Les Orientations de la Commission européenne concernant la loi sur la cyber-résilience ont été publiées : ce que les entreprises doivent savoir

Après des années de débats législatifs et un calendrier de mise en œuvre par étapes, le règlement sur la cyberrésilience (règlement (UE) 2024/2847, ci-après «ARC») est en vigueur depuis décembre 2024. L’ARC introduit des exigences horizontales et contraignantes en matière de cybersécurité pour les produits comportant des éléments numériques mis sur le marché de l’UE. Cela marque un tournant historique dans la manière dont les opérateurs économiques (fabricants, importateurs, distributeurs…) doivent aborder la cybersécurité tout au long du cycle de vie du produit. Les obligations de notification s’appliqueront à compter du 11 septembre 2026, et les principales obligations s’appliqueront à compter du 11 décembre 2027.

Afin d’aider les opérateurs économiques et les autorités de surveillance du marché à s’y retrouver dans ce cadre complexe et de favoriser une mise en œuvre dans les délais, la Commission européenne a publié le 27 juillet 2026 des Orientations, apportant des précisions sur les concepts clés, les délimitations du champ d’application et les obligations de conformité (ci-après dénommées «Orientations»). Ces Orientations ne sont pas contraignantes pour les opérateurs économiques ou les autres acteurs soumis à l’ARC. Elles précisent néanmoins l’interprétation de l’ARC par la Commission dans le but de faciliter la mise en conformité et de contribuer à la mise en œuvre effective du règlement.

Cet article résume les points essentiels à retenir de ces Orientations.

L’ARC s'applique aux produits comportant des éléments numériques mis (à disposition) sur le marché européen.

Un «produit comportant des éléments numériques» est défini au sens large comme un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément, et relève du champ d'application de l’ARC lorsque sa finalité prévue ou son utilisation raisonnablement prévisible inclut une connexion directe ou indirecte à un appareil ou à un réseau.

Les Orientations clarifient plusieurs limites pratiques :

• Les logiciels qui s’exécutent sur l’appareil d’un utilisateur, y compris les extensions de navigateur et les applications web installées localement, constituent un « produit comportant des éléments numériques ». Les logiciels fonctionnant exclusivement à distance, tels que la plupart des sites web et des applications web, ne relèvent généralement pas du champ d’application, sauf s’ils prennent en charge un produit relevant de ce champ d’application via un traitement de données à distance.

• Un logiciel autonome est considéré comme « mis sur le marché » dès que sa phase de fabrication est achevée et qu’il est fourni pour la première fois en vue de sa distribution ou de son utilisation dans l’UE dans le cadre d’une activité commerciale. Toutes les copies de cette même version sont considérées comme mises sur le marché simultanément, quelle que soit la date à laquelle les utilisateurs individuels les obtiennent.

• Les versions ultérieures du logiciel ne donnent lieu à une nouvelle mise sur le marché que si elles constituent une « modification substantielle ». Les mises à jour de routine qui n’atteignent pas ce seuil ne modifient pas la date de mise sur le marché initiale.

• Lorsqu’un matériel est conçu pour fonctionner conjointement avec un logiciel spécifique du même fabricant afin de remplir sa fonction prévue, le matériel et le logiciel forment ensemble un produit unique comportant des éléments numériques, même si le logiciel est obtenu par un canal distinct, tel qu’une boutique d’applications.

• L’exigence de « connexion de données » prévue par l’ARC n’est pas déclenchée par la simple présence de composants électroniques : une véritable « connexion de données » nécessite que des informations codées numériquement soient délibérément générées par un émetteur et puissent être décodées par un récepteur. Les signaux utilisés uniquement pour déclencher ou alimenter une fonction, sans transmettre d’informations codées, ne relèvent pas du champ d’application de l’ARC. En d’autres termes, si le produit est capable d’envoyer, de recevoir ou d’échanger des données avec un autre appareil ou un réseau, il relève du champ d’application de l’ARC.

Les Orientations précisent que les logiciels libres ne sont généralement soumis aux obligations des fabricants que lorsqu'ils sont mis à disposition dans le cadre d'une activité commerciale. Le simple fait de publier ou de partager du code open source ne constitue pas, en soi, une mise sur le marché de logiciels. Les contributeurs individuels ne sont généralement pas tenus de se conformer à l’ARC. Les personnes morales soutenant des logiciels libres à vocation non commerciale peuvent être considérées comme des intendants de logiciels libres et n’être soumises qu’aux obligations limitées prévues à l’article 24 applicables à ces intendants. Les fabricants qui intègrent des logiciels libres tiers dans des produits commerciaux restent pleinement responsables du respect de l’ARC, y compris en matière de gestion des vulnérabilités et d’exigences de diligence raisonnable.

Les fabricants doivent définir une période d’assistance qui reflète la durée de vie prévue du produit et veiller à ce que les vulnérabilités soient corrigées tout au long de cette période. La durée minimale de cinq ans imposée par l’ARC n’est qu’une mesure de protection, et non une règle par défaut. Les produits ayant une durée de vie plus longue nécessitent un support plus long. Chaque version logicielle ayant subi des modifications substantielles doit disposer de sa propre période de support, sauf si ces modifications n’affectent pas les facteurs déterminant la durée de vie prévue du produit. Les fabricants peuvent limiter la correction des vulnérabilités à la dernière version si les utilisateurs peuvent effectuer la mise à jour gratuitement, sans avoir à supporter de coûts supplémentaires tels que l’achat obligatoire de matériel.

En vertu de l’ARC, les produits classés comme « importants » ou « critiques » sont soumis à des exigences plus strictes en matière d'évaluation de la conformité. La classification repose sur la fonctionnalité principale du produit, c'est-à-dire les caractéristiques essentielles à l’usage auquel il est destiné, plutôt que sur des caractéristiques accessoires ou des composants intégrés. Les fabricants ne peuvent pas contourner ces exigences plus strictes en présentant de manière trompeuse les capacités d’un produit. Si certains produits « importants » à faible risque (classe I) peuvent faire l’objet d’une auto-évaluation, les produits « importants » à risque plus élevé (classe II) et les produits « critiques » nécessitent généralement une évaluation de la conformité réalisée par un organisme tiers indépendant.

Les Orientations établissent une distinction entre l’évaluation des risques de cybersécurité du produit lui-même et l’obligation de diligence raisonnable relative aux composants tiers intégrés. Elles soulignent que les risques résiduels en matière de cybersécurité ne peuvent être justifiés uniquement par des considérations de coût ou d’ordre commercial, ni par la propension au risque du fabricant, et ne peuvent être transférés aux utilisateurs ou à des tiers. Les Orientations autorisent également les fabricants à s'appuyer sur une seule évaluation des risques, un seul dossier technique, une seule évaluation de la conformité et une seule déclaration de conformité pour les familles de produits partageant la même architecture, la même conception en matière de sécurité et le même profil de risque, à condition que les différences entre les variantes n'affectent pas leurs caractéristiques de cybersécurité.

Les Orientations précisent que les produits conçus avant l’application de l’ARC, soit le 11 décembre 2027, ne doivent pas nécessairement faire l’objet d’une refonte. Les fabricants doivent néanmoins procéder à une évaluation des risques liés à la cybersécurité et peuvent s’appuyer sur les mesures de sécurité existantes lorsque celles-ci permettent de couvrir de manière adéquate les risques identifiés. Ils restent toutefois soumis à toutes les autres obligations prévues par l’ARC, notamment l’évaluation de la conformité, l’établissement d’une déclaration de conformité de l’UE et l’apposition du marquage CE avant la mise sur le marché du produit.

Les obligations de notification prenant effet le 11 septembre 2026 et la mise en conformité totale étant exigée au plus tard le 11 décembre 2027, les entreprises doivent agir dès maintenant : identifier les produits relevant du champ d'application de l’ARC, déterminer leur classification en matière de risques et combler les lacunes éventuelles dans les évaluations des risques et la documentation existantes.