Règlement (UE) 2024/2847 · Chapitre II
Article 24 : l'intendant de logiciels ouverts a des obligations allégées, sans amende
Fondation ou entreprise qui fait vivre un logiciel libre : trois obligations à partir du 11 décembre 2027, signalement dans deux cas, et aucune amende.
Ce que dit l’article
À partir du 11 décembre 2027, l'intendant de logiciels ouverts tiendra une politique de cybersécurité, coopérera avec les autorités et signalera dans deux cas.
Cet article du Cyber Resilience Act (CRA) lui réserve un régime allégé, sans amende administrative. Au 20 octobre 2026, aucune de ces obligations ne s'applique encore.
Une fondation héberge le code d'une bibliothèque libre, pilote ses versions et publie ses correctifs. Des entreprises l'intègrent dans les produits qu'elles vendent. La fondation, elle, ne vend rien : elle est probablement intendant de logiciels ouverts.
Le règlement ne la traite pas en fabricant. Il lui demande trois choses.
Une politique de cybersécurité
Écrite, et documentée de façon vérifiable. Elle traite de la documentation, du traitement et de la correction des failles, et du partage d'informations à leur sujet.
La coopération avec les autorités
À leur demande, pour réduire les risques posés par le logiciel. Sur demande motivée, vous leur remettez votre politique.
Le signalement, dans deux cas
Les failles activement exploitées, si vous participez au développement. Les incidents graves qui touchent l'infrastructure que vous fournissez aux développeurs.
La politique encourage aussi les développeurs du projet à signaler volontairement les failles qu'ils découvrent.
Les exigences essentielles, la documentation technique, la déclaration UE et le marquage CE ne le visent pas. Le règlement les attache au fabricant et ne les étend pas à l'intendant. Le marquage CE est réservé au fabricant : l'intendant ne l'appose pas.
Aucune amende administrative ne s'applique à l'intendant, quelle que soit la violation. Ses obligations demeurent pour autant : l'autorité de surveillance du marché peut lui demander des mesures correctives.
Le texte en détail : article 24, paragraphes 1 et 2, article 3, point 31, et considérant 19
Le paragraphe 1 impose une politique de cybersécurité que les intendants « documentent de manière vérifiable ». Elle favorise un produit sécurisé et un traitement efficace des vulnérabilités par ses développeurs.
Elle encourage leur signalement volontaire des vulnérabilités, prévu à l'article 15. Elle tient compte de la nature spécifique de l'intendant et de ses modalités juridiques et organisationnelles.
Elle comprend en particulier la documentation, le traitement et la correction des vulnérabilités. Elle promeut le partage d'informations sur ces vulnérabilités « au sein de la communauté des logiciels ouverts ».
Le paragraphe 2 impose de coopérer avec les autorités de surveillance du marché, « à leur demande ». Le but est d'atténuer les risques de cybersécurité posés par un logiciel libre.
Sur demande motivée d'une autorité, l'intendant lui fournit cette documentation dans une langue qu'elle comprend aisément, sur papier ou sous forme électronique.
Le marquage CE est celui par lequel « un fabricant » indique la conformité du produit (article 3, point 31). Le considérant 19 précise que les intendants ne devraient pas être autorisés à l'apposer.
À qui il s’applique
Cet article ne vise que l'intendant de logiciels ouverts, et la notion est étroite.
Quatre conditions doivent être réunies, projet par projet.
- Une personne morale Une fondation, une association ou une entreprise. Un développeur seul ne peut pas être intendant.
- Autre que le fabricant Vous ne mettez pas ce logiciel sur le marché. Vendre du support ou une licence fait de vous un fabricant.
- Un soutien systématique et continu Vous hébergez le code, pilotez le développement ou gérez les versions, et vous assurez la viabilité du logiciel.
- Un logiciel destiné à des activités commerciales Par exemple, conçu pour être intégré dans des produits vendus ou des services commerciaux.
Une contribution ponctuelle ne suffit pas, et un simple contributeur n'est ni intendant ni fabricant.
Une même entreprise peut tenir deux rôles. Elle publie une version communautaire qu'elle ne monétise pas, et vend une version professionnelle ? Pour la Commission, elle est intendant de la première et fabricant de la seconde.
Le signalement dépend de ce que vous faites pour le projet. La Commission distingue trois profils dans ses lignes directrices du 27 juillet 2026, qui ne sont pas contraignantes.
Un soutien non technique
Marque, règles de gouvernance, événements, collecte de dons. Aucun signalement obligatoire. Une faille exploitée dont vous apprenez l'existence se transmet aux mainteneurs.
politique et coopération
L'infrastructure du projet
Dépôts de code, gestion des versions, clés de signature. Vous signalez les incidents graves qui la touchent, et vous informez les utilisateurs.
incidents graves
Des développeurs sur le projet
Revue du code, publication des versions, correctifs. Vous signalez les failles activement exploitées dont vous avez connaissance.
failles exploitées
En dehors de ces cas, le signalement volontaire reste possible, et la Commission vous invite à l'envisager. Voyez l'article 14 commenté.
Le texte en détail : article 3, point 14, article 24, paragraphe 3, et lignes directrices de la Commission
L'intendant est « une personne morale, autre que le fabricant ». Il a pour objectif un soutien systématique et continu au développement de logiciels libres destinés à des activités commerciales. Il assure leur viabilité (article 3, point 14).
Le paragraphe 3 applique aux intendants l'article 14, paragraphe 1, sur les failles activement exploitées, « dès lors qu'ils participent au développement » des produits.
Il applique l'article 14, paragraphes 3 et 8, aux incidents graves. Ce sont ceux qui touchent « les réseaux et les systèmes d'information fournis par les intendants de logiciels ouverts » pour ce développement.
Le paragraphe 3 ne cite pas les paragraphes 2 et 4 de l'article 14, qui fixent les trois envois et leurs délais. Ni le règlement ni les lignes directrices ne disent s'ils s'imposent à l'intendant.
Les trois profils sont décrits aux points 79 à 82 des lignes directrices. Pour l'intendant qui fournit des développeurs, la Commission attend aussi l'information des utilisateurs (point 82).
Une même personne morale peut être intendant d'un logiciel et fabricant d'un autre (points 72 et 73). La version communautaire non monétisée relève de l'intendant, la version payante du fabricant (point 76).
Depuis quand
Ces obligations s'appliquent le 11 décembre 2027, signalement compris.
Le règlement est en vigueur depuis le 10 décembre 2024. Le signalement vise les fabricants depuis le 11 septembre 2026, mais pas encore les intendants.
- le règlement est en vigueur
- le signalement vise les fabricants
- ces obligations s'appliquent
Vous vendez du support, une version professionnelle ou une licence ? Vous êtes alors fabricant de ce que vous vendez. Le signalement vous vise déjà pour ces produits. Pour la Commission, vous l'êtes à partir de cette mise sur le marché, pas pour les versions que vous souteniez avant.
Les amendes du règlement ne s'appliquent qu'à partir du 11 décembre 2027. La sanction d'un manquement au signalement commis avant cette date n'est pas tranchée à ce jour. L'obligation de signaler, elle, court depuis le 11 septembre 2026.
L'absence d'amende de l'intendant est écrite dans le règlement, et elle couvre aussi le signalement. Un rectificatif publié le 2 juillet 2025 l'a précisé. Voyez les sanctions du CRA.
Le texte en détail : articles 52, 64 et 71, considérant 120 et rectificatif du 2 juillet 2025
L'article 71, paragraphe 2 n'avance que l'article 14 et le chapitre IV. L'article 24, qui étend une partie de l'article 14 aux intendants, s'applique donc le 11 décembre 2027.
L'article 64, paragraphe 10, point b) écarte les amendes administratives pour « toute violation du présent règlement par les intendants de logiciels ouverts ».
Le rectificatif du 2 juillet 2025 fait porter cette dérogation sur les paragraphes 2 à 9, au lieu de 3 à 9. Sans lui, elle n'aurait pas couvert le paragraphe 2, qui porte les amendes des articles 13 et 14.
Le considérant 120 ajoute que les États membres ne devraient imposer aux intendants « aucun autre type de sanction de nature pécuniaire ».
L'article 52, paragraphe 3 confie la surveillance des intendants aux autorités de surveillance du marché. L'autorité qui constate un manquement demande à l'intendant de prendre les mesures correctives appropriées.
Ce que vous devez faire
Vérifiez d'abord votre rôle, projet par projet, puis préparez vos trois obligations.
- Votre rôle, projet par projet Intendant, fabricant, ou ni l'un ni l'autre : la réponse change avec ce que vous vendez. Vérifiez-la avant votre première vente.
- Votre politique de cybersécurité Écrivez-la, et gardez l'historique daté de ses versions : elle doit être vérifiable.
- Votre réponse aux autorités Désignez qui répond, et rangez la politique et ses preuves au même endroit.
- Votre procédure de signalement Vous fournissez des développeurs ou l'infrastructure ? Désignez qui signale, et écrivez la procédure en une page.
Le signalement s'applique aux intendants à partir du 11 décembre 2027, et le préparer dès maintenant coûte peu. Préparez-vous à tenir les délais du fabricant : le texte ne dit pas s'ils vous visent.
En France, la loi qui ferait de l'Agence nationale des fréquences l'autorité de surveillance du marché n'est pas adoptée à ce jour. Voyez l'état du droit.
Vous intégrez un logiciel libre dans un produit que vous vendez ? Vous n'êtes pas intendant de ce logiciel : vous êtes fabricant de votre produit, tenu de vérifier avec soin ce que vous intégrez. Voyez le logiciel libre et le CRA.
Votre produit entre-t-il dans le CRA ? Faites le diagnostic, sans frais et sans compte.
Le texte officiel
Texte officiel de l’article 24
Article 24
Obligations des intendants de logiciels ouverts
1. Les intendants de logiciels ouverts mettent en place et documentent de manière vérifiable une politique de cybersécurité afin de favoriser le développement d’un produit comportant des éléments numériques sécurisé ainsi qu’un traitement efficace des vulnérabilités par les développeurs de ce produit. Cette politique encourage également le signalement volontaire des vulnérabilités, prévu à l’article 15, par les développeurs de ce produit et tient compte de la nature spécifique de l’intendant de logiciels ouverts et des modalités juridiques et organisationnelles auxquelles il est soumis. Cette politique comprend, en particulier, des aspects liés à la documentation, au traitement et à la correction des vulnérabilités, ainsi qu’à la promotion du partage d’informations sur les vulnérabilités découvertes au sein de la communauté des logiciels ouverts.
2. Les intendants de logiciels ouverts coopèrent avec les autorités de surveillance du marché, à leur demande, en vue d’atténuer les risques de cybersécurité posés par un produit comportant des éléments numériques qui répond aux critères de logiciel libre et ouvert.
Sur demande motivée d’une autorité de surveillance du marché, les intendants de logiciels ouverts fournissent à cette autorité, dans une langue aisément compréhensible par celle-ci, la documentation visée au paragraphe 1, sur support papier ou sous forme électronique.
3. Les obligations prévues à l’article 14, paragraphe 1, s’appliquent aux intendants de logiciels ouverts dès lors qu’ils participent au développement des produits comportant des éléments numériques. Les obligations prévues à l’article 14, paragraphes 3 et 8, s’appliquent aux intendants de logiciels ouverts dès lors que des incidents graves ayant des répercussions sur la sécurité des produits comportant des éléments numériques touchent les réseaux et les systèmes d’information fournis par les intendants de logiciels ouverts pour le développement de ces produits.
Source : règlement (UE) 2024/2847 du 23 octobre 2024, Journal officiel de l’Union européenne, série L, 20 novembre 2024, version française publiée sur EUR-Lex. Seule la publication au Journal officiel fait foi. Le texte sur EUR-Lex.
Questions fréquentes
Une fondation open source est-elle forcément intendant ?
Non. Elle doit soutenir de façon systématique et continue un logiciel libre destiné à des activités commerciales, et en assurer la viabilité (art. 3, point 14). Pour un projet qu'elle héberge sans le soutenir ainsi, elle peut n'avoir aucune obligation (lignes directrices de la Commission, point 78).
Un développeur bénévole peut-il être intendant ?
Non : l'intendant est toujours une personne morale (art. 3, point 14). Un contributeur qui propose du code à un projet dont il n'a pas la responsabilité n'est pas visé par le règlement (considérant 18).
L'intendant doit-il signaler en 24 heures ?
L'article 24, paragraphe 3 lui applique l'article 14, paragraphes 1, 3 et 8. Il ne cite pas les paragraphes 2 et 4, qui fixent les délais. Le texte ne tranche donc pas : préparez-vous à tenir ceux du fabricant, à partir du 11 décembre 2027.
Un intendant peut-il recevoir une amende ?
Non : aucune amende administrative ne s'applique à ses violations (art. 64, paragraphe 10, point b). Le rectificatif du 2 juillet 2025 précise que cela vaut aussi pour le signalement. Les États membres ne devraient pas non plus lui infliger d'autre sanction pécuniaire (considérant 120). L'autorité peut lui demander des mesures correctives (art. 52, paragraphe 3).
Nous commençons à vendre du support : qu'est-ce que cela change ?
Vous devenez fabricant de ce que vous mettez sur le marché, avec l'ensemble de ses obligations (art. 3, point 13). Pour la Commission, vous ne l'êtes pas pour les versions antérieures (lignes directrices, point 84).
Nous cessons de soutenir un projet : nos obligations s'arrêtent-elles ?
Vous pouvez ne plus répondre à la définition de l'intendant, et donc ne plus être tenu à ses obligations. La Commission vous encourage alors à annoncer clairement ce changement de statut (lignes directrices, point 83).
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.