Qui est concerné par le Cyber Resilience Act ?

Le premier critère : est-ce un produit comportant des éléments numériques ?

Le CRA s'applique aux produits comportant des éléments numériques, notion définie à l'article 3, point 1 du règlement comme « un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément ». La catégorie est large : elle recouvre aussi bien du matériel que du logiciel.

Trois éléments de cette définition commandent la suite. Le matériel et le logiciel sont traités sur le même plan. Un composant mis sur le marché séparément est un produit à lui seul, même s'il est destiné à être intégré par un autre. Et les solutions de traitement de données à distance font partie du produit : l'article 3, point 2 les définit comme le traitement à distance dont le logiciel est conçu et développé par le fabricant ou sous la responsabilité de ce dernier, et dont l'absence empêcherait le produit d'exécuter une de ses fonctions.

Retenez qu'il n'y a ni seuil de taille, ni seuil de chiffre d'affaires, ni liste de secteurs éligibles. Le règlement ne demande pas qui vous êtes, il demande ce que fait l'objet que vous mettez sur le marché. Un logiciel vendu seul est un produit au sens du texte, au même titre qu'un boîtier.

Ce qui entre dans le champ, ce qui n'y entre pas

Les deux listes qui suivent illustrent l'application des deux premiers critères. Elles ne sont pas une nomenclature officielle : le règlement ne procède pas par liste d'exemples, et la qualification définitive dépend de la description technique précise du produit.

Relèvent du champ, dès lors que la condition de connexion est remplie

• un objet connecté vendu au grand public ou aux entreprises ;
• un équipement réseau ;
• un logiciel installé chez le client, quel que soit son mode de distribution ;
• un système d'exploitation, un micrologiciel, un pilote ;
• une bibliothèque ou un composant logiciel mis sur le marché pour être intégré par d'autres ;
• une application mobile ;
• le service en ligne développé par le fabricant, sans lequel son produit ne fonctionne plus.

Ne relèvent pas du champ du CRA

• un produit sans aucune connexion directe ni indirecte, et dont l'usage raisonnablement prévisible n'en comporte pas ;
• un service en ligne pur, qui ne fait fonctionner aucun produit vendu par ailleurs ;
• les catégories exclues par une réglementation sectorielle, détaillées plus bas.

Ces exemples ne sont nommés nulle part dans le règlement. Ils se rattachent à la combinaison de trois dispositions : l'article 3, point 1, qui range sous le même terme le matériel, le logiciel et le composant mis sur le marché séparément ; l'article 3, point 2, qui rattache au produit le traitement de données à distance conçu sous la responsabilité du fabricant et sans lequel le produit perd une de ses fonctions ; et l'article 2, paragraphe 1, qui pose la condition de connexion.

Le troisième critère : les exclusions sectorielles

Certaines catégories de produits sont expressément exclues du champ du CRA, parce qu'elles relèvent déjà d'un régime sectoriel qui traite la même matière. Sont concernés :

• les dispositifs médicaux et les dispositifs de diagnostic in vitro, par renvoi au règlement (UE) 2017/745 et au règlement (UE) 2017/746 (art. 2, paragraphe 2, points a) et b)) ;
• les véhicules, par renvoi au règlement (UE) 2019/2144 (art. 2, paragraphe 2, point c)) ;
• les produits certifiés conformément au règlement (UE) 2018/1139, en aviation civile (art. 2, paragraphe 3) ;
• les équipements qui relèvent de la directive 2014/90/UE, sur les équipements marins (art. 2, paragraphe 4) ;
• les produits développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense, ainsi que les produits spécifiquement conçus pour traiter des informations classifiées (art. 2, paragraphe 7) ;
• les pièces de rechange mises à disposition pour remplacer des composants identiques, fabriquées conformément aux mêmes spécifications que les composants qu'elles sont destinées à remplacer (art. 2, paragraphe 6).

À cette liste s'ajoute une porte que le règlement laisse ouverte sans la refermer lui-même : l'article 2, paragraphe 5 permet de limiter ou d'exclure l'application du CRA à des produits relevant d'autres règles de l'Union qui couvrent les mêmes risques, par acte délégué. Aucune limitation de ce type n'est acquise du seul fait du règlement.

Deux précautions. L'exclusion porte sur le produit, jamais sur l'entreprise : un fabricant de dispositifs médicaux qui vend aussi une passerelle connectée générique reste dans le champ pour cette passerelle. Et une exclusion se documente, parce que c'est elle qui justifiera l'absence de dossier le jour où la question sera posée.