# Article 13 : le fabricant conçoit, documente et suit son produit pendant des années

_Vérifié le 25 octobre 2026._

> EN BREF
> Le fabricant répond de la sécurité de son produit, de la conception à la fin du suivi, à partir du 11 décembre 2027.
> Tout repose sur une évaluation des risques écrite, que vous tenez à jour.
> La période d'assistance dure cinq ans au moins, sauf pour un produit fait pour servir moins longtemps.
> Le dossier de DATIVO en tire le rapport d'écarts, la documentation technique et le projet de déclaration UE.

## Ce que dit l’article

**À partir du 11 décembre 2027, le fabricant répond de la sécurité de son produit, de sa conception à la fin de son suivi.** Cet article du Cyber Resilience Act (CRA) réunit l'essentiel de ses obligations : c'est le cœur du règlement. Au 20 octobre 2026, seul le signalement des failles exploitées, prévu à part, s'applique déjà aux fabricants.

Prenez un fabricant de caméras connectées, ou un éditeur de logiciel installé chez ses clients. Avant la vente, il évalue les risques, conçoit le produit en conséquence et réunit ses preuves. Après la vente, il corrige les failles pendant des années, et il garde son dossier.

> CARTES
> Concevoir | Selon les exigences de sécurité du règlement, retenues par une évaluation des risques écrite.
> Maîtriser vos composants | Vérifier ce que vous intégrez, logiciel libre compris, et signaler leurs failles.
> Suivre dans la durée | Traiter les failles pendant la période d'assistance, garder chaque correctif disponible.
> Prouver avant de vendre | Documentation technique, évaluation, déclaration UE, marquage CE, puis dix ans d'archives.
> Informer l'utilisateur | Identification, coordonnées, point de contact, notice, date de fin du suivi.
> Réagir | Corriger un défaut, répondre aux autorités, prévenir avant de cesser votre activité.

**Tout part d'une évaluation des risques écrite, tenue à jour pendant toute la période d'assistance.** C'est l'étude de ce qui peut mal tourner avec votre produit, selon son usage et son environnement. Elle dit quelles exigences de sécurité s'appliquent, et comment. Une exigence écartée se justifie par écrit : voyez [les vingt et une exigences](/exigences-annexe-1/).

> DETAIL: Le texte en détail : article 13, paragraphes 1 à 4 et 7
> Les six familles des cartes sont un regroupement de DATIVO : l'article compte vingt-cinq paragraphes.
>
> Les paragraphes 1 et 2 exigent un produit conforme à l'annexe I, partie I, conçu d'après une évaluation des risques de cybersécurité.
>
> Le paragraphe 3 la veut documentée et mise à jour pendant la période d'assistance. Elle indique « si et, dans l'affirmative, de quelle manière » chaque exigence de l'annexe I, partie I, point 2 s'applique.
>
> Le paragraphe 4 la verse dans la documentation technique, avec une justification claire pour toute exigence non applicable. Le paragraphe 7 fait documenter les vulnérabilités connues et les informations venues de tiers.

**Vos composants restent votre affaire.** Vous intégrez une bibliothèque libre, un module acheté ou une puce d'un fournisseur ? Vous vérifiez qu'ils n'affaiblissent pas votre produit. Vous trouvez une faille chez l'un d'eux ? Vous la signalez à celui qui le maintient, vous la corrigez chez vous, et vous partagez le correctif que vous avez écrit.

La [nomenclature logicielle (SBOM)](/sbom/), c'est-à-dire la liste des composants de votre logiciel, vous dit ce que vous intégrez. Une autorité de surveillance du marché peut vous la demander, par une demande motivée.

> DETAIL: Le texte en détail : article 13, paragraphes 5, 6, 24 et 25, et considérant 34
> Le paragraphe 5 impose une diligence raisonnable sur les composants obtenus auprès de tiers, logiciels libres et ouverts compris.
>
> Le considérant 34 cite le marquage CE du composant, l'historique de ses mises à jour, les bases de vulnérabilités ou des essais.
>
> Le paragraphe 6 fait signaler une vulnérabilité d'un composant intégré à qui en assure la maintenance. Le correctif est partagé, « dans un format lisible par machine s'il y a lieu ».
>
> Le paragraphe 24 permet à la Commission de fixer par actes d'exécution le format et les éléments de la nomenclature des logiciels.
>
> Le paragraphe 25 vise l'évaluation de la dépendance de l'Union que peut lancer le groupe de coopération administrative (ADCO). Les autorités peuvent alors demander les nomenclatures aux fabricants des catégories visées.

**La période d'assistance dure au moins cinq ans, sauf si le produit est fait pour servir moins longtemps.** Pendant ce temps, vous traitez les failles du produit, composants compris, et celles qu'on vous signale. Vous fixez sa durée d'après l'usage attendu du produit, et vous écrivez pourquoi. Chaque mise à jour de sécurité reste ensuite disponible au moins dix ans : voyez [la période d'assistance](/periode-assistance/).

> DETAIL: Le texte en détail : article 13, paragraphes 8 à 11, et article 52, paragraphe 16
> Le paragraphe 8 impose une gestion efficace des vulnérabilités pendant la période d'assistance, avec une politique de divulgation coordonnée (annexe I, partie II, point 5).
>
> Le fabricant fixe cette période d'après la durée d'utilisation attendue du produit et les attentes raisonnables des utilisateurs. Elle « est d'au moins cinq ans », sauf durée d'utilisation prévue plus courte.
>
> Les informations retenues figurent dans la documentation technique, et les autorités contrôlent l'application des critères (article 52, paragraphe 16). La Commission peut fixer des minimums par catégorie, par actes délégués.
>
> Le paragraphe 9 garde chaque mise à jour de sécurité disponible dix ans au moins après son émission. Si la période d'assistance restante est plus longue, elle l'emporte.
>
> Le paragraphe 10 permet de ne corriger que la dernière version d'un logiciel substantiellement modifié, si les utilisateurs y accèdent sans frais. Le paragraphe 11 autorise des archives publiques des anciennes versions.

**Avant la vente, vous réunissez vos preuves : documentation technique, évaluation de la conformité, déclaration UE et marquage CE.** Selon la classe du produit, vous évaluez seul ou un organisme notifié intervient. En classe I, l'intervention d'un organisme notifié s'impose en pratique. C'est le cas tant qu'aucune norme harmonisée n'est citée au Journal officiel et qu'aucun schéma de certification n'est désigné. Voyez [les classes de produits](/classes-de-produits/). La déclaration, complète ou simplifiée, accompagne le produit. Vous gardez ces pièces au moins dix ans. Voyez [la déclaration et le marquage](/declaration-ue-marquage-ce/).

> DETAIL: Le texte en détail : article 13, paragraphes 12 à 14 et 20
> Le paragraphe 12 fixe l'ordre : documentation technique (article 31), procédure d'évaluation (article 32), puis déclaration UE (article 28) et marquage CE (article 30).
>
> Le paragraphe 13 tient la documentation et la déclaration à la disposition des autorités. La durée est de dix ans au moins après la mise sur le marché, ou la période d'assistance si elle est plus longue.
>
> Le paragraphe 14 exige des procédures qui maintiennent la conformité d'une production en série, y compris quand une norme harmonisée change. Le paragraphe 20 joint au produit la déclaration, complète ou simplifiée.
>
> Au 20 octobre 2026, aucune norme harmonisée du règlement n'est citée au Journal officiel, et aucune spécification commune n'est adoptée. Aucun organisme notifié au titre du règlement n'est enregistré dans la base de la Commission.

**Votre client sait qui vous êtes, comment vous joindre et jusqu'à quand vous le suivez.** Le produit porte un numéro qui l'identifie, et vos coordonnées l'accompagnent. Un point de contact unique permet de vous joindre, et de vous signaler une faille. La notice accompagne le produit, et la date de fin du suivi est affichée à l'achat.

> DETAIL: Le texte en détail : article 13, paragraphes 15 à 19, et considérant 63
> Le paragraphe 15 porte l'identification sur le produit, ou à défaut sur l'emballage ou un document d'accompagnement. Le paragraphe 16 met les coordonnées sur l'un des trois.
>
> Le paragraphe 17 impose un point de contact unique dont les moyens ne se limitent pas « aux outils automatisés ». Le considérant 63 cite le téléphone, l'adresse électronique ou le formulaire de contact.
>
> Le paragraphe 18 joint au produit les informations et instructions de l'annexe II. Elles restent disponibles dix ans au moins, ou pendant la période d'assistance si elle est plus longue.
>
> Le paragraphe 19 fait préciser la date de fin de la période d'assistance à l'achat, « y compris au moins le mois et l'année ». Si c'est techniquement possible, une notification avertit l'utilisateur de cette fin.

**Un défaut se corrige aussi après la vente.** Votre produit ou vos processus ne sont pas conformes ? Vous corrigez sans attendre, ou vous retirez ou rappelez le produit. Une autorité de surveillance du marché vous demande vos preuves ? Vous les lui remettez, et vous coopérez. Vous cessez votre activité ? Vous prévenez l'autorité et, autant que possible, vos utilisateurs, avant la date d'effet.

> DETAIL: Le texte en détail : article 13, paragraphes 21 à 23
> Le paragraphe 21 impose des mesures correctives immédiates, jusqu'au retrait ou au rappel. Il court de la mise sur le marché à la fin de la période d'assistance.
>
> Le paragraphe 22 fait remettre à l'autorité, sur requête motivée, les documents qui démontrent la conformité. Le paragraphe 23 fait prévenir les autorités et les utilisateurs avant une cessation d'activité.

## À qui il s’applique

**Cet article vise le fabricant, quelle que soit sa taille.** Le fabricant développe ou fabrique le produit, ou le fait concevoir ou fabriquer. Il le commercialise ensuite sous son nom ou sa marque, contre paiement ou non.

Vous faites fabriquer un boîtier connecté par un sous-traitant, et vous le vendez sous votre marque ? Vous êtes son fabricant, même sans avoir écrit une ligne de code. Le produit peut être un logiciel ou un matériel, y compris un composant vendu séparément.

**D'autres acteurs croisent cet article, sans en porter tout le poids.**

> CARTES
> Importateur et distributeur | Fabricants s'ils vendent sous leur marque ou modifient substantiellement le produit. Sinon, ils vérifient une partie du travail du fabricant.
> Toute autre personne | Celle qui modifie substantiellement un produit et le met à disposition devient fabricant, pour la partie modifiée au moins.
> Mandataire | Il peut appliquer la procédure d'évaluation et établir la déclaration UE au nom du fabricant, qui en garde la responsabilité. La conception, le suivi des failles et la documentation technique lui échappent.
> Intendant de logiciels ouverts | Cette organisation soutient durablement un logiciel libre sans en être le fabricant. Elle suit un régime propre, plus léger.

Vous revendez des caméras connectées sous la marque de leur fabricant ? Cet article ne vous vise pas, mais vous vérifiez que le fabricant en a respecté une partie : voyez l'[importateur](/importateur/) et le [distributeur](/distributeur/).

> DETAIL: Le texte en détail : article 3, points 1 et 13, et articles 18 à 22 et 24
> Le produit est logiciel ou matériel, composant vendu séparément compris (article 3, point 1). Le fabricant le commercialise sous son nom ou sa marque, contre paiement ou non (point 13).
>
> Le mandat écrit exclut les paragraphes 1 à 11 et 14, et le premier alinéa du paragraphe 12, la documentation technique (article 18, paragraphe 2). Il peut donc couvrir la procédure d'évaluation et la déclaration UE, le fabricant en gardant la responsabilité.
>
> L'importateur s'assure du marquage CE, de la déclaration UE du paragraphe 20 et des informations de l'annexe II (article 19, paragraphe 2, point c). Puis du respect des paragraphes 15, 16 et 19 (point d). Le distributeur vérifie les paragraphes 15, 16, 18, 19 et 20 (article 20, paragraphe 2).
>
> Les articles 21 et 22 font fabricant celui qui vend sous sa marque ou modifie substantiellement le produit.
>
> L'intendant de logiciels ouverts relève de l'article 24 seul : politique de cybersécurité, coopération avec les autorités, part du signalement.

## Depuis quand

**Cet article s'applique à partir du 11 décembre 2027.** Le règlement est en vigueur depuis le 10 décembre 2024, mais le calendrier n'avance pas cet article. Au 20 octobre 2026, aucune de ses obligations n'est donc exigible.

**Le signalement des failles exploitées, lui, s'applique depuis le 11 septembre 2026.** Il relève d'un autre article, qui vise aussi les produits déjà vendus : voyez [le signalement des failles](/reglement/article-14/).

**Un produit mis sur le marché avant le 11 décembre 2027 n'est soumis aux exigences du règlement que s'il fait l'objet d'une modification substantielle.** Cette modification doit intervenir à compter de cette date, et les exigences comprennent la gestion des vulnérabilités de l'annexe I (article 69, paragraphe 2). Seule exception : le signalement de l'article 14, qui vise aussi les produits déjà sur le marché (article 69, paragraphe 3). Voyez [les produits déjà vendus](/reglement/article-69/).

Un manquement à cet article pourra coûter jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les amendes du règlement ne s'appliquent qu'à partir du 11 décembre 2027. La sanction d'un manquement au signalement commis avant cette date n'est pas tranchée à ce jour. L'obligation de signaler, elle, court depuis le 11 septembre 2026. Voyez [les sanctions](/sanctions/).

**Une phrase de cet article change le 26 mars 2027.** Le règlement sur l'espace européen des données de santé la réécrit, pour les seuls systèmes de dossier médical électronique. La note placée sous le texte officiel, plus bas, donne la nouvelle rédaction.

> DETAIL: Le texte en détail : articles 64, 69 et 71, et règlement (UE) 2025/327
> L'article 71, paragraphe 2 n'avance que l'article 14 et le chapitre IV, articles 35 à 51. L'article 69, paragraphe 2 règle le sort des produits déjà mis sur le marché.
>
> L'article 64, paragraphe 2 fixe le plafond de 15 millions d'euros ou 2,5 % pour l'annexe I et les articles 13 et 14. Il couvre l'obligation du paragraphe 12 : procédure, documentation, déclaration et marquage.
>
> L'article 28 et certains paragraphes des articles 30, 31 et 32 relèvent du paragraphe 3 : 10 millions d'euros ou 2 %.
>
> L'allègement des microentreprises et des petites entreprises ne porte que sur l'amende administrative de l'alerte précoce (article 64, paragraphe 10, point a, et considérant 120).
>
> Le règlement (UE) 2025/327, article 104, remplace le paragraphe 4 à partir du 26 mars 2027. Pour une intelligence artificielle à haut risque (article 12), l'évaluation des risques peut déjà s'intégrer à celle d'un autre acte.
>
> La nouvelle rédaction étend cette faculté aux systèmes de dossier médical électronique (article 32, paragraphe 5 bis).

## Ce que vous devez faire

**Commencez par l'évaluation des risques : le reste du travail en découle.** Ces obligations attendent le 11 décembre 2027, mais elles se préparent pendant la conception du produit. Une évaluation des risques écrite après coup ne guide plus rien.

> CONTROLE
> Votre rôle, produit par produit | Vous êtes fabricant si le produit sort sous votre nom ou votre marque, même fabriqué par un tiers. Voyez [les quatre rôles](/les-quatre-roles/).
> L'évaluation des risques | Écrite, elle dit quelles exigences s'appliquent, comment, et pourquoi vous écartez les autres.
> Vos composants | Listez-les, vérifiez-les avant de les intégrer, et sachez qui prévenir en cas de faille.
> La période d'assistance | Fixez sa durée, écrivez ce qui la justifie, et prévoyez son affichage à l'achat.
> Votre point de contact | Une adresse pour recevoir les failles signalées, et une politique écrite pour les traiter.
> Vos archives | Dix ans au moins après la mise sur le marché, ou toute la période d'assistance si elle dure plus.

Pour un produit que vous vendrez après le 11 décembre 2027, [le dossier](/le-dossier/) part de votre produit tel qu'il est. Il en tire le rapport d'écarts, la documentation technique et le projet de déclaration UE de conformité.

Dans l’outil : Votre évaluation des risques vit dans l'outil, et elle décide quelles exigences s'appliquent à votre produit. (Capture d’écran « Analyse de risque », sur le compte de démonstration.)

Votre produit entre-t-il dans le CRA ? [Faites le diagnostic](/diagnostic/), sans frais et sans compte.

## Questions fréquentes

### Quelles sont les obligations du fabricant dans le CRA ?
Concevoir le produit d'après une évaluation des risques écrite (art. 13, paragraphes 1 à 4). Gérer ses vulnérabilités pendant la période d'assistance (paragraphe 8). Établir la documentation, suivre la procédure d'évaluation, signer la déclaration UE, apposer le marquage CE (paragraphe 12). Informer l'utilisateur et coopérer avec les autorités (paragraphes 15 à 23).

### Combien de temps garder la documentation technique ?
Au moins dix ans après la mise sur le marché, ou pendant la période d'assistance si elle est plus longue (art. 13, paragraphe 13). La déclaration UE de conformité et la notice suivent la même règle (paragraphes 13 et 18).

### Dois-je corriger toutes les versions de mon logiciel ?
Non, pas forcément. Si vos versions successives sont substantiellement modifiées, vous pouvez ne corriger que la dernière (art. 13, paragraphe 10). Condition : vos utilisateurs y accèdent sans frais, et sans coût pour adapter leur matériel ou leurs logiciels.

### Que faire d'une faille trouvée dans un composant open source ?
Vous la signalez à qui maintient le composant, et vous la corrigez dans votre produit (art. 13, paragraphe 6). Une faille activement exploitée contenue dans votre produit se signale en plus, au titre de [l'article 14](/reglement/article-14/).

### Une petite entreprise est-elle dispensée de l'article 13 ?
Non : l'article ne prévoit aucun seuil de taille. Les microentreprises et les petites entreprises peuvent fournir leur documentation technique dans un format simplifié (art. 33, paragraphe 5). La Commission doit en fixer le formulaire par un acte d'exécution ; à ce jour, aucun n'a été publié.

### Que se passe-t-il si mon entreprise cesse son activité ?
Avant la date d'effet, vous informez les autorités de surveillance du marché et, dans la mesure du possible, vos utilisateurs (art. 13, paragraphe 23). En France, la loi qui ferait de l'Agence nationale des fréquences (ANFR) l'autorité de surveillance n'est pas adoptée à ce jour : voyez [l'état du droit](/etat-du-droit/).

## Sources
- Règlement (UE) 2024/2847, texte authentique au Journal officiel : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32024R2847
- Rectificatif du 2 juillet 2025 au règlement (UE) 2024/2847, articles 64 et 69 : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202590555
- Règlement (UE) 2025/327, article 104, modification du règlement (UE) 2024/2847 : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202500327
- Commission européenne, normalisation du CRA, état des normes harmonisées (en anglais) : https://digital-strategy.ec.europa.eu/en/policies/cra-standardisation
- Commission européenne, base NANDO des organismes notifiés : https://webgate.ec.europa.eu/single-market-compliance-space/#/notified-bodies


## Le texte officiel

### Notes sur le texte français

1. Modification applicable le 26 mars 2027 : Règlement (UE) 2025/327, article 104 (JO L, 2025/327) : Paragraphe 4, remplacé : « 4. Lorsqu’il met sur le marché un produit comportant des éléments numériques, le fabricant inclut l’évaluation des risques de cybersécurité visée au paragraphe 3 du présent article dans la documentation technique requise conformément à l’article 31 et à l’annexe VII. Pour les produits comportant des éléments numériques mentionnés à l’article 12 et à l’article 32, paragraphe 5 bis, qui relèvent aussi d’autres actes juridiques de l’Union, l’évaluation des risques de cybersécurité peut faire partie de l’évaluation des risques prévue par ces actes juridiques de l’Union. Lorsque certaines exigences essentielles en matière de cybersécurité ne sont pas applicables au produit comportant des éléments numériques, le fabricant fait figurer une justification claire dans cette documentation technique. » (https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202500327)

### Article 13 : Obligations incombant aux fabricants

1\. Lorsqu’ils mettent sur le marché un produit comportant des éléments numériques, les fabricants s’assurent que ce produit a été conçu, développé et fabriqué conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I.

2\. Aux fins du respect du paragraphe 1, les fabricants procèdent à une évaluation des risques de cybersécurité associés à un produit comportant des éléments numériques et tiennent compte des résultats de cette évaluation au cours des phases de planification, de conception, de développement, de production, de livraison et de maintenance du produit comportant des éléments numériques, en vue de réduire au minimum les risques de cybersécurité, de prévenir les incidents et d’en réduire au minimum leurs répercussions, y compris en ce qui concerne la santé et la sécurité des utilisateurs.

3\. L’évaluation des risques de cybersécurité est documentée et mise à jour selon les besoins au cours d’une période d’assistance à déterminer conformément au paragraphe 8 du présent article. Cette évaluation des risques de cybersécurité comprend au moins une analyse des risques de cybersécurité fondée sur l’utilisation prévue et l’utilisation raisonnablement prévisible, ainsi que sur les conditions d’utilisation du produit comportant des éléments numériques, tels que l’environnement opérationnel ou les actifs à protéger, compte tenu de la durée prévue d’utilisation du produit. L’évaluation des risques de cybersécurité indique si et, dans l’affirmative, de quelle manière, les exigences de sécurité énoncées à l’annexe I, partie I, point 2), sont applicables au produit comportant des éléments numériques concerné et comment ces exigences sont mises en œuvre sur la base de l’évaluation du risque de cybersécurité. Elle indique également de quelle manière le fabricant doit appliquer l’annexe I, partie I, point 1), ainsi que les exigences relatives à la gestion des vulnérabilités énoncées à l’annexe I, partie II.

4\. Lorsqu’il met sur le marché un produit comportant des éléments numériques, le fabricant inclut l’évaluation des risques de cybersécurité visée au paragraphe 3 du présent article dans la documentation technique requise conformément à l’article 31 et à l’annexe VII. Pour les produits comportant des éléments numériques mentionnés à l’article 12, qui relèvent aussi d’autres actes juridiques de l’Union, l’évaluation des risques de cybersécurité peut faire partie de l’évaluation des risques prévue par ces actes juridiques de l’Union. Lorsque certaines exigences essentielles de cybersécurité ne sont pas applicables au produit comportant des éléments numériques, le fabricant fait figurer une justification claire dans cette documentation technique.

5\. Aux fins du respect de l’obligation énoncée au paragraphe 1, les fabricants font preuve de diligence raisonnable lorsqu’ils intègrent dans des produits comportant des éléments numériques des composants obtenus auprès de tiers, de sorte que ces composants ne compromettent pas la cybersécurité du produit comportant des éléments numériques, y compris lors de l’intégration de composants de logiciels libres et ouverts qui n’ont pas été mis à disposition sur le marché dans le cadre d’une activité commerciale.

6\. Lorsqu’ils identifient une vulnérabilité dans un composant, y compris un composant logiciel ouvert, qui est intégré au produit comportant des éléments numériques, les fabricants signalent la vulnérabilité à la personne ou à l’entité qui assure la maintenance du composant, et s’attaquent et remédient à la vulnérabilité conformément aux exigences relatives à la gestion des vulnérabilités énoncées à l’annexe I, partie II. Lorsque les fabricants ont mis au point une modification logicielle ou matérielle pour remédier à la vulnérabilité de ce composant, ils partagent le code ou la documentation correspondants avec la personne ou l’entité qui fabrique le composant ou en assure la maintenance, dans un format lisible par machine s’il y a lieu.

7\. Les fabricants documentent systématiquement, d’une manière proportionnée à la nature et à l’ampleur des risques de cybersécurité, les aspects pertinents pour la cybersécurité concernant le produit comportant des éléments numériques, y compris les vulnérabilités dont ils prennent connaissance et toute information pertinente fournie par des tiers, et, le cas échéant, mettent à jour l’évaluation des risques de cybersécurité du produit.

8\. Lorsqu’ils mettent sur le marché un produit comportant des éléments numériques, et pendant la période d’assistance, les fabricants veillent à ce que les vulnérabilités de ce produit, y compris de ses composants, soient gérées efficacement et conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.

Les fabricants fixent la période d’assistance de sorte qu’elle reflète la durée pendant laquelle le produit est censé pouvoir être utilisé, en tenant compte, en particulier, des attentes raisonnables des utilisateurs, de la nature du produit, y compris de son utilisation prévue, ainsi que du droit de l’Union applicable déterminant la durée de vie des produits comportant des éléments numériques. Lorsqu’ils déterminent la période d’assistance, les fabricants peuvent également tenir compte des périodes d’assistance des produits comportant des éléments numériques offrant une fonctionnalité similaire mis sur le marché par d’autres fabricants, de la disponibilité de l’environnement opérationnel, des périodes d’assistance des composants intégrés qui assurent des fonctions essentielles et proviennent de tiers, ainsi que des orientations pertinentes fournies par le groupe de coopération administrative (ADCO) institué en vertu de l’article 52, paragraphe 15, et par la Commission. Les éléments à prendre en compte pour définir la période d’assistance sont pris en compte de manière à garantir la proportionnalité.

Sans préjudice du deuxième alinéa, la période d’assistance est d’au moins cinq ans. Lorsque le produit comportant des éléments numériques est censé pouvoir être utilisé pendant moins de cinq ans, la période d’assistance correspond à la durée d’utilisation prévue.

Compte tenu des recommandations ADCO visées à l’article 52, paragraphe 16, la Commission peut adopter des actes délégués conformément à l’article 61 afin de compléter le présent règlement en précisant la période d’assistance minimale pour des catégories de produits spécifiques lorsque les données de surveillance du marché indiquent que les périodes d’assistance fixées sont insuffisantes.

Les fabricants font figurer dans la documentation technique visée à l’annexe VII les informations qui ont été prises en compte pour déterminer la période d’assistance du produit comportant des éléments numériques.

Les fabricants disposent de politiques et de procédures appropriées, notamment les politiques de divulgation coordonnée des vulnérabilités mentionnées à l’annexe I, partie II, point 5), pour traiter et corriger les vulnérabilités potentielles du produit comportant des éléments numériques signalées par des sources internes ou externes.

9\. Les fabricants veillent à ce que chaque mise à jour de sécurité, visée à l’annexe I, partie II, point 8), qui a été mise à la disposition des utilisateurs au cours de la période d’assistance, reste disponible après son émission pendant dix ans au minimum ou pendant le reste de la période d’assistance, la période la plus longue étant retenue.

10\. Lorsqu’un fabricant met sur le marché des versions ultérieures substantiellement modifiées d’un logiciel, il peut garantir la conformité avec l’exigence essentielle de cybersécurité énoncée à l’annexe I, partie II, point 2), uniquement pour la dernière version mise sur le marché, à condition que les utilisateurs des versions précédemment mises sur le marché aient accès gratuitement aux dernières versions mises sur le marché et ne doivent pas supporter des coûts supplémentaires pour adapter l’environnement matériel et logiciel dans lequel ils utilisent la version originale de ce produit.

11\. Les fabricants peuvent conserver des archives logicielles publiques améliorant l’accès des utilisateurs aux versions antérieures. Dans ces cas, les utilisateurs sont clairement informés, d’une manière aisément accessible, des risques associés à l’utilisation de logiciels non pris en charge.

12\. Avant de mettre sur le marché un produit comportant des éléments numériques, les fabricants établissent la documentation technique visée à l’article 31.

Ils appliquent ou font appliquer les procédures d’évaluation de la conformité choisies visées à l’article 32.

Lorsqu’il a été démontré, au moyen de cette procédure d’évaluation de la conformité, que le produit comportant des éléments numériques est conforme aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et que les processus mis en place par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II, les fabricants établissent la déclaration UE de conformité conformément à l’article 28 et appose le marquage CE conformément à l’article 30.

13\. Les fabricants tiennent la documentation technique et la déclaration UE de conformité à la disposition des autorités de surveillance du marché pendant une durée d’au moins dix ans après la mise sur le marché du produit comportant des éléments numériques ou pendant la période d’assistance, la période la plus longue étant retenue.

14\. Les fabricants veillent à ce que des procédures soient en place pour que la conformité avec le présent règlement des produits comportant des éléments numériques produits en série reste assurée. Les fabricants tiennent dûment compte des modifications du processus de développement et de production ou de la conception ou des caractéristiques du produit comportant des éléments numériques, ainsi que des modifications des normes harmonisées, des schémas européens de certification de cybersécurité ou des spécifications techniques visées à l’article 27 au regard desquelles la conformité du produit comportant des éléments numériques est déclarée ou en application desquelles sa conformité est vérifiée.

15\. Les fabricants veillent à ce que leurs produits comportant des éléments numériques portent un numéro de type, de lot ou de série ou tout autre élément permettant leur identification ou, lorsque cela n’est pas possible, à ce que cette information soit fournie sur l’emballage ou dans un document accompagnant le produit comportant des éléments numériques.

16\. Le fabricant indique son nom, sa raison sociale ou sa marque déposée et ses adresses postale, électronique ou autre moyen numérique, ainsi que, le cas échéant, l’adresse du site internet, auxquelles il peut être contacté sur le produit comportant des éléments numériques, sur son emballage ou dans un document l’accompagnant. Ces informations figurent également dans les informations et instructions destinées à l’utilisateur énoncées à l’annexe II. Les coordonnées sont indiquées dans une langue aisément compréhensible par les utilisateurs et les autorités de surveillance du marché.

17\. Aux fins du présent règlement, les fabricants désignent un point de contact unique pour permettre aux utilisateurs de communiquer directement et rapidement avec lui, y compris afin de faciliter le signalement des vulnérabilités des produits comportant des éléments numériques.

Les fabricants veillent à ce que le point de contact unique soit facilement identifiable par les utilisateurs. Ils font également figurer le point de contact unique dans les informations et instructions destinées à l’utilisateur énoncées à l’annexe II.

Le point de contact unique permet aux utilisateurs de choisir leurs moyens de communication préférés, ces moyens n’étant pas limités aux outils automatisés.

18\. Les fabricants veillent à ce que les produits comportant des éléments numériques soient accompagnés des informations et des instructions destinées à l’utilisateur énoncées à l’annexe II, sous forme papier ou électronique. Ces informations et instructions sont fournies dans une langue aisément compréhensible par les utilisateurs et les autorités de surveillance du marché. Elles sont claires, compréhensibles, intelligibles et lisibles. Elles permettent une installation, un fonctionnement et une utilisation sécurisés des produits comportant des éléments numériques. Les fabricants tiennent les informations et instructions destinées à l’utilisateur énoncées à l’annexe II à la disposition des utilisateurs et des autorités de surveillance du marché pendant une durée d’au moins dix ans après la mise sur le marché du produit comportant des éléments numériques ou pendant la période d’assistance, la période la plus longue étant retenue. Lorsque ces informations et instructions sont fournies en ligne, les fabricants veillent à ce qu’elles soient accessibles, faciles d’utilisation et disponibles en ligne pendant une durée d’au moins dix ans après la mise sur le marché du produit comportant des éléments numériques ou pendant la période d’assistance, la période la plus longue étant retenue.

19\. Les fabricants veillent à ce que la date de fin de la période d’assistance visée au paragraphe 8, y compris au moins le mois et l’année, soit précisée au moment de l’achat, d’une manière claire, compréhensible et aisément accessible et, le cas échéant, sur le produit comportant des éléments numériques, son emballage ou par des moyens numériques.

Lorsque cela est techniquement possible compte tenu de la nature du produit comportant des éléments numériques, les fabricants prévoient l’affichage d’une notification aux utilisateurs les informant que leur produit comportant des éléments numériques a atteint la fin de sa période d’assistance.

20\. Les fabricants fournissent soit une copie de la déclaration UE de conformité, soit une déclaration UE de conformité simplifiée avec le produit comportant des éléments numériques. Dans le cas où une déclaration UE de conformité simplifiée est jointe, celle-ci contient l’adresse internet exacte à laquelle le texte complet de la déclaration UE de conformité est accessible.

21\. Dès la mise sur le marché et pendant la période d’assistance, les fabricants qui considèrent ou ont des raisons de croire que le produit comportant des éléments numériques ou les processus mis en place par le fabricant ne sont pas conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I prennent immédiatement les mesures correctives nécessaires pour mettre ce produit comportant des éléments numériques ou les processus du fabricant en conformité, ou pour procéder à leur retrait ou à leur rappel, selon le cas.

22\. Sur requête motivée d’une autorité de surveillance du marché, les fabricants communiquent à cette dernière, dans une langue aisément compréhensible par cette autorité, toutes les informations et tous les documents, sur support papier ou par voie électronique, nécessaires pour démontrer la conformité du produit comportant des éléments numériques et des processus mis en place par le fabricant aux exigences essentielles de cybersécurité énoncées à l’annexe I. Les fabricants coopèrent avec ladite autorité, à la demande de cette dernière, concernant toute mesure prise pour éliminer les risques de cybersécurité présentés par le produit comportant des éléments numériques qu’ils ont mis sur le marché.

23\. Un fabricant qui cesse ses activités et qui, de ce fait, n’est pas en mesure de se conformer au présent règlement informe, avant que cette cessation ne prenne effet, les autorités de surveillance du marché concernées, ainsi que, par tout moyen disponible et dans la mesure du possible, les utilisateurs des produits comportant des éléments numériques mis sur le marché concernés de la cessation imminente de ses activités.

24\. La Commission peut, par voie d’actes d’exécution tenant compte des normes et bonnes pratiques européennes et internationales, préciser le format et les éléments de la nomenclature des logiciels visée à l’annexe I, partie II, point 1). Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 62, paragraphe 2.

25\. Afin d’évaluer la dépendance des États membres et de l’Union dans son ensemble à l’égard des composants logiciels, et en particulier des composants qui répondent aux critères de logiciels libres et ouverts, l’ADCO peut décider de procéder à une évaluation de la dépendance à l’échelle de l’Union pour des catégories spécifiques de produits comportant des éléments numériques. À cette fin, les autorités de surveillance du marché peuvent demander aux fabricants de ces catégories de produits comportant des éléments numériques de fournir les nomenclatures des logiciels pertinentes du matériel visées à l’annexe I, partie II, point 1). Sur la base de ces informations, les autorités de surveillance du marché peuvent fournir à l’ADCO des informations anonymisées et agrégées sur les dépendances logicielles. L’ADCO soumet un rapport sur les résultats de l’évaluation de la dépendance au groupe de coopération institué en vertu de l’article 14 de la directive (UE) 2022/2555.

Source : règlement (UE) 2024/2847 du 23 octobre 2024, Journal officiel de l’Union européenne, série L, 20 novembre 2024, version française publiée sur EUR-Lex. Seule la publication au Journal officiel fait foi. https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32024R2847#art_13