Rôles et obligations au titre du règlement de l’UE sur la cyberrésilience

Les rôles dépendent du produit

Le CRA utilise les rôles du droit des produits. Il n’attribue pas les obligations uniquement en fonction de la personne qui a écrit le code, possède le dépôt ou exploite un service. Il faut d’abord déterminer si un produit comportant des éléments numériques est mis à disposition sur le marché de l’Union, puis examiner ce que l’acteur fait avec ce produit.

Le CRA désigne le fabricant, le mandataire, l’importateur, le distributeur et certaines autres personnes obligées comme des opérateurs économiques. Ce terme est utile, car il rattache les rôles à l’activité sur le marché. Une personne qui contribue uniquement au code, héberge un dépôt ou fournit une assistance sans lien avec le produit n’assume pas pour autant tous les rôles prévus par le CRA.

Le fabricant est le rôle central

On entend par « fabricant » toute personne physique ou morale qui développe ou fabrique des produits comportant des éléments numériques, ou qui fait concevoir, développer ou fabriquer de tels produits, et qui les commercialise sous son nom ou sa marque, à titre onéreux, par monétisation ou gratuitement ;

Règlement (UE) 2024/2847, article 3, point 13

La définition comprend deux éléments. L’acteur doit être lié au développement ou à la fabrication du produit, directement ou par l’intermédiaire d’un tiers, et le commercialiser sous son propre nom ou sa propre marque. L’auteur initial du logiciel n’est pas toujours le fabricant. Le propriétaire d’une marque qui fait développer un produit pour lui peut être le fabricant s’il commercialise le produit comme le sien.

C’est pourquoi les principales obligations du CRA incombent au fabricant. Le CRA le considère comme responsable de la conception et du développement du produit, de la conformité, des informations destinées aux utilisateurs, de la période d’assistance, du traitement des vulnérabilités et des obligations de signalement prévues aux articles 13 et 14.

Importateurs et distributeurs dans la chaîne d’approvisionnement

Un importateur est établi dans l’Union et met sur le marché de l’Union un produit comportant des éléments numériques portant le nom ou la marque d’une personne établie hors de l’Union. Ce rôle existe parce qu’un fabricant non européen peut ne pas être directement soumis aux contrôles du marché de l’UE.

Un distributeur est un autre acteur de la chaîne d’approvisionnement, distinct du fabricant ou de l’importateur, qui met un produit à disposition sur le marché de l’Union sans en modifier les caractéristiques. Son rôle est plus restreint que celui du fabricant, car il n’a ni conçu ni développé le produit et ne le commercialise pas comme le sien.

Les importateurs et distributeurs vérifient les marquages de conformité ainsi que les informations relatives au fabricant et à l’importateur. Ils doivent également retenir un produit s’il existe des raisons de penser qu’il n’est pas conforme et coopérer avec les autorités de surveillance du marché.

Le mandataire agit en vertu d’un mandat

Un mandataire est établi dans l’Union et agit pour le fabricant uniquement parce que celui-ci lui a confié un mandat écrit. Le mandat doit préciser les tâches. La désignation d’un mandataire ne transfère pas le rôle de fabricant lui-même.

Cette distinction est importante dans la pratique. Le mandataire peut être le point de contact dans l’UE pour des tâches définies, telles que la remise de documents aux autorités de surveillance du marché ou la coopération à des mesures correctives. Les obligations fondamentales liées à la conception, au développement, à la production et au maintien de la conformité du produit restent celles du fabricant.

Deux concepts distincts liés à l’open source

Les logiciels gratuits et open source ne sont pas toujours exclus du champ d’application du CRA. Si une personne met sur le marché, dans le cadre d’une activité commerciale, un produit gratuit et open source comportant des éléments numériques sous son propre nom ou sa propre marque, elle peut être le fabricant de ce produit.

Le CRA crée également un rôle différent pour les logiciels open source publiés, mais non mis à disposition sur le marché en ce sens. Ce rôle est celui de responsable de logiciels open source.

On entend par « responsable de logiciels open source » toute personne morale autre qu’un fabricant dont la finalité ou l’objectif est de fournir systématiquement, de manière continue, un soutien au développement de produits spécifiques comportant des éléments numériques qui constituent des logiciels libres et open source et sont destinés à des activités commerciales, et d’assurer la viabilité de ces produits ;

Règlement (UE) 2024/2847, article 3, point 14

Le rôle de responsable ne désigne donc pas chaque mainteneur ou contributeur. Il s’applique à une personne morale et à des logiciels libres et open source précis, lorsque cette personne soutient durablement le projet et en assure la viabilité sans être le fabricant du produit. La Commission décrit ce régime comme adapté et moins contraignant que celui des fabricants.

Les contributeurs individuels au code source font l’objet d’un traitement différent. Le CRA ne s’applique pas aux personnes physiques ou morales qui contribuent au code source de logiciels libres et open source ne relevant pas de leur responsabilité.

Changement de rôle

Un rôle peut changer lorsqu’un acteur cesse de simplement fournir le produit d’une autre personne et commence à présenter ou à modifier le produit d’une manière que le CRA considère comme une activité de fabricant.

Un importateur ou un distributeur est considéré comme un fabricant aux fins du présent règlement et est soumis aux articles 13 et 14 lorsqu’il met sur le marché un produit comportant des éléments numériques sous son nom ou sa marque, ou lorsqu’il apporte une modification substantielle à un produit comportant des éléments numériques déjà mis sur le marché.

Règlement (UE) 2024/2847, article 21

Le même principe s’applique également au-delà des importateurs et distributeurs. Une personne autre que le fabricant, l’importateur ou le distributeur est considérée comme le fabricant si elle apporte une modification substantielle et met le produit modifié à disposition sur le marché. Les obligations du fabricant s’appliquent à la partie concernée du produit ou à l’ensemble du produit si la modification affecte la cybersécurité de celui-ci dans son ensemble.

Toute mise à jour, réparation ou activité d’assistance ne constitue pas une modification substantielle. La définition du CRA dépend de la question de savoir si le changement intervenant après la mise sur le marché affecte la conformité aux exigences essentielles de cybersécurité ou modifie la destination pour laquelle le produit a été évalué. Une mise à jour de sécurité qui ne fait que réduire le risque tend généralement à exclure un changement de rôle. Une modification de fonctionnalité qui change la destination ou augmente le risque de cybersécurité peut au contraire entraîner ce changement.

Ces règles clarifient des limites fréquentes. Un acteur établi dans l’UE qui met sur le marché de l’Union un produit portant une marque non européenne est généralement un importateur. Un acteur de la chaîne d’approvisionnement qui met à disposition un produit inchangé est généralement un distributeur. Un acteur qui utilise son propre nom ou sa propre marque, ou modifie substantiellement le produit et le met à disposition, peut devenir fabricant.