Règlement sur la cyberrésilience – Open source

Comment l'ARC aborde-t-elle les logiciels libres et ouverts?

L'ARC reconnaît que, pour favoriser le développement et le déploiement de logiciels libres et ouverts, il convient d'accorder une attention particulière à la nature des différents modèles de développement de logiciels distribués et développés dans le cadre de licences de logiciels libres et ouverts.  

C’est pourquoi seuls les logiciels libres et ouverts mis à disposition sur le marché, et donc fournis pour être distribués ou utilisés dans le cadre d’une activité commerciale, relèvent du champ d’application du règlement sur la cyberrésilience. En particulier, la fourniture de produits comportant des éléments numériques pouvant être qualifiés de logiciels libres et ouverts qui ne sont pas monétisés par leurs fabricants ne devrait pas être considérée comme une activité commerciale. De plus, l'ARC ne s'applique pas aux développeurs qui contribuent avec du code source à des logiciels libres et ouverts qui ne sont pas sous leur responsabilité.

En outre, reconnaissant l’importance pour la cybersécurité de nombreux produits comportant des éléments numériques qualifiés de logiciels libres et ouverts qui sont publiés, mais non mis à disposition sur le marché au sens de la CRA, la nouvelle catégorie juridique des gestionnaires de logiciels ouverts est introduite. Il s’agit de personnes morales qui apportent un soutien durable au développement de ces produits destinés à des activités commerciales, qui jouent un rôle essentiel pour assurer leur viabilité et qui sont soumises à un régime réglementaire léger et sur mesure.

La section 3 des orientations de la Commission sur l’ARC fournit des explications supplémentaires sur la manière dont l’ARC s’applique aux logiciels libres et ouverts.

Quelles sont les principales obligations?  

Lorsqu’un fabricant met sur le marché un produit comportant des éléments numériques qui est un logiciel libre et ouvert, il est soumis aux obligations des fabricants.

Lorsqu’une personne morale ne les met pas sur le marché, mais fournit un soutien systématique et durable au développement de produits spécifiques comportant des éléments numériques, qualifiés de logiciels libres et ouverts et destinés à des activités commerciales, et assure la viabilité de ces produits, elle est soumise aux obligations des gestionnaires de logiciels ouverts.

Les gestionnaires de logiciels libres sont soumis aux obligations énoncées à l’article 24, notamment la mise en place d’une politique de cybersécurité visant à favoriser le développement et le traitement sécurisés des vulnérabilités; coopérer avec les autorités de surveillance du marché; signaler les vulnérabilités activement exploitées et les incidents graves ayant une incidence sur la sécurité des produits comportant des éléments numériques.  Conformément à l’article 64, paragraphe 10, les gestionnaires de logiciels libres ne font pas l’objet d’amendes administratives pour les infractions commises par l’ARC.

Organismes de coopération compétents

Les représentants des logiciels libres et open source sont membres du groupe d’experts sur la cybersécurité des produits comportant des éléments numériques (CRA Expert Group).

Documents de référence et liens

Foire aux questions sur la mise en œuvre de l'ARC

Orientations de la Commission sur l’agence de notation

Ressources privées dans la communauté open source pour soutenir la mise en œuvre de l'ARC

Les collectivités à source ouverte ont élaboré une gamme de ressources librement accessibles sur l'ARC. Il s'agit d'initiatives privées et sont énumérées ci-dessous à titre d'information seulement. La Commission n’approuve ni ne recommande aucune initiative spécifique et ne vérifie pas l’exactitude des informations fournies dans ces liens externes. Une liste non exhaustive comprend:

• OpenChain CRA Compliance Requirements & Liste de contrôle
• Groupe de travail ouvert sur la conformité réglementaire (GT ORC) sur l'ARC
• L’initiative Open Source travaille sur des normes harmonisées
• Le cours OpenSSF sur l'ARC

La Commission n’est pas responsable de l’exactitude des informations fournies dans les liens ci-dessus; vous êtes invité à communiquer avec nous si vous désirez énumérer des initiatives ou des ressources sur l'ARC.