Mise sur le marché au titre du règlement de l’UE sur la cyberrésilience

Notions relatives au marché

« mise sur le marché », la première mise à disposition d’un produit comportant des éléments numériques sur le marché de l’Union ;

Règlement (UE) 2024/2847, article 3, point 21

« mise à disposition sur le marché », toute fourniture d’un produit comportant des éléments numériques en vue de sa distribution ou de son utilisation sur le marché de l’Union dans le cadre d’une activité commerciale, à titre onéreux ou gratuit ;

Règlement (UE) 2024/2847, article 3, point 22

La mise sur le marché correspond à la première fourniture du produit sur le marché de l’Union. La mise à disposition sur le marché a une portée plus large. Elle couvre également les fournitures ultérieures à des fins de distribution ou d’utilisation, après la première fourniture.

Le prix n’est pas déterminant. Un produit gratuit peut tout de même être mis à disposition sur le marché si sa fourniture s’inscrit dans le cadre d’une activité commerciale. La situation est différente pour un produit fabriqué uniquement pour l’usage propre du fabricant : sa seule existence ne signifie pas qu’il a été mis sur le marché.

Date propre à chaque produit

Comme pour la notion de « mise à disposition », celle de « mise sur le marché » se rapporte à chaque produit individuel et non à un type de produit, qu’il ait été fabriqué à l’unité ou en série. Par conséquent, la mise sur le marché de l’Union ne peut avoir lieu qu’une seule fois pour chaque produit individuel dans l’ensemble de l’UE et n’intervient pas dans chaque État membre. Même si un modèle ou un type de produit a été fourni avant l’entrée en vigueur d’une nouvelle législation d’harmonisation de l’Union fixant de nouvelles exigences obligatoires, les exemplaires individuels du même modèle ou type mis sur le marché après que ces nouvelles exigences sont devenues applicables doivent les respecter.

Guide bleu 2022, section 2.3

La FAQ de la Commission applique ce principe au CRA. La mise sur le marché antérieure d’un type de produit ne couvre pas tous les exemplaires ultérieurs de ce type. La date de mise sur le marché doit être déterminée pour chaque produit individuel.

Ce point est important pour les stocks et les importations répétées. Si un lot de routeurs a été mis sur le marché avant le 11 décembre 2027, ces appareils ne relèvent pas du régime complet du CRA simplement parce qu’ils parviennent aux utilisateurs finaux plus tard. Un lot ultérieur du même modèle, mis sur le marché de l’Union le 11 décembre 2027 ou après cette date, relève d’une situation différente.

Produits mis sur le marché avant le 11 décembre 2027

Les produits comportant des éléments numériques qui ont été mis sur le marché avant le 11 décembre 2027 ne sont soumis aux exigences prévues par le présent règlement qu’à partir de cette date si ces produits font l’objet d’une modification substantielle.

Règlement (UE) 2024/2847, article 69, paragraphe 2

Par dérogation au paragraphe 2 du présent article, les obligations prévues à l’article 14 s’appliquent à tous les produits comportant des éléments numériques relevant du champ d’application du présent règlement qui ont été mis sur le marché avant le 11 décembre 2027.

Règlement (UE) 2024/2847, article 69, paragraphe 3

La règle transitoire exonère des exigences complètes du CRA les produits déjà mis sur le marché avant le 11 décembre 2027, sauf s’ils font l’objet d’une modification substantielle à partir de cette date. Elle ne s’applique pas aux nouveaux exemplaires mis sur le marché ultérieurement.

L’obligation de signalement prévue à l’article 14 est distincte. Elle commence plus tôt et s’applique également aux produits relevant du champ d’application qui ont été mis sur le marché avant le 11 décembre 2027.

Dates de mise sur le marché des versions logicielles

Les orientations de la Commission de juillet 2026 considèrent qu’un logiciel autonome est mis sur le marché lorsque sa phase de fabrication est achevée et qu’il est fourni pour la première fois, dans le cadre d’une activité commerciale, en vue de sa distribution ou de son utilisation sur le marché de l’UE. Les copies d’un même logiciel partagent cette date. À cette fin, les variantes comportant des composants, des configurations ou des fonctions activées différents sont considérées comme des produits distincts.

Les téléchargements ultérieurs de cette même version constituent normalement une mise à disposition ultérieure du même produit logiciel. Une version ultérieure reçoit une nouvelle date de mise sur le marché lorsqu’elle constitue une modification substantielle.

Cette interprétation concerne les logiciels autonomes fournis par voie numérique. Si le logiciel est fourni sur un support physique, le produit physique reste pertinent. Si un logiciel est nécessaire au fonctionnement d’un produit matériel, le matériel et le logiciel peuvent constituer un seul produit, même si le logiciel est téléchargé ultérieurement.

Modification substantielle

« modification substantielle », toute modification apportée au produit comportant des éléments numériques après sa mise sur le marché qui affecte la conformité du produit comportant des éléments numériques aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, ou qui entraîne une modification de la destination pour laquelle le produit comportant des éléments numériques a été évalué ;

Règlement (UE) 2024/2847, article 3, point 30

La définition prévoit deux cas. Une modification peut être substantielle si elle affecte la conformité aux exigences de cybersécurité applicables au produit énoncées à l’annexe I, partie I. Elle peut également l’être si elle change la destination pour laquelle le produit a été évalué.

Pour une modification postérieure à la mise sur le marché, appliquez la définition de la modification substantielle : la modification affecte-t-elle la conformité aux exigences essentielles de cybersécurité ou change-t-elle la destination pour laquelle le produit a été évalué ? Une réparation ou une mise à jour de sécurité doit être examinée au regard de ces critères.

• Une mise à jour de sécurité qui corrige une vulnérabilité sans modifier la destination ne constitue généralement pas une modification substantielle.
• Une mise à jour fonctionnelle qui change la finalité prévue du produit peut constituer une modification substantielle.
• Une fonctionnalité mineure peut être importante si elle ajoute une nouvelle interface, un flux de données, une dépendance externe ou un scénario d’attaque qui n’avait pas été pris en compte auparavant.
• Un produit mis sur le marché avant le 11 décembre 2027 relève pleinement du CRA à partir de cette date s’il fait l’objet d’une modification substantielle.

Responsabilité après une modification

L’article 21 assimile un importateur ou un distributeur au fabricant s’il met le produit sur le marché sous son propre nom ou sa propre marque, ou s’il apporte une modification substantielle à un produit déjà mis sur le marché.

L’article 22 applique la même logique plus largement. Une personne autre que le fabricant, l’importateur ou le distributeur peut être assimilée au fabricant si elle apporte une modification substantielle et met le produit modifié à disposition sur le marché.

Cas fréquents liés au calendrier