Le règlement sur la cyberrésilience s’applique-t-il aux éditeurs de logiciels ?

Oui, s’ils mettent un logiciel sur le marché de l’UE en tant que produit : applications installables, micrologiciels, systèmes d’exploitation, bibliothèques commercialisées et applications mobiles sont des produits comportant des éléments numériques, et la société qui les met à disposition sous son nom est le fabricant. Les obligations comprennent une évaluation des risques, la sécurité dès la conception et par défaut, le traitement et la correction des vulnérabilités pendant la période d’assistance, la documentation des composants, des informations et instructions de sécurité pour les utilisateurs et le signalement des vulnérabilités activement exploitées et des incidents graves au titre de l’article 14. Les logiciels libres et open source développés ou fournis en dehors d’une activité commerciale sont en grande partie hors du champ du règlement, et les organisations qui soutiennent des projets open source destinés à un usage commercial, appelées gestionnaires de logiciels open source, ont des obligations plus légères. Un logiciel développé uniquement pour votre usage interne n’est pas mis sur le marché. Si vous vendez des logiciels, commencez par recenser vos produits, leurs périodes d’assistance et votre processus de traitement des vulnérabilités, et lisez le règlement pour le détail. NetSenX n’évalue pas la conformité de vos logiciels.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 20 questions sur Droit de l’UE : RGPD, DORA, CRA et AI ActTous les thèmes