait citer. La comparaison des quatre rôles est détaillée sur les quatre rôles, et le piège de la marque propre.
Le cas de celui qui contribue du code
Une personne qui contribue du code à un projet dont elle n'a pas la responsabilité n'est ni intendant, ni fabricant de ce projet, et cela se déduit des définitions.
L'intendant de logiciels ouverts est nécessairement une personne morale (art. 3, point 14) : une personne physique ne peut pas l'être. Le fabricant est celui qui développe ou fait développer un produit et le commercialise sous son propre nom ou sa propre marque (art. 3, point 13) : un contributeur qui ne met rien sur le marché sous son nom ne remplit pas cette condition. La qualification suit les faits, pas la déclaration d'intention.
Le jour où vous vendez quelque chose, la qualification change
C'est l'avertissement utile, et il vaut pour beaucoup de projets ouverts français. Vendre du support, une version professionnelle ou une licence commerciale d'un logiciel que vous développez, c'est le commercialiser sous votre nom, donc entrer dans la définition du fabricant de l'article 3, point 13, avec l'ensemble des obligations de l'article 13.
Deux dispositions atténuent alors la charge, et elles sont propres au logiciel libre et ouvert.
- Un fabricant dont le produit répond aux critères de logiciel libre et ouvert et relève d'une catégorie de l'annexe III peut démontrer la conformité par les procédures de l'article 32, paragraphe 1, donc y compris par le contrôle interne, à condition de rendre publique la documentation technique de l'article 31 au moment de la mise sur le marché (art. 32, paragraphe 5). C'est une simplification réelle pour un produit de classe I.
- La Commission est habilitée à mettre en place par acte délégué des programmes volontaires d'attestation de sécurité pour les produits répondant aux critères de logiciel libre et ouvert (art. 25). Aucun acte délégué de ce type n'est adopté à ce jour.
Le champ d'application général, produit par produit, est traité sur la page qui est concerné, et à quel titre.
Questions fréquentes
Le CRA s'applique-t-il aux logiciels libres ?
Pas du seul fait qu'ils sont libres. Le règlement s'applique aux produits mis à disposition sur le marché, c'est-à-dire fournis pour être distribués ou utilisés sur le marché de l'Union dans le cadre d'une activité commerciale, à titre onéreux ou gratuit (art. 3, point 22). Un projet ouvert publié hors de toute activité commerciale n'est donc pas mis à disposition sur le marché. L'article 13, paragraphe 5 le confirme indirectement en visant les composants libres « qui n'ont pas été mis à disposition sur le marché dans le cadre d'une activité commerciale ».
Mon projet est gratuit : suis-je hors du champ ?
La gratuité seule ne suffit pas. La définition de la mise à disposition sur le marché retient l'activité commerciale « à titre onéreux ou gratuit » (art. 3, point 22), et celle du fabricant vise la commercialisation « à titre onéreux, monétisé ou gratuit » (art. 3, point 13). Le critère est donc le cadre dans lequel la fourniture intervient, pas le prix affiché.
Qui est intendant de logiciels ouverts, et qu'est-ce que cela implique ?
Une personne morale, autre que le fabricant, qui fournit un soutien systématique et continu au développement de produits libres destinés à des activités commerciales et qui assure leur viabilité (art. 3, point 14). Ses obligations sont énumérées à l'article 24 : une politique de cybersécurité documentée de manière vérifiable, la coopération avec les autorités de surveillance du marché, et le signalement dans les cas délimités par l'article 24, paragraphe 3. Les amendes administratives ne lui sont pas applicables (art. 64, paragraphe 10, point b)).
J'intègre des composants libres dans mon produit : qu'est-ce que cela change pour moi ?
Cela ne déplace pas votre rôle : vous restez fabricant du produit que vous vendez. L'article 13, paragraphe 5 vous impose une diligence raisonnable lors de l'intégration de composants obtenus auprès de tiers, y compris de composants libres n'ayant pas été mis à disposition sur le marché dans le cadre d'une activité commerciale. Et lorsque vous identifiez une vulnérabilité dans un tel composant, vous devez la signaler à la personne ou à l'entité qui en assure la maintenance, et partager avec elle le code ou la documentation du correctif que vous avez développé, dans un format lisible par machine s'il y a lieu (art. 13, paragraphe 6).
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.