[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:fr:votre-produit-entre-t-il-dans-le-champ-du-cyber-resilience-act":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"fr","votre-produit-entre-t-il-dans-le-champ-du-cyber-resilience-act","Votre produit entre-t-il dans le champ du règlement sur la cyberrésilience ? Où se situe le SaaS","La question la plus posée sur le CRA n'est pas comment notifier, c'est si le règlement s'applique à vous. Le pur logiciel en tant que service est hors champ et relève de NIS2 ; le logiciel installé et téléchargeable est dedans ; le traitement à distance sans lequel un produit ne fonctionne pas y revient. La détermination vous appartient et doit être consignée. Voici le texte qui la décide.","2026-09-11","\nAvant que le moindre délai du règlement sur la cyberrésilience ne compte, il y a une question qui vient d'abord, et toutes les FAQ sur le sujet montrent que c'est celle que les gens posent vraiment : est-ce que cela s'applique à moi ? Une société de logiciels qui vend des abonnements à une application web, une entreprise qui livre un appareil avec un micrologiciel, un développeur qui publie une bibliothèque, un cabinet qui construit un logiciel sur mesure pour un client : chacun a une réponse différente, et le règlement, règlement (UE) 2024\u002F2847, la tranche à environ trois endroits.\n\nCet article parcourt ces endroits. Il ne vous dit pas si votre produit est dans le champ, parce que cette détermination dépend de ce que vous mettez réellement sur le marché, et qu'elle vous appartient et, surtout, doit être consignée.\n\n## La définition : article 3, paragraphe 1\n\nLe règlement s'applique à un **produit comportant des éléments numériques**, défini à l'article 3, paragraphe 1, comme « un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément ».\n\nTrois choses tiennent dans cette phrase.\n\n**Le logiciel compte à lui seul.** Un produit comportant des éléments numériques n'a pas besoin d'être un objet physique. Une application que vous installez, une application mobile, un programme de bureau, un système d'exploitation, une bibliothèque, une image de micrologiciel : chacun est un produit logiciel, et chacun peut être mis sur le marché seul.\n\n**Les composants comptent à eux seuls.** Une bibliothèque ou un module vendu ou fourni séparément est un produit à part entière, avec son propre fabricant.\n\n**Les solutions de traitement à distance viennent avec le produit.** C'est la clause qui ramène une partie du cloud dans le champ, et elle est définie au paragraphe suivant.\n\n## La condition de connexion : article 2, paragraphe 1\n\nL'article 2, paragraphe 1, restreint la définition aux produits « dont la finalité ou l'utilisation raisonnablement prévisible inclut une connexion de données logique ou physique, directe ou indirecte, à un dispositif ou à un réseau ».\n\nCette condition est large. Elle ne dit pas « connecté à internet ». Un appareil qui n'est jamais en ligne mais qui est mis à jour en le branchant à un ordinateur par USB a une connexion de données physique à un dispositif, et cela suffit. Un développeur allemand qui vend un micrologiciel pour une console portable du commerce a décrit exactement cette situation sur Hacker News en août 2026 : hors ligne, sans radio, sans pile réseau compilée, mises à jour par reflashage par câble, et dans le champ, ce qu'il a découvert en lisant lui-même le règlement et les lignes directrices de la Commission. Personne ne se considère comme « fabricant d'un produit comportant des éléments numériques » avant de découvrir qu'il en est un.\n\n## Où se situe le SaaS : considérant 12 et article 3, paragraphe 2\n\nC'est la question que la plupart des sociétés de logiciels posent réellement, et la réponse a deux moitiés.\n\n**Le pur logiciel en tant que service est hors du CRA.** Le considérant 12 dit que les modèles de services en nuage tels que le logiciel en tant que service ne sont pas des produits comportant des éléments numériques, parce que ce sont des services et non des produits mis sur le marché, et qu'ils relèvent à la place de la directive NIS2, directive (UE) 2022\u002F2555. Si ce que vous vendez est l'accès à une application qui tourne sur votre infrastructure, et que rien n'est installé ni téléchargé côté client, le CRA ne vous atteint pas. NIS2 peut-être, selon votre taille et votre secteur, mais c'est un autre texte, d'une autre forme.\n\n**Le traitement à distance sans lequel un produit ne peut pas fonctionner est dedans.** L'article 3, paragraphe 2, définit le **traitement de données à distance** comme un traitement de données effectué à distance « pour lequel le logiciel est conçu et développé par le fabricant, ou sous la responsabilité du fabricant, et dont l'absence empêcherait le produit comportant des éléments numériques d'exécuter l'une de ses fonctions ». Le considérant 12 fait le même point : les composants en nuage sont couverts lorsqu'ils font partie du produit en ce sens.\n\nUne serrure connectée avec une application mobile et un back-end en nuage est donc un seul produit comportant des éléments numériques, back-end compris, parce que sans le back-end la serrure ne peut pas exécuter ses fonctions. Une application de bureau qui interroge un serveur de licences est un produit dont le traitement à distance est dans le champ. Une application web sans composant installé est un service.\n\nLa ligne n'est pas « avez-vous un cloud ». C'est « y a-t-il un produit mis sur le marché, et le cloud fait-il quelque chose que ce produit ne peut pas faire sans lui ». Là où un produit est les deux, la partie installée est dans le champ et son traitement à distance essentiel vient avec. Quelles parties du cloud entrent, module par module, avec les deux tests de la Commission et son exemple de banque mobile, fait [l'objet d'un article distinct](\u002Farticles\u002Fwhich-parts-of-your-backend-are-inside-the-cra-remote-data-processing).\n\n## Ce qui est exclu nommément : le reste de l'article 2\n\nLe règlement exclut les produits déjà couverts par des règles sectorielles ayant leurs propres exigences de cybersécurité : les dispositifs médicaux au titre des règlements (UE) 2017\u002F745 et 2017\u002F746, l'aviation civile au titre du règlement (UE) 2018\u002F1139, la réception des véhicules à moteur au titre du règlement (UE) 2019\u002F2144 et les équipements marins au titre de la directive 2014\u002F90\u002FUE. Il exclut aussi les produits développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense, et les produits spécifiquement conçus pour traiter des informations classifiées.\n\nLes pièces de rechange mises à disposition pour remplacer des composants identiques, fabriquées selon les mêmes spécifications, sont exclues elles aussi.\n\n## Le logiciel libre : couvert, mais autrement\n\nLe logiciel libre et ouvert qui n'est pas monétisé échappe largement aux obligations du fabricant, et l'article 24 crée un régime distinct et plus léger pour les **gestionnaires de logiciels libres et ouverts** : fondations et organisations qui soutiennent le développement de produits libres destinés à des activités commerciales. L'obligation de notification de l'article 14 atteint les gestionnaires pour les produits qu'ils gèrent, ce qui explique que les délais s'appliquent à eux comme aux fabricants. Si vous faites un produit commercial à partir de composants libres, vous êtes le fabricant de ce produit, et la licence des composants n'y change rien.\n\n## Mis sur le marché, et la question des dates\n\nChaque obligation tient à ce que le produit soit **mis sur le marché**, la première mise à disposition d'un produit sur le marché de l'Union. Les outils internes que vous construisez et exploitez pour vous-même ne sont pas mis sur le marché. Le logiciel que vous fournissez à un client l'est.\n\nLes dates comptent pour les produits déjà en circulation. Le règlement s'applique intégralement à partir du 11 décembre 2027, et au titre de l'article 69 les produits mis sur le marché avant cette date ne sont soumis aux exigences que s'ils font ensuite l'objet d'une modification substantielle. L'obligation de notification de l'article 14 est l'exception : elle s'applique depuis le 11 septembre 2026, et elle atteint les produits qui étaient déjà sur le marché. Il n'y a aucun seuil de taille ni exemption pour les petites entreprises nulle part dans le texte ; ce que le règlement fait pour les petits fabricants, c'est [faire de la taille un facteur de l'amende et leur permettre une documentation simplifiée](\u002Farticles\u002Fcyber-resilience-act-penalties).\n\n## Par défaut, important, critique\n\nUne fois qu'un produit est dans le champ, il relève de l'un de trois paliers, et le palier décide de la façon dont la conformité est évaluée, pas de l'application des obligations. Le palier par défaut est l'auto-évaluation. Les produits **importants** sont énumérés à l'annexe III en deux classes : la classe I comprend les gestionnaires de mots de passe, les produits VPN, les systèmes d'exploitation, les routeurs et les navigateurs ; la classe II comprend les hyperviseurs, les pare-feux et les microprocesseurs résistants à la falsification, et son évaluation de la conformité fait intervenir un tiers. Les produits **critiques** de l'annexe IV, comme les dispositifs matériels dotés de boîtiers de sécurité, les passerelles de compteurs intelligents et les cartes à puce, peuvent être tenus d'obtenir un certificat européen de cybersécurité. Si votre produit ne figure sur aucune des deux listes, il est par défaut, et l'obligation de notification s'y applique exactement comme aux autres.\n\n## Ce qu'il faut réellement faire\n\nÉcrivez la détermination. Une page : ce que vous mettez sur le marché, s'il s'agit de logiciel, de matériel ou des deux, s'il comporte un traitement à distance au sens de l'article 3, paragraphe 2, sur quelle exclusion de l'article 2 vous vous appuyez si vous vous appuyez sur l'une d'elles, et dans quel palier il tombe. Datez-la et signez-la.\n\nSi vous préférez partir de questions plutôt que d'une page blanche, [la détermination en six questions sur ce site](\u002Fcyber-resilience-act\u002Fscope) produit cette page sous forme de texte, avec l'article pour chaque étape, et ne stocke rien.\n\nCe document est ce que vous montrez si une autorité de surveillance du marché demande pourquoi vous avez notifié ou non, et c'est ce par quoi votre procédure d'incident commence à l'heure zéro, quand [l'horloge de 24 heures](\u002Farticles\u002Fcra-final-report-clock-does-not-start-when-you-become-aware) tourne déjà et que personne n'a le temps de relire le considérant 12. Si la réponse est « dans le champ », la question suivante est [quel CSIRT est le vôtre](\u002Farticles\u002Fwhich-csirt-do-you-report-to-under-cra-article-14), et celle-là a un tableau.\n\nDeux questions que cet article laisse aux orientations de la Commission, lequel de vos builds est un produit (une extension de navigateur ou un client installé l'est, une application web utilisée dans un navigateur ne l'est pas) et quand une version logicielle compte comme mise sur le marché pour la date butoir de décembre 2027, trouvent leur réponse dans [l'article sur la mise sur le marché](\u002Farticles\u002Fwhen-is-software-placed-on-the-market-under-the-cra-and-which-of-your-builds-is-a-product).\n\n## Sources\n\n- Règlement (UE) 2024\u002F2847, article 2, paragraphes 1 à 5, article 3, paragraphes 1 et 2, article 14, article 24, article 69, article 71, paragraphe 2, annexes III et IV, et considérant 12.\n- Commission européenne, FAQ technique sur le CRA, version 1.3 du 1er juillet 2026, chapitre sur le champ d'application.\n- [« Ask HN: Is anyone else preparing for the EU Cyber Resilience Act? »](https:\u002F\u002Fnews.ycombinator.com\u002Fitem?id=49520688), août 2026, pour l'exemple de la console hors ligne.\n- La FAQ communautaire sur cra.orcwg.org et la FAQ sur cyberresilienceact.eu, lues le 8 septembre 2026, pour les questions posées en premier.\n\nCeci n'est pas un avis juridique, et la détermination du champ d'application est la seule chose sur cette page que nous ne ferons pas à votre place. Les renvois aux articles sont là pour que vous puissiez lire le texte et la faire vous-même.\n",1789383973674]