Les cas limites qui décident si vous êtes fabricant
Où s'arrête le champ du Cyber Resilience Act pour un freelance, une version gratuite, un SaaS ou un dépôt open source, avec les articles.
Aujourd’hui, la presse spécialisée explique le délai de 24 heures.
La question qui arrive juste après, chez un éditeur de trois personnes, est plus simple. Est-ce que ça me concerne, moi ?
Ce qui s’applique aujourd’hui
Vendredi 11 septembre 2026, l’article 14 du Cyber Resilience Act s’applique. Un fabricant qui apprend qu’une vulnérabilité de son produit est activement exploitée doit une alerte précoce sous 24 heures, puis une notification sous 72 heures.
Destinataires : le CSIRT désigné comme coordinateur dans son État membre, et l’ENISA. La plateforme unique de notification de l’ENISA est opérationnelle à cette date (article 16).
Le compte à rebours démarre quand vous en avez connaissance, pas quand une autorité vous écrit.
Le reste du règlement attend le 11 décembre 2027. SBOM, documentation technique (annexe VII), marquage CE, déclaration UE de conformité, et les sanctions de l’article 64. Les amendes s’appliquent à partir de décembre 2027.
Tout dépend donc de la définition du fabricant.
La définition tient en deux lignes
Article 3, point 13 : est fabricant celui qui développe ou fabrique un produit, ou le fait développer, et le met sur le marché sous son nom ou sa marque. À titre onéreux, gratuit ou monétisé.
Article 3, point 22 : dans le cadre d’une activité commerciale.
Le fabricant n’est pas forcément une société. Une personne seule qui vend un plugin, une app, un thème ou un outil en ligne de commande sous son nom est fabricant. C’est le cas type, pas l’exception.
Le freelance qui vend un plugin
Un auteur de plugin payant remplit les deux points. Il développe, il met sur le marché sous son nom, il facture. Son statut juridique ne change rien à la lecture de l’article 3.
La version gratuite d’un produit payant
Le point 13 dit « à titre onéreux, gratuit ou monétisé ». Une édition gratuite distribuée sous votre nom, dans le cadre de votre activité commerciale, reste dans le champ. La gratuité du fichier ne sort pas le produit du règlement.
Le SaaS qui tourne dans le navigateur
Un service en ligne pur, sans logiciel installé chez le client, est hors champ du CRA (considérant 12). NIS2 peut s’appliquer, mais seulement au-delà de ses seuils de secteur et de taille.
Attention au détail : le règlement couvre aussi le traitement de données à distance (article 3, point 2).
Le dépôt open source
Du logiciel libre fourni hors activité commerciale reste en dehors (considérant 18). Un dépôt que vous maintenez le week-end, sans offre payante autour, sans société derrière, n’entre pas dans le champ du seul fait d'être populaire.
Les gestionnaires de logiciels libres relèvent d’un régime allégé (article 24) et ne sont pas exposés aux amendes (article 64, paragraphe 10, point b).
Le développeur établi hors UE
Le règlement prévoit la possibilité de désigner un mandataire, et cette désignation est facultative (article 18). Ce qui compte reste la mise à disposition du produit sur le marché de l’Union.
Un cas concret
Prenons un éditeur solo, en France. Trois objets sous son nom.
Un : une extension de facturation vendue 90 € par an, 300 clients. Fabricant, sans ambiguïté.
Deux : une version allégée gratuite, publiée sur un annuaire d’extensions, qui sert d’appel vers la version payante. Gratuite, mais distribuée dans le cadre de son activité commerciale. Elle compte aussi.
Trois : une bibliothèque de calcul de TVA, licence MIT, aucune offre payante, aucune marque commerciale associée. Le considérant 18 la laisse dehors.
Même personne, trois réponses. Pour les deux premiers produits, une faille activement exploitée déclenche l’article 14 dès aujourd’hui. Et « activement exploitée » a une définition stricte : des éléments fiables indiquent qu’un acteur malveillant a exploité la vulnérabilité dans un système, sans l’autorisation du propriétaire (article 3, point 42).
Ce que vous pouvez faire cet après-midi
Listez vos produits, un par ligne. Pour chacun, notez qui le met sur le marché, sous quel nom, et s’il y a de l’argent quelque part autour. Les cas limites se règlent presque tous avec ces trois colonnes.
J’ai mis en ligne un test de périmètre gratuit, 8 questions, qui rend une évaluation écrite avec les références d’articles : https://crakit.eu/fr/champ-d-application/
Septembre demande une seule chose : que la procédure existe, pour les produits qui sont dans le champ. Savoir lesquels vient d’abord.
Ce n’est pas un conseil juridique.
Ce n’est pas un conseil juridique.