Le règlement sur la cyberrésilience s’applique-t-il au logiciel en tant que service ?

En général pas à un service en ligne pur, mais il peut atteindre la partie cloud d’un produit. Le CRA vise les produits comportant des éléments numériques mis sur le marché. Un logiciel fourni uniquement comme service sur internet, sans produit installé par le client, en est en principe exclu ; la sécurité de ces services relève surtout de NIS2NIS2: deuxième directive européenne sur la sécurité des réseaux et de l'information. La loi européenne sur la cybersécurité (directive (UE) 2022/2555), qui fixe des obligations de sécurité et de notification d'incidents à de nombreuses entreprises. lorsque le fournisseur y est soumis. Le CRA couvre toutefois aussi le traitement de données à distance qu’un fabricant conçoit comme partie d’un produit, lorsque le produit ne pourrait pas remplir l’une de ses fonctions sans lui : le back-end cloud d’une caméra connectée ou d’une sonde réseau livrée avec un agent en sont des exemples typiques. Une société qui vend à la fois un composant installable et un service cloud peut donc avoir des obligations CRA pour l’ensemble. Distinguez les parties de votre offre installées chez les clients de celles qui ne tournent que chez vous, et lisez attentivement les définitions du règlement. NetSenX, qui livre des agents avec un service cloud, se pose la même question.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 20 questions sur Droit de l’UE : RGPD, DORA, CRA et AI ActTous les thèmes