Règlement (UE) 2024/2847 du 23 octobre 2024 (« Cyber Resilience Act ») — Exigences horizontales de cybersécurité des produits numériques, correctifs gratuits sur le cycle de vie et alerte en 24 heures auprès de l’ENISA

Fondé sur l’article 114 TFUE selon la « nouvelle approche » du droit européen de la sécurité des produits, le règlement (UE) 2024/2847 rompt avec la tradition contractuelle qui permettait aux éditeurs de logiciels et constructeurs d’objets connectés de commercialiser des versions livrées « en l’état » avec abandon précoce des correctifs. Désormais, le fabricant — mais aussi, selon des obligations de vérification graduées, l’importateur et le distributeur — ne peut apposer le marquage CE ni mettre un produit comportant des éléments numériques sur le marché de l’Union sans démontrer le respect des deux volets de l’annexe I : exigences relatives aux propriétés de sécurité du produit (protection contre les accès non autorisés, chiffrement de l’intégrité et de la confidentialité, minimisation de la surface d’attaque) et exigences relatives au traitement des vulnérabilités.

Ce second volet transforme durablement l’économie du secteur numérique : le fabricant doit tenir à jour une nomenclature lisible par machine des composants intégrés (Software Bill of Materials — SBOM) permettant de tracer instantanément les bibliothèques tierces affectées par une faille, assurer une divulgation coordonnée des vulnérabilités et diffuser sans frais des mises à jour de sécurité distinctes des évolutions fonctionnelles pendant toute la « période d’assistance » clairement affichée à l’acheteur, fixée par principe à cinq ans minimum lorsque la durée d’utilisation attendue du produit l’atteint.

Afin d’éviter un goulot d’étranglement tout en ciblant les maillons systémiques, la procédure d’évaluation de la conformité obéit à une pyramide à trois étages : auto-évaluation documentée sous la responsabilité du fabricant pour la majorité des produits courants ; recours à des normes harmonisées ou à un organisme notifié tiers pour les « produits importants » des classes I et II de l’annexe III (navigateurs, gestionnaires de mots de passe, systèmes d’exploitation, pare-feu, routeurs, hyperviseurs et microprocesseurs) ; et soumission possible à un schéma européen de certification de cybersécurité pour les « produits critiques » de l’annexe IV tels que les modules matériels de sécurité ou les cartes à puce sécurisées.

À compter du 11 décembre 2027, les autorités nationales de surveillance du marché disposeront de prérogatives étendues d’audit technique, d’accès à la documentation et, en cas de nécessité dûment motivée sous garanties de confidentialité, au code source, ainsi que du pouvoir d’ordonner le retrait ou le rappel immédiat d’un matériel ou logiciel présentant un risque cyber significatif. Les sanctions pécuniaires prévues à l’article 64 empruntent l’échelle dissuasive des grands règlements numériques européens : jusqu’à quinze millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial total de l’exercice précédent pour le non-respect des exigences essentielles de cybersécurité et des obligations des articles 13 et 14, dix millions d’euros ou 2 % pour les autres obligations des opérateurs économiques, et cinq millions d’euros ou 1 % pour la communication d’informations inexactes ou trompeuses aux organismes notifiés et aux autorités.

Mais la portée juridique la plus redoutable pour les éditeurs, équipementiers industriels et acheteurs professionnels naît de l’articulation systémique voulue par le législateur européen avec deux autres textes adoptés durant la même législature. D’une part, pour les systèmes d’intelligence artificielle à haut risque qui constituent aussi des produits comportant des éléments numériques, l’article 12 du règlement sur la cyberrésilience organise une présomption de conformité aux exigences de cybersécurité de l’article 15 du règlement (UE) 2024/1689 sur l’IA dès lors que les critères du CRA sont satisfaits.

D’autre part, la nouvelle directive (UE) 2024/2853 du même jour (23 octobre 2024) relative à la responsabilité du fait des produits défectueux inclut désormais expressément les logiciels autonomes dans la notion de « produit » et retient parmi les critères légaux de défectuosité le défaut de sécurité résultant de l’absence des mises à jour logicielles de cybersécurité nécessaires après la mise sur le marché : tout manquement aux obligations de l’annexe I ou de l’article 13 du règlement (UE) 2024/2847 fournira ainsi aux victimes d’une compromission informatique ayant causé des dommages corporels, matériels ou des pertes et corruptions de données le socle probatoire direct d’une action en responsabilité civile de plein droit contre le fabricant.