Votre projet open source peut vous rendre fabricant
Passer du don libre à l'abonnement payant peut faire basculer un mainteneur open source, jusque-là hors champ, vers le statut de fabricant CRA.
Je reçois souvent cette question depuis que le test de périmètre est en ligne : à partir de quand un projet libre entre dans le champ du Cyber Resilience Act ?
Le bénévolat reste hors champ
Le considérant 18 du règlement est clair. Un logiciel libre fourni hors d’une activité commerciale n’entre pas dans le champ du CRA. Un mainteneur qui publie son code sur GitHub, sans société, sans facturation, sans support payant, n’est pas fabricant.
L’activité commerciale change tout
L’article 3, point 13 définit le fabricant comme celui qui développe ou fabrique un produit, ou le fait développer, et le commercialise sous son nom ou sa marque, à titre onéreux, gratuit ou monétisé. Mais il faut aussi que ce soit dans le cadre d’une activité commerciale, au sens de l’article 3, point 22.
Prenons un exemple. Léa maintient un linter JavaScript depuis trois ans. Elle reçoit des dons via GitHub Sponsors, quelques centaines d’euros par mois.
En janvier, elle lance une offre « Pro » : règles supplémentaires, support par email sous 48 h, facturée 15 € par mois. À partir de ce moment, elle commercialise un produit sous son nom, dans le cadre d’une activité commerciale. Elle devient fabricante au sens du règlement.
Ce que ça change concrètement
Depuis le 11 septembre 2026, si une faille de son linter est activement exploitée, Léa a 24 h pour l’alerte précoce et 72 h pour la notification complète au CSIRT coordinateur et à l’ENISA, comme n’importe quel éditeur.
Un statut différent existe pour les gestionnaires de logiciels libres au sens de l’article 24, avec un régime allégé et aucune amende attachée (article 64, paragraphe 10, point b). Léa, qui vend directement son produit sous sa propre marque, reste fabricante à part entière.
Aucune amende n’est attachée à ces obligations avant le 11 décembre 2027, date à laquelle l’article 64 s’applique pleinement.
Vérifier son propre cas
Le test de périmètre traite ce genre de bascule, avec les articles cités à chaque réponse : https://crakit.eu/fr/champ-d-application/
Ce n’est pas un conseil juridique.
Ce n’est pas un conseil juridique.