Deux mots portent plus du Cyber Resilience Act, règlement (UE) 2024/2847, que tous les autres : « mis sur le marché ». Les exigences essentielles s'appliquent à ce moment (article 13(1)). La règle transitoire de l'article 69(2) dit que les produits mis sur le marché avant le 11 décembre 2027 ne sont soumis au règlement « que si, à compter de cette date, ils font l'objet de modifications substantielles ». Le niveau, la période d'assistance, la documentation technique, tout s'attache à un produit, et l'article 3(21) dit qu'un produit est mis sur le marché « la première fois qu'il est mis à disposition ». Pour un routeur, c'est une expédition. Pour un logiciel livré par téléchargement, par une fiche d'app store ou par un client que le client installe, on ne savait pas clairement quel était ce moment, ni même si la chose livrée était un produit. Les orientations de la Commission sur l'application du règlement, C(2026) 5252 du 27 juillet 2026, sections 2.1 et 2.2, paragraphes 10 à 21 avec les exemples 1 à 6, répondent aux deux questions. Cet article est ces paragraphes, avec les entrées transitoires de la FAQ de la Commission, version 1.4 du 4 septembre 2026.

Quel logiciel est un produit comportant des éléments numériques

Le paragraphe 20 donne le test : « un produit logiciel comportant des éléments numériques doit être fourni à un utilisateur, obtenu par cet utilisateur et exploité sur, ou dans le cadre de, un système d'information électronique du côté de l'utilisateur ». Un logiciel « téléchargé, installé ou autrement fourni à l'utilisateur et qui s'exécute sur le système d'information électronique de l'utilisateur répond à ces critères, y compris par exemple lorsqu'il prend la forme d'une extension de navigateur ou d'une application développée avec des technologies web mais fournie pour une exécution locale ».

Le paragraphe 21 donne l'autre face : « un logiciel qui s'exécute à distance et auquel l'utilisateur ne fait qu'accéder n'est pas, à ce seul titre, un produit comportant des éléments numériques ». C'est « typiquement le cas des applications web, y compris les applications web progressives, lorsqu'elles sont accessibles exclusivement par un navigateur web », et des sites web, qui « ne doivent pas eux-mêmes être considérés comme des produits comportant des éléments numériques » et n'entrent dans le règlement que « dans la mesure où ils constituent un traitement de données à distance » pour un produit qui en est un.

Les quatre exemples dessinent la carte pour un éditeur de logiciels. Une application mobile téléchargée depuis un store et installée est un produit (exemple 3). Une application de bureau « construite avec des technologies web mais empaquetée pour une installation locale » est un produit (exemple 4). « Une application web à laquelle l'utilisateur accède exclusivement par un navigateur web n'est pas un produit comportant des éléments numériques », mais « une application fournie à l'utilisateur sous forme de client installé localement qui s'exécute sur l'appareil de l'utilisateur en est un », et si ce client dépend d'un traitement à distance pour exécuter une fonction, ce traitement fait aussi partie du produit (exemple 5). Un site web qui présente des informations n'est pas un produit (exemple 6). Savoir si un produit est ensuite dans le champ d'application relève de l'article 2 et du test de l'activité commerciale ; l'article sur le champ d'application et la détermination gratuite prennent le relais.

Une entreprise qui offre la même fonctionnalité en SaaS dans un navigateur et en client de bureau a donc une chose hors du règlement et une chose dedans, et la question de la date posée par le règlement s'applique à la seconde.

Quand un logiciel autonome est mis sur le marché

Le paragraphe 11 rappelle la règle du Guide bleu selon laquelle la mise sur le marché vise « chaque produit individuel, et non un type de produit ». Le paragraphe 13 l'adapte ensuite au logiciel, qui « n'est pas soumis à des contraintes de production physique ou de stock : chaque acte de mise à disposition du logiciel pour téléchargement ou distribution donne lieu à la création d'une nouvelle copie identique pour l'utilisateur ». La conclusion : « Tant que cette version du logiciel n'est pas modifiée d'une manière qui affecte la conformité au CRA, la mise sur le marché de l'UE doit être considérée comme ayant eu lieu au moment de la première offre pour distribution ou utilisation. »

Le paragraphe 14 énonce la règle en entier, et il mérite d'être cité parce qu'il décide de décembre 2027 pour tout produit logiciel déjà en vente : « un produit logiciel autonome comportant des éléments numériques doit être considéré comme mis sur le marché lorsque sa phase de fabrication est achevée et que ce logiciel est fourni pour la première fois pour distribution ou utilisation sur le marché de l'UE dans le cadre d'une activité commerciale. Le fabricant doit être considéré comme ayant mis sur le marché plusieurs copies du même produit logiciel comportant des éléments numériques au même moment. » Les copies restent des produits individuels, mais « elles sont considérées comme mises sur le marché au même moment, indépendamment du moment où la possession ou l'utilisation de chaque copie individuelle est transférée ». Exemple 1 : la version 1.0.0 est offerte pour la première fois le 1er janvier 2028, une copie achetée ce jour-là, une autre le 15 janvier ; les deux ont été mises sur le marché le 1er janvier.

Deux précisions dans les mêmes paragraphes comptent pour une gamme de produits. D'abord, les variantes sont des produits distincts : « lorsque le fabricant met le logiciel à disposition dans différentes variantes qui diffèrent par les composants inclus, les configurations ou les fonctionnalités activées (par exemple des builds pour différents systèmes d'exploitation ou des bundles aux ensembles de fonctionnalités différents), ces variantes ne peuvent pas être considérées comme plusieurs copies du même produit logiciel » et « doivent être traitées comme des produits comportant des éléments numériques distincts aux fins de la mise sur le marché ». Ensuite, le paragraphe 15 : « les itérations ultérieures d'un produit logiciel comportant des éléments numériques sont considérées comme nouvellement mises sur le marché lorsque ces itérations constituent une "modification substantielle" », et « les itérations qui ne constituent pas des modifications substantielles n'obligent pas le fabricant à effectuer une nouvelle procédure d'évaluation de la conformité et ne modifient donc pas la date de mise sur le marché de ce logiciel ». Exemple 2 : la version 1.0.1, qui n'est pas une modification substantielle, achetée le 30 janvier, est mise sur le marché le 1er janvier avec la version 1.0.0. Le paragraphe 16 limite tout cela aux logiciels autonomes ; le logiciel combiné à du matériel suit la section 2.4.

Ce que cela fait au 11 décembre 2027

Assemblez les deux règles avec l'article 69(2). Un produit logiciel offert pour la première fois avant le 11 décembre 2027 a été mis sur le marché avant cette date, et toutes les copies que les clients téléchargent ensuite l'ont été aussi, tant que la version offerte n'est pas substantiellement modifiée. Les obligations de conception et de conformité du règlement ne l'atteignent pas avant la première modification substantielle, et alors, selon le paragraphe 124 des orientations, seulement pour les parties modifiées, sauf si la sécurité du produit dans son ensemble est affectée. L'obligation de notification de l'article 14 l'atteint quoi qu'il en soit, depuis le 11 septembre 2026, comme le dit l'article 69(3).

L'entrée 7.2 de la FAQ est l'image miroir pour le matériel et se lit facilement de travers pour le logiciel. Elle dit que le règlement « s'applique aux produits individuels, et non aux types de produits », de sorte qu'un fabricant qui a mis 10 000 routeurs sur le marché avant le 11 décembre 2027 n'a pas à les mettre en conformité mais « ne peut pas produire 5 000 autres exemplaires de ce routeur et les mettre sur le marché après » cette date. Pour une unité physique, chacune est mise sur le marché quand elle est fournie. Pour une version logicielle, le paragraphe 14 dit que les copies ont toutes été mises sur le marché avec la première offre, de sorte qu'un téléchargement en 2028 d'une version offerte pour la première fois en 2027 n'est pas une nouvelle mise sur le marché. Ce qui en est une, c'est une nouvelle variante, une version substantiellement modifiée ou, selon l'exemple du téléviseur connecté de la FAQ 1.4, une mise à jour qui « modifie les fonctions initialement prévues ».

Trois choses en découlent pour une entreprise dont les produits sont déjà en vente. Consignez, pour chaque produit et chaque variante, la date à laquelle la version actuellement offerte a été fournie pour la première fois, parce que c'est cette date que lit l'article 69(2). Tenez la liste des variantes honnêtement : un build Windows et un build macOS, un palier gratuit et un palier payant aux fonctionnalités différentes, sont des produits différents avec leurs propres dates et, plus tard, leurs propres dossiers. Et considérez la feuille de route d'ici décembre 2027 comme la dernière fenêtre où une modification substantielle est exempte d'évaluation de la conformité, ce qui plaide pour faire les changements qui modifient les limites du produit avant la date plutôt qu'après.

Bêtas, archives et logiciels pour votre propre usage

Trois entrées de la FAQ comblent les lacunes restantes. L'article 4(3) permet aux fabricants de mettre à disposition « un logiciel non finalisé qui n'est pas conforme au présent règlement, à condition que le logiciel ne soit mis à disposition que pour une période limitée nécessaire à des fins d'essai, avec un signe visible indiquant clairement qu'il n'est pas conforme au présent règlement et qu'il ne sera pas mis à disposition sur le marché à d'autres fins que l'essai » ; la FAQ 1.6 confirme que cela couvre « les versions alpha, les versions bêta ou les versions candidates », et cite le considérant 37 : un tel logiciel ne devrait être publié « qu'après une évaluation des risques », être conforme « dans la mesure du possible », mettre en œuvre la gestion des vulnérabilités « dans la mesure du possible », et les fabricants « ne devraient pas obliger les utilisateurs à passer à des versions publiées uniquement à des fins d'essai ». Un canal bêta est permis ; un canal bêta où vit le produit ne l'est pas.

L'article 13(11) permet des archives logicielles publiques de versions historiques, à condition que « les utilisateurs soient clairement informés, d'une manière aisément accessible, des risques liés à l'utilisation de logiciels non pris en charge » (FAQ 1.7). Et la FAQ 1.5, avec la section 2.2 du Guide bleu, garde hors du règlement les produits fabriqués uniquement pour l'usage propre du fabricant : les outils internes que vous ne fournissez jamais ne sont pas mis sur le marché.

Ce qu'il faut écrire

Pour chaque produit et chaque variante que vous fournissez aux utilisateurs : la forme qu'il prend du côté de l'utilisateur, et la réponse du paragraphe 20 ou 21 qui en découle ; la date à laquelle la version actuelle a été offerte pour la première fois sur le marché de l'UE ; les versions depuis, chacune marquée comme modification substantielle ou non, selon les quatre questions du paragraphe 110 ; les canaux de test et leur signe visible ; et l'archive des anciennes versions et l'avertissement qui l'accompagne. Cette page est la première section de la documentation technique pour les produits qui en ont besoin, et l'enregistrement qui dit pourquoi les autres n'en ont pas encore besoin.

Sources

  • Règlement (UE) 2024/2847, article 3(1), (21) et (22), article 4(3), article 13(1) et (11), article 69(2) et (3), considérants 11, 12, 37 et 41.
  • Commission européenne, orientations de la Commission sur l'application du règlement (UE) 2024/2847, C(2026) 5252 final du 27 juillet 2026, annexe, sections 2.1 et 2.2, paragraphes 10 à 21 et exemples 1 à 6 ; section 4.4.2, paragraphe 124.
  • Commission européenne, FAQ sur le Cyber Resilience Act, version 1.4 du 4 septembre 2026, entrées 1.4, 1.5, 1.6, 1.7, 7.2 et 7.5.
  • Commission européenne, le Guide bleu relatif à la mise en œuvre de la réglementation de l'UE sur les produits 2022, sections 2.2 et 2.3, tels que les orientations les citent.

Ceci n'est pas un avis juridique. Les paragraphes 13 à 15 tiennent en une demi-page et les deux exemples en quatre lignes ; c'est la demi-page qui décide si votre produit existant est dans le règlement en décembre 2027.