LOGICIELS LIBRES ET OUVERTS
Un logiciel libre entre dans le CRA quand il sert une activité commerciale
Une licence libre ne fait pas entrer un projet dans le CRA, la gratuité ne l'en sort pas : le critère est l'activité commerciale. Et le régime des intendants.
Le règlement n'exempte pas le logiciel libre en tant que tel : tout dépend du cadre dans lequel vous le fournissez.
Le CRA distingue trois situations :
- vous publiez un projet hors de toute activité commerciale ;
- vous mettez un produit libre sur le marché, comme fabricant ;
- vous soutenez durablement un projet sans le vendre : le texte vous appelle alors intendant de logiciels ouverts.
Le texte en détail : article 3, point 48
Le règlement emploie les termes « logiciel libre et ouvert » et « intendant de logiciels ouverts », là où l'usage courant dit logiciel libre ou open source.
Il définit le logiciel libre et ouvert comme un logiciel dont le code source est partagé de manière ouverte et qui est mis à disposition sous licence libre et ouverte prévoyant tous les droits pour qu'il soit librement accessible, utilisable, modifiable et redistribuable (article 3, point 48).
Cette définition ne dit rien du modèle économique ni de la gouvernance du projet.
Fournissez-vous le logiciel dans le cadre d'une activité commerciale, payante ou non ?
Développez-vous le produit, ou le faites-vous développer, et le commercialisez-vous sous votre nom ou votre marque ?
OuiFabricant, avec l'ensemble des obligations du fabricantNonquestion 4
Êtes-vous une structure qui soutient de façon systématique et continue des logiciels libres destinés à des activités commerciales ?
OuiIntendant de logiciels ouverts : trois obligations, et pas d'amende administrativeNonHors mise à disposition sur le marché, donc hors champ
Êtes-vous une structure qui soutient de façon systématique et continue des logiciels libres destinés à des activités commerciales ?
OuiIntendant de logiciels ouverts : trois obligations, et pas d'amende administrativeNonNi intendant, ni fabricant de ce projet
Hors mise à disposition sur le marché, donc hors champ
Fabricant, avec l'ensemble des obligations du fabricant
Intendant de logiciels ouverts : trois obligations, et pas d'amende administrative
Ni intendant, ni fabricant de ce projet
Votre cas précis se situe en deux minutes. Le diagnostic pose treize questions au maximum, sans frais et sans création de compte : commencer le diagnostic.
Article 3, points 13 et 22
Le critère est l'activité commerciale, pas le prix
Un logiciel distribué sans rien faire payer peut donc être dans le champ, s'il est fourni dans le cadre d'une activité commerciale.
À l'inverse, une distribution hors de toute activité commerciale n'est pas une mise à disposition sur le marché, et reste hors champ.
La définition du fabricant suit la même logique. Vous développez un produit et le commercialisez sous votre nom ? Vous êtes fabricant, que vous le fassiez payer ou non.
Vous intégrez une bibliothèque libre publiée hors de toute activité commerciale ? Elle n'est pas soumise au règlement, et c'est vous, l'intégrateur, qui devez vérifier avec soin ce que vous intégrez. Le règlement appelle cela la diligence raisonnable.
Le texte en détail : article 3, points 13 et 22, article 13, paragraphe 5, article 26, paragraphe 2
Le règlement s'applique aux produits « mis à disposition sur le marché ». Il définit cette notion comme la fourniture d'un produit destiné à être distribué ou utilisé sur le marché de l'Union « dans le cadre d'une activité commerciale, à titre onéreux ou gratuit » (article 3, point 22).
Est fabricant celui qui développe ou fait développer un produit et le commercialise sous son propre nom ou sa propre marque, « à titre onéreux, monétisé ou gratuit » (article 3, point 13).
Le fabricant qui intègre des composants de tiers doit faire preuve de diligence raisonnable, « y compris lors de l'intégration de composants de logiciels libres et ouverts qui n'ont pas été mis à disposition sur le marché dans le cadre d'une activité commerciale » (article 13, paragraphe 5).
Cette précision n'aurait aucun sens si de tels composants étaient eux-mêmes soumis au règlement : elle confirme qu'ils ne le sont pas.
Le règlement reconnaît lui-même que cette frontière demande à être expliquée. L'article 26, paragraphe 2, point a) impose que les orientations de la Commission portent au moins sur le champ d'application, « en particulier les solutions de traitement de données à distance et les logiciels libres et ouverts ».
Article 24
L'intendant de logiciels ouverts a trois obligations, sans amende
Une fondation qui fait vivre un projet libre utilisé par des entreprises, sans le vendre, est probablement intendant de logiciels ouverts.
L'intendant est toujours une personne morale, comme une fondation ou une association, et il n'est pas le fabricant du produit.
Vous êtes intendant ? Vous avez trois obligations :
- Une politique de cybersécurité écrite Vous la mettez en place et vous la documentez de façon vérifiable. Elle traite notamment des failles : comment vous les documentez, les traitez et les corrigez.
- La coopération avec les autorités Vous coopérez avec les autorités de surveillance du marché à leur demande. Vous leur fournissez votre documentation sur demande motivée.
- Le signalement, dans des cas limités Vous signalez quand vous participez au développement des produits, ou quand un incident grave touche les systèmes que vous fournissez pour ce développement. Voir le signalement en 24 heures.
Aucune amende administrative ne s'applique à vous. Vos obligations demeurent pour autant, et une autorité de surveillance du marché peut vous imposer des mesures correctives.
Le reste pèse sur le fabricant : les exigences de sécurité, la documentation technique, la déclaration UE de conformité et le marquage CE. Le règlement ne les étend pas à l'intendant. Aucune phrase ne l'en exempte, c'est la conséquence de la répartition des obligations par rôle. Voir les quatre rôles, et le cas de la marque propre.
Le texte en détail : article 3, point 14, articles 24, 52 et 64
L'intendant de logiciels ouverts est une personne morale, autre que le fabricant, qui a pour objectif ou finalité de fournir un soutien systématique et continu au développement de produits spécifiques répondant aux critères de logiciels libres et ouverts et destinés à des activités commerciales, et qui assure la viabilité de ces produits (article 3, point 14).
Article 24, paragraphe 1 : l'intendant met en place et documente de manière vérifiable une politique de cybersécurité. Elle traite notamment de la documentation, du traitement et de la correction des vulnérabilités, encourage le signalement volontaire de l'article 15, et tient compte de la nature spécifique de l'intendant et de ses modalités juridiques et organisationnelles.
Article 24, paragraphe 2 : il coopère avec les autorités de surveillance du marché à leur demande, et leur fournit cette documentation sur demande motivée, dans une langue aisément compréhensible par elles.
Article 24, paragraphe 3 : les obligations de l'article 14, paragraphe 1 s'appliquent dès lors que l'intendant participe au développement des produits. Celles de l'article 14, paragraphes 3 et 8 s'appliquent lorsque des incidents graves touchent les réseaux et systèmes d'information qu'il fournit pour ce développement.
Par dérogation, les amendes administratives ne s'appliquent pas aux violations du règlement commises par les intendants de logiciels ouverts (article 64, paragraphe 10, point b)). Une autorité de surveillance du marché peut exiger des mesures correctives (article 52).
Les exigences essentielles de l'annexe I, la documentation technique, la déclaration UE de conformité et le marquage CE sont attachés au fabricant, par l'article 13 puis par les articles 28 à 32.
Article 3, points 13 et 14
Un contributeur n'est ni intendant, ni fabricant
Proposer un correctif à une bibliothèque qui n'est pas la vôtre ne fait de vous ni un intendant, ni un fabricant.
Cela se déduit des définitions.
L'intendant est forcément une personne morale, et le fabricant met un produit sur le marché sous son nom. Un contributeur qui ne met rien sur le marché sous son nom n'est donc ni l'un ni l'autre.
Articles 25 et 32
Vendre du support ou une licence fait de vous un fabricant
Vendre du support, une version professionnelle ou une licence commerciale, c'est commercialiser le logiciel sous votre nom, et donc devenir fabricant.
Vous portez alors l'ensemble de ses obligations, ce qui vaut pour beaucoup de projets ouverts français.
Deux règles propres au logiciel libre allègent cependant la charge :
- L'auto-évaluation reste ouverte Votre produit libre fait partie des produits importants ? Vous pouvez quand même démontrer sa conformité vous-même, sans organisme extérieur. Condition : rendre publique votre documentation technique dès la mise sur le marché. C'est une simplification réelle pour un produit de classe I.
- Une attestation volontaire, à venir La Commission peut créer des programmes volontaires d'attestation de sécurité pour les logiciels libres. Aucun n'est adopté à ce jour.
Une documentation technique publique montre aussi à vos utilisateurs le sérieux de votre projet. Le dossier vous la fait produire à partir de vos réponses, à 490 € HT par produit.
Le texte en détail : articles 25, 32 et 13
Vendre du support, une version professionnelle ou une licence commerciale d'un logiciel que vous développez, c'est entrer dans la définition du fabricant de l'article 3, point 13, avec l'ensemble des obligations de l'article 13.
Un fabricant dont le produit répond aux critères de logiciel libre et ouvert et relève d'une catégorie de l'annexe III peut démontrer la conformité par les procédures de l'article 32, paragraphe 1, donc y compris par le contrôle interne.
Condition : rendre publique la documentation technique de l'article 31 au moment de la mise sur le marché (article 32, paragraphe 5).
La Commission est habilitée à mettre en place par acte délégué des programmes volontaires d'attestation de sécurité pour les produits répondant aux critères de logiciel libre et ouvert (article 25). Aucun acte délégué de ce type n'est adopté à ce jour.
Vous monétisez votre projet, ou vous y pensez ? Vérifiez votre statut avant votre première vente. Le champ général, produit par produit, se lit sur qui est concerné, et à quel titre. Une question sur votre statut ? DATIVO vous répond sous deux jours ouvrés, par le formulaire de contact. Pour situer votre projet, faites le diagnostic.
Questions fréquentes
Le CRA s'applique-t-il aux logiciels libres ?
Non, pas du seul fait qu'ils sont libres. Le règlement vise les produits fournis dans le cadre d'une activité commerciale, à titre onéreux ou gratuit (art. 3, point 22). Un projet publié hors de toute activité commerciale n'est donc pas dans le champ. L'article 13, paragraphe 5 le confirme en visant les composants libres « qui n'ont pas été mis à disposition sur le marché dans le cadre d'une activité commerciale ».
Mon projet est gratuit : suis-je hors du champ ?
La gratuité seule ne suffit pas. La mise à disposition sur le marché couvre l'activité commerciale « à titre onéreux ou gratuit » (art. 3, point 22). La définition du fabricant vise la commercialisation « à titre onéreux, monétisé ou gratuit » (art. 3, point 13). Le critère est le cadre de la fourniture, pas le prix affiché.
Qui est intendant de logiciels ouverts, et qu'est-ce que cela implique ?
Une personne morale, autre que le fabricant, qui soutient de façon systématique et continue le développement de produits libres destinés à des activités commerciales, et assure leur viabilité (art. 3, point 14). Elle doit tenir une politique de cybersécurité documentée, coopérer avec les autorités de surveillance du marché et signaler dans les cas prévus (art. 24). Les amendes administratives ne lui sont pas applicables (art. 64, paragraphe 10, point b)).
J'intègre des composants libres dans mon produit : qu'est-ce que cela change pour moi ?
Vous restez fabricant du produit que vous vendez. Vous devez une diligence raisonnable lors de l'intégration de composants de tiers, y compris libres et fournis hors activité commerciale (art. 13, paragraphe 5). Vous trouvez une faille dans un tel composant ? Vous la signalez à qui en assure la maintenance, et vous partagez le code ou la documentation de votre correctif, dans un format lisible par machine s'il y a lieu (art. 13, paragraphe 6).
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.
Vous savez déjà que le règlement vous concerne ?
Déclarez vos produits dans votre espace. Le signalement des fabricants s’applique depuis le 11 septembre 2026 : l’espace calcule les échéances de chaque incident. L’accès est sans frais.