Sommaire
L’article 14 de la loi européenne sur la cyber-résilience est entré en vigueur le 11 septembre dernier. Depuis cette date, les développeurs dont le produit est disponible sur le marché de l’Union européenne doivent signaler toute vulnérabilité activement exploitée dont il prennent connaissance. Un avertissement anticipé doit être donné dans les 24 heures suivant la découverte d’une faille, par tous les logiciels européens. Une notification complète doit ensuite suivre dans les 72 heures. Ces deux document sont déposés via une plateforme que l’agence de cybersécurité de l’UE, l’ENISA, a activée a semaine dernière.
La licence sur le code n’est pas l’élément qui détermine les logiciels concernées par la réglementation. Il s’agit plutôt de savoir si une version particulière est fournie dans le cadre d’une activité commerciale, en Europe.
Le règlement définit un fabricant comme une personne qui développe un produit avec des éléments numériques et le commercialise « sous son nom ou sa marque, que ce soit à titre onéreux, en monétisation ou gratuitement ». La loi couvre donc l’ensemble des logiciels mis sur le marché sur le continent.
Les orientations de la Commission publiées en juillet considèrent une édition payante et une édition communautaire gratuite du même logiciel comme des « produits différents ». L’édition payante est monétisée et donc mise sur le marché, tandis que l’édition gratuite ne l’est pas. Voyons donc un peu plus en détails ce qu’implique ce nouveau cadre légal.
Une communication après 24 heures, puis 72, et ensuite quatorze jours
Le règlement établit une séquence d’événements par étapes. L’alerte précoce doit être donnée « sans retard excessif et, en tout état de cause, dans les 24 heures ». Ce délai débute à compter du moment où le fabricant de logiciels disponible sur des marchés européens a eu connaissance d’une faille activement exploité. Cette communication doit nommer les États membres où le fabricant sait que le produit a été mis à disposition.
Une notification de vulnérabilité plus complète doit ensuite suivre dans les 72 heures. Un rapport final est finalement dû au plus tard 14 jours après qu’une mesure corrective ou d’atténuation soit disponible. Le délai est un peu plus long pour les incidents graves. Le rapport final doit alors être remis dans le mois suivant la notification de 72 heures.
Chaque étape est soumise une fois par l’intermédiaire de la plateforme unique de déclaration plutôt que séparément à chaque autorité nationale. L’ENISA a construit la plateforme en vertu de l’article 16. Elle décrit la version qui est entré en service le 11 septembre comme sa « capacité opérationnelle initiale ».
Le CSIRT qui reçoit une notification la transmet aux CSIRT des autres États membres où le produit est disponible, et l’ENISA la reçoit en même temps. Un CSIRT peut suspendre ce partage ultérieur dans des circonstances exceptionnelles pour des motifs justifiés liés à la cybersécurité. Un acte délégué adopté par la Commission en décembre 2025 en définit alors les conditions.
Les logiciels Open Source disponible dans des pays européens doivent aussi signaler chaque faille
Le règlement définit les fabricants et les responsables des logiciels open source comme des rôles distincts. La directive de juillet indique explicitement qu’il s’attache aux produits plutôt qu’aux entreprises.
Une personne morale peut être à la fois le fabricant d’un logiciel libre et open source et l’administrateur (ou steward) d’un autre. Les directives précisent que cela « inclut la fourniture de versions communautaires du même FOSS ».
Pour une entreprise de plugin ou de thème construite sur le modèle familier, la ligne traverse ainsi sa gamme de produits. L’édition payante est monétisée, et est donc mise sur le marché. Son éditeur supporte alors les obligations de déclaration du fabricant.
L’édition gratuite n’est pas monétisée. À la lecture de la Commission, elle n’est donc pas du tout mise sur le marché. Lorsque l’éditeur est une personne morale, les obligations de steward s’attachent à cette édition gratuite. Lorsqu’il s’agit d’un individu, les directives placent toutefois l’édition gratuite en dehors de la réglementation.
C’est pourquoi la licence n’est pas le critère clé. Le même code GPL peut se trouver de chaque côté de la ligne selon la façon dont chaque édition est fournie. Cela correspond à l’arrangement ordinaire sur le marché des plugins WordPress.
Certains aspects ne s’appliqueront que plus tard
L’article 14 est intitulé « Obligations de déclaration des fabricants ». Son texte d’application s’adresse aux fabricants dans tout le texte. Le mot steward n’y figure pas.
Une disposition distincte, l’article 24(3), étend toutefois l’obligation de l’article 14(1) sur les vulnérabilités activement exploitées aux responsables lorsqu’ils sont impliqués dans le développement du produit. Leur devoir en cas d’incident grave est plus étroit. Il ne vise que les incidents qui affectent les systèmes fournis par le responsable de ce développement.
Cette disposition ne s’applique toutefois pas encore. Le règlement est en vigueur depuis décembre 2024. L’article 24 ne sera pourtant pas applicable avant le 11 décembre 2027. L’article 14 est l’une des dispositions qui s’applique plus tôt, depuis le 11 septembre 2026.
Les stewards ne sont pas non plus soumis à des amendes administratives pour infraction au règlement. Une autorité de surveillance du marché peut néanmoins leur demander de prendre des mesures correctives.
Il y a un second assouplissement pour les plus petites entreprises. L’obligation leur incombe pourtant en totalité. Les personnes qui remplissent les conditions requises pour être considérées comme des microentreprises ou de petites entreprises ne peuvent toutefois pas se voir infliger une amende pour avoir manqué le délai de 24 heures.
Lorsqu’une amende s’applique, l’article 14 se situe dans le niveau de sanction supérieur du règlement, aux côtés des exigences essentielles en matière de cybersécurité. Ce palier s’élève à 15 millions d’euros, soit 2,5 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.
Les principales obligations de sécurité des produits, notamment la sécurité par conception, l’évaluation de la conformité, le marquage CE et une nomenclature logicielle obligatoire, arrivent à la même date en décembre 2027.
Les services d’hébergement ne sont pas toujours des produits, mais les logiciels qu’ils exécutent peuvent l’être
Les orientations de la Commission indiquent explicitement qu’un service n’est pas automatiquement un produit. Les logiciels en tant que service et autres solutions cloud autonomes « conçus et développés hors de la responsabilité du fabricant d’un produit avec des éléments numériques ne sont pas eux-mêmes des produits avec des éléments numériques ». Les sites web qui ne prennent pas en charge la fonctionnalité d’un produit ne le sont pas non plus.
L’exception est le traitement de données à distance. Un service peut être pris en compte dans le cadre du produit lorsque ce dernier a besoin de ce traitement pour remplir l’une de ses fonctions. Il faut aussi que le logiciel ait été conçu et développé par le fabricant, ou sous sa responsabilité.
La Commission a consacré un chapitre de ses orientations de juillet à cet essai. Elle a examiné tour à tour les arrangements relatifs aux infrastructures, aux plateformes et aux services logiciels.
Un hébergeur web n’est pas considéré comme un fabricant pour l’hébergement lui-même. Il peut toutefois devenir un logiciel qu’il développe et fournit sous son propre nom. Cela peut notamment inclure un panneau de commande, un agent ou une application, lorsque ce logiciel entre par ailleurs dans le champ d’application du règlement.
De nombreux panneaux de contrôle, agents de sauvegarde, outils de sécurité et utilitaires de migration qu’il déploie sont des produits fournis par les fabricants. Ceux-ci sont désormais sur une horloge qui démarre dès qu’ils apprennent qu’un défaut est exploité.
Pour conclure sur la nouvelle réglementation obligeant les logiciels européens à signaler une faille en moins de 24 heures
Le cadre légal pour la divulgation des failles de sécurité vient de changer le 11 septembre dernier dans l’Union Européenne. Les développeurs de logiciels sont désormais tenus de révéler toutes les vulnérabilités découvertes à l’intérieur d’un délai de 24 heures.
Cette nouvelle réglementation s’applique toutefois de façon un peu différente pour les différentes entreprises, en fonction de leur taille et leur nature.
Nous espérons que cet article vous a plu et vous a éclairé sur le nouveau cadre légal encadrant les failles dans les logiciels européens. Si c’est le cas, nous vous enjoignons à consulter nos autres articles.
Si vous êtes à la recherche d’un hébergeur web, nous vous invitons aussi à jeter un coup d’œil nos nombreux comparatifs. Vous y trouverez opposés plusieurs des meilleurs acteurs de l’industrie.
