02024R2847 — FR — 20.11.2024 — 000.005
Ce texte constitue seulement un outil de documentation et n’a aucun effet juridique. Les institutions de l'Union déclinent toute responsabilité quant à son contenu. Les versions faisant foi des actes concernés, y compris leurs préambules, sont celles qui ont été publiées au Journal officiel de l’Union européenne et sont disponibles sur EUR-Lex. Ces textes officiels peuvent être consultés directement en cliquant sur les liens qui figurent dans ce document
|
RÈGLEMENT (UE) 2024/2847 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 23 octobre 2024 concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques et modifiant les règlements (UE) no 168/2013 et (UE) 2019/1020 et la directive (UE) 2020/1828 (règlement sur la cyberrésilience) (Texte présentant de l’intérêt pour l’EEE) (JO L 2847 du 20.11.2024, p. 1) |
Rectifié par:
RÈGLEMENT (UE) 2024/2847 DU PARLEMENT EUROPÉEN ET DU CONSEIL
du 23 octobre 2024
concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques et modifiant les règlements (UE) no 168/2013 et (UE) 2019/1020 et la directive (UE) 2020/1828 (règlement sur la cyberrésilience)
(Texte présentant de l’intérêt pour l’EEE)
CHAPITRE I
DISPOSITIONS GÉNÉRALES
Article premier
Objet
Le présent règlement établit:
les règles relatives à la mise à disposition sur le marché de produits comportant des éléments numériques afin de garantir la cybersécurité de ces produits;
les exigences essentielles de cybersécurité relatives à la conception, au développement et à la production de produits comportant des éléments numériques, et les obligations qui incombent aux opérateurs économiques en ce qui concerne ces produits eu égard à la cybersécurité;
les exigences essentielles de cybersécurité relatives aux processus de gestion des vulnérabilités mis en place par les fabricants pour garantir la cybersécurité des produits comportant des éléments numériques durant la période d’utilisation prévue du produit, et les obligations incombant aux opérateurs économiques en ce qui concerne ces processus;
les règles relatives à la surveillance, y compris le contrôle, du marché et au contrôle de l’application des règles et exigences visées au présent article.
Article 2
Champ d’application
Le présent règlement ne s’applique pas aux produits comportant des éléments numériques auxquels s’appliquent les actes juridiques de l’Union suivants:
règlement (UE) 2017/745;
règlement (UE) 2017/746;
règlement (UE) 2019/2144.
L’application du présent règlement à des produits comportant des éléments numériques qui relèvent d’autres règles de l’Union fixant des exigences qui couvrent tout ou partie des risques auxquels s’appliquent les exigences essentielles de cybersécurité énoncées à l’annexe I peut être limitée ou exclue lorsque:
cette limitation ou cette exclusion est compatible avec le cadre réglementaire général qui s’applique à ces produits; et
les règles sectorielles assurent un niveau de protection identique ou supérieur à celui prévu par le présent règlement.
La Commission est habilitée à adopter des actes délégués conformément à l’article 61 pour compléter le présent règlement en précisant si une telle limitation ou exclusion est nécessaire, quels sont les produits et règles concernés et quelle est la portée de la limitation, le cas échéant.
Article 3
Définitions
Aux fins du présent règlement, on entend par:
«produit comportant des éléments numériques»: un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément;
«traitement de données à distance»: tout traitement de données à distance pour lequel le logiciel est conçu et développé par le fabricant ou sous la responsabilité de ce dernier, et dont l’absence empêcherait le produit comportant des éléments numériques d’exécuter une de ses fonctions;
«cybersécurité»: la cybersécurité au sens de l’article 2, point 1), du règlement (UE) 2019/881;
«logiciel»: la partie d’un système d’information électronique qui consiste en un code informatique;
«matériel informatique»: un système d’information électronique physique, ou des parties de celui-ci, capable de traiter, de stocker ou de transmettre des données numériques;
«composant»: un logiciel ou du matériel destiné à être intégré dans un système d’information électronique;
«système d’information électronique»: un système, y compris des équipements électriques ou électroniques, capable de traiter, de stocker ou de transmettre des données numériques;
«connexion logique»: une représentation virtuelle d’une connexion de données mise en œuvre au moyen d’une interface logicielle;
«connexion physique»: une connexion entre des systèmes d’information électroniques ou des composants mis en œuvre par des moyens physiques, y compris par des interfaces électriques, optiques ou mécaniques, des fils ou des ondes radio;
«connexion indirecte»: une connexion à un dispositif ou à un réseau, qui n’est pas établie directement, mais plutôt dans le cadre d’un système plus vaste qui peut être directement connecté à ce dispositif ou à ce réseau;
«point terminal»: tout dispositif connecté à un réseau et servant de point d’entrée à ce réseau;
«opérateur économique»: le fabricant, le mandataire, l’importateur, le distributeur ou une autre personne physique ou morale soumise à des obligations liées à la fabrication de produits comportant des éléments numériques ou à la mise à disposition sur le marché de produits comportant des éléments numériques conformément au présent règlement;
«fabricant»: une personne physique ou morale qui développe ou fabrique des produits comportant des éléments numériques ou fait concevoir, développer ou fabriquer des produits comportant des éléments numériques, et les commercialise sous son propre nom ou sa propre marque, à titre onéreux, monétisé ou gratuit;
«intendant de logiciels ouverts»: une personne morale, autre que le fabricant, qui a pour objectif ou finalité de fournir un soutien systématique et continu au développement de produits spécifiques comportant des éléments numériques qui répondent aux critères de logiciels libres et ouverts et sont destinés à des activités commerciales, et qui assure la viabilité de ces produits;
«mandataire»: une personne physique ou morale établie dans l’Union ayant reçu mandat écrit du fabricant pour agir en son nom aux fins de l’accomplissement de tâches déterminées;
«importateur»: une personne physique ou morale établie dans l’Union qui met sur le marché un produit comportant des éléments numériques, lequel porte le nom ou la marque d’une personne physique ou morale établie en dehors de l’Union;
«distributeur»: une personne physique ou morale faisant partie de la chaîne d’approvisionnement, autre que le fabricant ou l’importateur, qui met un produit comportant des éléments numériques à disposition sur le marché de l’Union sans altérer ses propriétés;
«consommateur»: une personne physique qui agit à des fins qui n’entrent pas dans le cadre de son activité commerciale, industrielle, artisanale ou libérale;
«microentreprises», «petites entreprises» et «moyennes entreprises»: respectivement les microentreprises, les petites entreprises et les moyennes entreprises au sens de l’annexe de la recommandation 2003/361/CE;
«période d’assistance»: la période au cours de laquelle un fabricant est tenu de garantir que les vulnérabilités d’un produit comportant des éléments numériques sont traitées efficacement et conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II;
«mise sur le marché»: la première mise à disposition d’un produit comportant des éléments numériques sur le marché de l’Union;
«mise à disposition sur le marché»: la fourniture d’un produit comportant des éléments numériques destiné à être distribué ou utilisé sur le marché de l’Union dans le cadre d’une activité commerciale, à titre onéreux ou gratuit;
«utilisation prévue»: l’utilisation à laquelle un produit comportant des éléments numériques est destiné par le fabricant, y compris le contexte et les conditions spécifiques d’utilisation, telles que précisées dans les informations communiquées par le fabricant dans la notice d’utilisation, dans les indications publicitaires ou de vente, ainsi que dans la documentation technique;
«utilisation raisonnablement prévisible»: une utilisation qui n’est pas nécessairement celle qui est prévue par le fabricant et qui figure dans la notice d’utilisation, dans les indications publicitaires ou de vente, ainsi que dans la documentation technique, mais qui est susceptible de résulter d’un comportement humain, d’opérations techniques ou d’interactions raisonnablement prévisibles;
«mauvaise utilisation raisonnablement prévisible»: l’utilisation d’un produit comportant des éléments numériques d’une manière qui n’est pas conforme à son utilisation prévue, mais qui peut résulter d’un comportement humain ou d’une interaction avec d’autres systèmes raisonnablement prévisibles;
«autorité notifiante»: l’autorité nationale chargée de mettre en place et d’accomplir les procédures nécessaires à l’évaluation, à la désignation et à la notification des organismes d’évaluation de la conformité et à leur contrôle;
«évaluation de la conformité»: le processus qui permet de vérifier si les exigences essentielles de cybersécurité énoncées à l’annexe I ont été respectées;
«organisme d’évaluation de la conformité»: un organisme d’évaluation de la conformité au sens de l’article 2, point 13), du règlement (CE) no 765/2008;
«organisme notifié»: un organisme d’évaluation de la conformité désigné en application de l’article 43 et de toute autre législation d’harmonisation de l’Union pertinente;
«modification substantielle»: une modification apportée au produit comportant des éléments numériques à la suite de sa mise sur le marché, qui a une incidence sur la conformité du produit comportant des éléments numériques aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, ou qui entraîne une modification de l’utilisation prévue pour laquelle le produit comportant des éléments numériques a été évalué;
«marquage CE»: un marquage par lequel un fabricant indique qu’un produit comportant des éléments numériques et les processus mis en place par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I et toute autre législation d’harmonisation de l’Union applicable prévoyant son apposition;
«législation d’harmonisation de l’Union»: la législation de l’Union énumérée à l’annexe I du règlement (UE) 2019/1020 et toute autre législation de l’Union harmonisant les conditions de commercialisation des produits auxquels ledit règlement s’applique;
«autorité de surveillance du marché»: une autorité de surveillance du marché au sens de l’article 3, point 4), du règlement (UE) 2019/1020;
«norme internationale»: une norme internationale au sens de l’article 2, point 1) a), du règlement (UE) no 1025/2012;
«norme européenne»: une norme européenne au sens de l’article 2, point 1) b), du règlement (UE) no 1025/2012;
«norme harmonisée»: une norme harmonisée au sens de l’article 2, point 1) c), du règlement (UE) no 1025/2012;
«risque de cybersécurité»: le potentiel de perte ou de perturbation causé par un incident, à exprimer comme la combinaison de l’ampleur de cette perte ou de cette perturbation et la probabilité que l’incident se produise;
«risque de cybersécurité important»: un risque de cybersécurité qui, en raison de ses caractéristiques techniques, peut être présumé hautement susceptible de donner lieu à un incident pouvant avoir des répercussions négatives graves, notamment en causant une perte ou une perturbation matérielle ou immatérielle considérable;
«nomenclature des logiciels»: un document officiel contenant les détails et les relations avec la chaîne d’approvisionnement des différents composants utilisés dans la fabrication d’un produit comportant des éléments numériques;
«vulnérabilité»: une faiblesse, une susceptibilité ou une faille d’un produit comportant des éléments numériques qui peut être exploitée par une cybermenace;
«vulnérabilité exploitable»: une vulnérabilité susceptible d’être utilisée efficacement par un adversaire en conditions de fonctionnement effectives;
«vulnérabilité activement exploitée»: une vulnérabilité pour laquelle il existe des preuves fiables qu’elle a été exploitée par un acteur malveillant dans un système sans l’autorisation du propriétaire du système;
«incident»: un incident au sens de l’article 6, point 6), de la directive (UE) 2022/2555;
«incident ayant des répercussions sur la sécurité du produit comportant des éléments numériques»: un incident qui entache ou est susceptible d’entacher la capacité d’un produit comportant des éléments numériques à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou fonctions;
«incident évité»: un incident évité au sens de l’article 6, point 5), de la directive (UE) 2022/2555;
«cybermenace»: une cybermenace au sens de l’article 2, point 8), du règlement (UE) 2019/881;
«données à caractère personnel»: des données à caractère personnel au sens de l’article 4, point 1), du règlement (UE) 2016/679;
«logiciel libre et ouvert»: un logiciel dont le code source est partagé de manière ouverte et qui est mis à disposition sous licence libre et ouverte prévoyant tous les droits pour qu’il soit librement accessible, utilisable, modifiable et redistribuable;
«rappel»: un rappel au sens de l’article 3, point 22), du règlement (UE) 2019/1020;
«retrait»: un retrait au sens de l’article 3, point 23), du règlement (UE) 2019/1020;
«CSIRT désigné comme coordinateur»: un CSIRT désigné comme coordinateur conformément à l’article 12, paragraphe 1, de la directive (UE) 2022/2555.
Article 4
Libre circulation
Article 5
Achats publics ou utilisation de produits comportant des éléments numériques
Article 6
Exigences applicables aux produits comportant des éléments numériques
Les produits comportant des éléments numériques ne sont mis à disposition sur le marché que:
s’ils satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, à condition qu’ils soient correctement installés, entretenus et utilisés conformément à l’utilisation prévue ou dans des conditions raisonnablement prévisibles et, le cas échéant, que les mises à jour de sécurité nécessaires aient été installées; et
si les processus mis en place par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
Article 7
Produits importants comportant des éléments numériques
Les catégories de produits comportant des éléments numériques visées au paragraphe 1 du présent article, réparties entre les classes I et II figurant à l’annexe III, remplissent au moins l’un des critères suivants:
le produit comportant des éléments numériques exécute des fonctions essentielles pour la cybersécurité d’autres produits, réseaux ou services, y compris la sécurisation des authentifications et des accès, la prévention et la détection des intrusions, la sécurité des points terminaux ou la protection des réseaux;
le produit comportant des éléments numériques exécute une fonction qui comporte un risque important d’effets néfastes du fait de son intensité et de sa capacité à perturber, contrôler ou endommager un grand nombre d’autres produits ou à porter atteinte à la santé, à la sécurité ou à la sûreté de ses utilisateurs par une manipulation directe, par exemple une fonction du système central, y compris la gestion du réseau, le contrôle de la configuration, la virtualisation ou le traitement des données à caractère personnel.
Les actes délégués visés au premier alinéa du présent paragraphe prévoient, le cas échéant, une période transitoire d’au moins 12 mois, en particulier lorsqu’une nouvelle catégorie de produits importants comportant des éléments numériques est ajoutée à la classe I ou à la classe II ou est déplacée de la classe I à la classe II, figurant à l’annexe III, avant que les procédures d’évaluation de la conformité pertinentes visées à l’article 32, paragraphes 2 et 3, ne deviennent d’application, à moins que des raisons d’urgence impérieuse ne justifient une période transitoire plus courte.
Article 8
Produits critiques comportant des éléments numériques
Avant d’adopter ces actes délégués, la Commission procède à une évaluation des effets potentiels sur le marché des mesures envisagées, ainsi qu’à des consultations des parties intéressées, y compris le groupe européen de certification de cybersécurité institué au titre du règlement (UE) 2019/881. L’évaluation prend en considération l’état de préparation et le niveau des capacités des États membres pour la mise en œuvre du schéma européen de certification de cybersécurité pertinent. Lorsque aucun acte délégué tel que visé au premier alinéa du présent paragraphe n’a été adopté, les produits comportant des éléments numériques dont la fonctionnalité de base est celle d’une catégorie de produits qui figure à l’annexe IV sont soumis aux procédures d’évaluation de la conformité visées à l’article 32, paragraphe 3.
Les actes délégués visés au premier alinéa prévoient une période transitoire d’au moins six mois, à moins que des raisons d’urgence impérieuse ne justifient une période transitoire plus courte.
La Commission est habilitée à adopter des actes délégués conformément à l’article 61 pour modifier l’annexe IV en ajoutant ou en retirant des catégories de produits critiques comportant des éléments numériques. Lorsqu’elle fixe ces catégories de produits critiques comportant des éléments numériques et le niveau d’assurance requis, conformément au paragraphe 1 du présent article, la Commission tient compte des critères visés à l’article 7, paragraphe 2, et veille à ce que les catégories de produits critiques comportant des éléments numériques remplissent au moins l’un des critères suivants:
il existe une dépendance critique d’entités essentielles visées à l’article 3 de la directive (UE) 2022/2555 à l’égard de la catégorie de produits comportant des éléments numériques;
des incidents et des vulnérabilités exploitées concernant la catégorie de produits comportant des éléments numériques pourrait entraîner de graves perturbations de chaînes d’approvisionnement critiques du marché intérieur.
Avant d’adopter ces actes délégués, la Commission procède à une évaluation du même type que celle visée au paragraphe 1.
Les actes délégués visés au premier alinéa prévoient une période transitoire d’au moins six mois, à moins que des raisons d’urgence impérieuse ne justifient une période transitoire plus courte.
Article 9
Consultation des parties intéressées
Lors de l’élaboration des mesures de mise en œuvre du présent règlement, la Commission consulte les parties intéressées, telles que les autorités des États membres concernées, les entreprises du secteur privé, y compris les microentreprises et les petites et moyennes entreprises, la communauté des logiciels ouverts, les associations de consommateurs, le milieu universitaire et les organismes et organes compétents de l’Union, ainsi que les groupes d’experts établis au niveau de l’Union. En particulier, la Commission consulte ces parties intéressées et sollicite leur avis, de manière structurée, lorsque cela s’y prête:
au moment d’élaborer les orientations visées à l’article 26;
au moment de préparer les descriptions techniques spécifiques des catégories de produits figurant à l’annexe III conformément à l’article 7, paragraphe 4, d’évaluer la nécessité d’éventuelles mises à jour de la liste des catégories de produits conformément à l’article 7, paragraphe 3, et à l’article 8, paragraphe 2, ou de procéder à l’évaluation des effets potentiels sur le marché visée à l’article 8, paragraphe 1, sans préjudice de l’article 61;
au moment d’entreprendre des travaux préparatoires en vue de l’évaluation et du réexamen du présent règlement.
Article 10
Renforcement des compétences dans un environnement numérique cyberrésilient
Aux fins du présent règlement et afin de répondre aux besoins des professionnels à l’appui de la mise en œuvre du présent règlement, les États membres, avec, le cas échéant, le soutien de la Commission, du Centre européen de compétences en matière de cybersécurité et de l’ENISA, tout en respectant pleinement la responsabilité des États membres dans le domaine de l’éducation, favorisent des mesures et des stratégies visant:
à développer des compétences en matière de cybersécurité et à créer des outils organisationnels et technologiques pour garantir une disponibilité suffisante de professionnels qualifiés afin de soutenir les activités des autorités de surveillance du marché et des organismes d’évaluation de la conformité;
à renforcer la collaboration entre le secteur privé, les opérateurs économiques, y compris par la reconversion ou le perfectionnement des salariés des fabricants, les consommateurs, les prestataires de formation et les administrations publiques, élargissant ainsi les possibilités pour les jeunes d’accéder à des emplois dans le secteur de la cybersécurité.
Article 11
Sécurité générale des produits
Par dérogation à l’article 2, paragraphe 1, troisième alinéa, point b), du règlement (UE) 2023/988, le chapitre III, section 1, les chapitres V et VII, et les chapitres IX à XI dudit règlement s’appliquent aux produits comportant des éléments numériques en ce qui concerne les aspects et les risques ou catégories de risques qui ne sont pas couverts par le présent règlement lorsque ces produits ne sont pas soumis à des exigences spécifiques prévues dans d’autres actes faisant partie de la législation d’harmonisation de l’Union au sens de l’article 3, point 27), du règlement (UE) 2023/988.
Article 12
Systèmes d’IA à haut risque
Sans préjudice des exigences en matière d’exactitude et de robustesse énoncées à l’article 15 du règlement (UE) 2024/1689, les produits comportant des éléments numériques qui relèvent du champ d’application du présent règlement et sont classés comme des systèmes d’IA à haut risque conformément à l’article 6 dudit règlement sont réputés conformes aux exigences de cybersécurité énoncées à l’article 15 dudit règlement:
lorsque ces produits satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I;
lorsque les processus mis en place par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II; et
lorsque le niveau de cyberprotection requis à l’article 15 du règlement (UE) 2024/1689 est démontré par la déclaration UE de conformité délivrée en vertu du présent règlement.
CHAPITRE II
OBLIGATIONS DES OPÉRATEURS ÉCONOMIQUES ET DISPOSITIONS RELATIVES AUX LOGICIELS LIBRES ET OUVERTS
Article 13
Obligations incombant aux fabricants
Les fabricants fixent la période d’assistance de sorte qu’elle reflète la durée pendant laquelle le produit est censé pouvoir être utilisé, en tenant compte, en particulier, des attentes raisonnables des utilisateurs, de la nature du produit, y compris de son utilisation prévue, ainsi que du droit de l’Union applicable déterminant la durée de vie des produits comportant des éléments numériques. Lorsqu’ils déterminent la période d’assistance, les fabricants peuvent également tenir compte des périodes d’assistance des produits comportant des éléments numériques offrant une fonctionnalité similaire mis sur le marché par d’autres fabricants, de la disponibilité de l’environnement opérationnel, des périodes d’assistance des composants intégrés qui assurent des fonctions essentielles et proviennent de tiers, ainsi que des orientations pertinentes fournies par le groupe de coopération administrative (ADCO) institué en vertu de l’article 52, paragraphe 15, et par la Commission. Les éléments à prendre en compte pour définir la période d’assistance sont pris en compte de manière à garantir la proportionnalité.
Sans préjudice du deuxième alinéa, la période d’assistance est d’au moins cinq ans. Lorsque le produit comportant des éléments numériques est censé pouvoir être utilisé pendant moins de cinq ans, la période d’assistance correspond à la durée d’utilisation prévue.
Compte tenu des recommandations ADCO visées à l’article 52, paragraphe 16, la Commission peut adopter des actes délégués conformément à l’article 61 afin de compléter le présent règlement en précisant la période d’assistance minimale pour des catégories de produits spécifiques lorsque les données de surveillance du marché indiquent que les périodes d’assistance fixées sont insuffisantes.
Les fabricants font figurer dans la documentation technique visée à l’annexe VII les informations qui ont été prises en compte pour déterminer la période d’assistance du produit comportant des éléments numériques.
Les fabricants disposent de politiques et de procédures appropriées, notamment les politiques de divulgation coordonnée des vulnérabilités mentionnées à l’annexe I, partie II, point 5), pour traiter et corriger les vulnérabilités potentielles du produit comportant des éléments numériques signalées par des sources internes ou externes.
Ils appliquent ou font appliquer les procédures d’évaluation de la conformité choisies visées à l’article 32.
Lorsqu’il a été démontré, au moyen de cette procédure d’évaluation de la conformité, que le produit comportant des éléments numériques est conforme aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et que les processus mis en place par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II, les fabricants établissent la déclaration UE de conformité conformément à l’article 28 et appose le marquage CE conformément à l’article 30.
Les fabricants veillent à ce que le point de contact unique soit facilement identifiable par les utilisateurs. Ils font également figurer le point de contact unique dans les informations et instructions destinées à l’utilisateur énoncées à l’annexe II.
Le point de contact unique permet aux utilisateurs de choisir leurs moyens de communication préférés, ces moyens n’étant pas limités aux outils automatisés.
Lorsque cela est techniquement possible compte tenu de la nature du produit comportant des éléments numériques, les fabricants prévoient l’affichage d’une notification aux utilisateurs les informant que leur produit comportant des éléments numériques a atteint la fin de sa période d’assistance.
Article 14
Obligations en matière de communication d’informations incombant aux fabricants
Aux fins de la notification visée au paragraphe 1, le fabricant soumet:
une alerte précoce de vulnérabilité activement exploitée, sans retard injustifié et, en tout état de cause, au plus tard 24 heures après en avoir eu connaissance, en indiquant, le cas échéant, les États membres sur le territoire desquels il a connaissance que son produit comportant des éléments numériques a été mis à disposition;
à moins que les informations pertinentes n’aient déjà été communiquées, une notification de vulnérabilité, sans retard injustifié et, en tout état de cause, au plus tard 72 heures après avoir eu connaissance de la vulnérabilité activement exploitée, fournissant les informations générales disponibles sur le produit comportant des éléments numériques concerné, la nature générale de l’exploitation et de la vulnérabilité concernée, ainsi que toute mesure corrective ou d’atténuation prise et les mesures correctives ou d’atténuation que les utilisateurs peuvent prendre, et précisant, s’il y a lieu, le degré de sensibilité qu’il attribue aux informations notifiées;
à moins que les informations pertinentes n’aient déjà été communiquées, un rapport final, au plus tard 14 jours après la mise à disposition d’une mesure de correction ou d’atténuation, comprenant au moins les éléments suivants:
une description de la vulnérabilité, y compris de sa gravité et de ses répercussions;
le cas échéant, des informations concernant tout acteur malveillant ayant exploité ou exploitant la vulnérabilité;
des précisions concernant la mise à jour de sécurité ou les autres mesures correctives qui ont été mises en place pour remédier à la vulnérabilité.
Aux fins de la notification visée au paragraphe 3, le fabricant soumet:
une alerte précoce d’incident grave ayant des répercussions sur la sécurité du produit comportant des éléments numériques, sans retard injustifié et, en tout état de cause, au plus tard 24 heures après en avoir eu connaissance, indiquant, au minimum, si l’incident pourrait avoir été causé par des actes illicites ou malveillants et, le cas échéant, les États membres sur le territoire desquels il a connaissance que son produit comportant des éléments numériques a été mis à disposition;
à moins que les informations pertinentes n’aient déjà été communiquées, une notification d’incident, sans retard injustifié et, en tout état de cause, au plus tard 72 heures après avoir eu connaissance de l’incident, fournissant les informations générales, lorsqu’elles sont disponibles, sur la nature de l’incident, l’évaluation initiale de l’incident, ainsi que toute mesure corrective ou d’atténuation prise et les mesures correctives ou d’atténuation que les utilisateurs peuvent prendre, et précisant, le cas échéant, le degré de sensibilité qu’il attribue aux informations notifiées;
à moins que les informations pertinentes n’aient déjà été communiquées, dans un délai d’un mois à compter de la présentation de la notification d’incident visée au point b), un rapport final comprenant au moins les éléments suivants:
une description détaillée de l’incident, y compris de sa gravité et de ses répercussions;
le type de menace ou la cause profonde qui a probablement déclenché l’incident;
les mesures d’atténuation appliquées et en cours.
Aux fins du paragraphe 3, un incident ayant des répercussions sur la sécurité du produit comportant des éléments numériques est considéré comme grave lorsque:
il entache ou est susceptible d’entacher la capacité d’un produit comportant des éléments numériques à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou fonctions sensibles ou importantes; ou
il a conduit ou est susceptible de conduire à l’introduction ou à l’exécution d’un code malveillant dans un produit comportant des éléments numériques ou dans le réseau et les systèmes d’information d’un utilisateur du produit comportant des éléments numériques.
Aux fins du présent règlement, un fabricant est réputé avoir son établissement principal dans l’Union dans l’État membre où sont principalement prises les décisions relatives à la cybersécurité des produits comportant des éléments numériques. Si un tel État membre ne peut être déterminé, l’établissement principal est considéré comme se trouvant dans l’État membre où le fabricant concerné possède l’établissement comptant le plus grand nombre de salariés dans l’Union.
Lorsqu’un fabricant n’a pas d’établissement principal dans l’Union, il soumet les notifications visées aux paragraphes 1 et 3 en utilisant le point final de notification électronique du CSIRT désigné comme coordinateur dans l’État membre déterminé conformément à l’ordre suivant, selon les informations dont dispose le fabricant:
l’État membre dans lequel le mandataire agissant au nom du fabricant pour le plus grand nombre de produits comportant des éléments numériques de ce fabricant est établi;
l’État membre dans lequel l’importateur qui met sur le marché le plus grand nombre de produits comportant des éléments numériques de ce fabricant est établi;
l’État membre dans lequel le distributeur qui met à disposition sur le marché le plus grand nombre de produits comportant des éléments numériques de ce fabricant est établi;
l’État membre dans lequel se trouvent le plus grand nombre d’utilisateurs de produits comportant des éléments numériques de ce fabricant.
En ce qui concerne le troisième alinéa, point d), un fabricant peut soumettre des notifications relatives à tout nouveau cas de vulnérabilité activement exploitée ou d’incident grave ayant un impact sur la sécurité du produit comportant des éléments numériques au même CSIRT désigné comme coordinateur que celui avec lequel il a communiqué la première fois.
Article 15
Signalement volontaire
Le CSIRT désigné comme coordinateur peut accorder la priorité au traitement des notifications obligatoires par rapport aux notifications volontaires.
Article 16
Mise en place d’une plateforme unique de signalement
Dans des circonstances exceptionnelles et, en particulier, à la demande du fabricant et compte tenu du degré de sensibilité des informations notifiées indiqué par celui-ci en vertu de l’article 14, paragraphe 2, point a), du présent règlement, la diffusion de la notification peut être retardée pour des motifs justifiés ayant trait à la cybersécurité pour une période limitée à ce qui est strictement nécessaire, y compris lorsqu’une vulnérabilité fait l’objet d’une procédure de divulgation coordonnée des vulnérabilités au titre de l’article 12, paragraphe 1, de la directive (UE) 2022/2555. Lorsqu’un CSIRT décide de retarder la diffusion d’une notification, il en informe immédiatement l’ENISA et fournit à la fois une justification du report de la diffusion de la notification et une indication de la date à laquelle il diffusera la notification conformément à la procédure de diffusion prévue au présent paragraphe. L’ENISA peut soutenir le CSIRT pour l’application de motifs ayant trait à la cybersécurité en ce qui concerne le report de la diffusion de la notification.
Dans des circonstances particulièrement exceptionnelles, lorsque le fabricant indique, dans la notification visée à l’article 14, paragraphe 2, point b):
que la vulnérabilité notifiée a été activement exploitée par un acteur malveillant et que, selon les informations disponibles, elle n’a été exploitée dans aucun autre État membre que celui du CSIRT désigné comme coordinateur auquel le fabricant a notifié la vulnérabilité;
que toute diffusion ultérieure immédiate de la vulnérabilité notifiée entraînerait probablement la fourniture d’informations dont la divulgation serait contraire aux intérêts essentiels de cet État membre; ou
que la vulnérabilité notifiée présente un risque de cybersécurité imminent élevé en cas de poursuite de la diffusion.
Seules l’information qu’une notification a été effectuée par le fabricant, les informations générales sur le produit, les informations sur la nature générale de l’exploitation et les informations indiquant que des motifs ayant trait à la sécurité ont été soulevés sont mises simultanément à la disposition de l’ENISA jusqu’à ce que la notification complète soit diffusée aux CSIRT concernés et à l’ENISA. Lorsque, sur la base de ces informations, l’ENISA considère qu’il existe un risque systémique compromettant la sécurité du marché intérieur, elle recommande au CSIRT destinataire de diffuser la notification complète aux autres CSIRT désignés comme coordinateurs et à elle-même.
Article 17
Autres dispositions liées au signalement
Article 18
Mandataires
Le mandataire exécute les tâches spécifiées dans le mandat qu’il reçoit du fabricant. Le mandataire fournit une copie du mandat aux autorités de surveillance du marché à leur demande. Le mandat autorise au minimum le mandataire:
à tenir à la disposition des autorités de surveillance du marché la déclaration UE de conformité mentionnée à l’article 28 et la documentation technique mentionnée à l’article 31 pendant au moins dix ans à partir de la mise sur le marché du produit comportant des éléments numériques ou pendant la période d’assistance, la période la plus longue étant retenue;
sur requête motivée d’une autorité de surveillance du marché, à communiquer à cette dernière toutes les informations et tous les documents nécessaires pour démontrer la conformité du produit comportant des éléments numériques;
à coopérer avec les autorités de surveillance du marché, à leur demande, concernant toute mesure adoptée pour éliminer les risques présentés par un produit comportant des éléments numériques relevant du mandat confié au mandataire.
Article 19
Obligations incombant aux importateurs
Avant de mettre sur le marché un produit comportant des éléments numériques, l’importateur veille à ce que:
les procédures appropriées d’évaluation de la conformité visées à l’article 32 aient été menées à bien par le fabricant;
le fabricant ait établi la documentation technique;
le produit comportant des éléments numériques porte le marquage CE visé à l’article 30 et soit accompagné de la déclaration UE de conformité visée à l’article 13, paragraphe 20, ainsi que des informations et instructions destinées à l’utilisateur figurant à l’annexe II, rédigées dans une langue aisément compréhensible par les utilisateurs et les autorités de surveillance du marché;
le fabricant ait respecté les exigences prévues à l’article 13, paragraphes 15, 16 et 19.
Aux fins du présent paragraphe, les importateurs doivent être en mesure de fournir les documents nécessaires prouvant le respect des exigences énoncées dans le présent article.
Lorsqu’un importateur a des raisons de croire qu’un produit comportant des éléments numériques peut présenter un risque de cybersécurité important à la lumière de facteurs de risque non techniques, il en informe les autorités de surveillance du marché. Dès réception de cette information, les autorités de surveillance du marché appliquent les procédures visées à l’article 54, paragraphe 2.
Lorsqu’il prend connaissance d’une vulnérabilité du produit comportant des éléments numériques, l’importateur en informe le fabricant sans retard injustifié. En outre, si le produit comportant des éléments numériques présente un risque de cybersécurité important, l’importateur en informe immédiatement les autorités de surveillance du marché des États membres dans lesquels il a mis ce produit à disposition sur le marché, en fournissant des précisions, notamment, sur la non-conformité et toute mesure corrective adoptée.
Article 20
Obligations des distributeurs
Avant de mettre un produit comportant des éléments numériques à disposition sur le marché, les distributeurs vérifient que:
le produit comportant des éléments numériques porte le marquage CE;
le fabricant et l’importateur se sont conformés aux obligations énoncées à l’article 13, paragraphes 15, 16, 18, 19 et 20, et à l’article 19, paragraphe 4, et ont communiqué tous les documents nécessaires au distributeur.
Lorsqu’ils prennent connaissance d’une vulnérabilité du produit comportant des éléments numériques, les distributeurs en informent le fabricant sans retard injustifié. En outre, si le produit comportant des éléments numériques présente un risque de cybersécurité important, les distributeurs en informent immédiatement les autorités de surveillance du marché des États membres dans lesquels ils ont mis ce produit à disposition sur le marché, en fournissant des précisions, notamment, sur la non-conformité et toute mesure corrective adoptée.
Article 21
Cas dans lesquels les obligations des fabricants s’appliquent aux importateurs et aux distributeurs
Un importateur ou un distributeur est considéré comme un fabricant aux fins du présent règlement et est soumis au respect de l’article 13 et de l’article 14 lorsque cet importateur ou ce distributeur met un produit comportant des éléments numériques sur le marché sous son propre nom ou sa propre marque, ou lorsqu’il apporte une modification substantielle à un produit comportant des éléments numériques déjà mis sur le marché.
Article 22
Autres cas dans lesquels les obligations des fabricants s’appliquent
Article 23
Identification des opérateurs économiques
Les opérateurs économiques fournissent aux autorités de surveillance du marché, sur demande, les informations suivantes:
le nom et l’adresse de tout opérateur économique qui lui a fourni un produit comportant des éléments numériques;
lorsqu’il dispose de ces informations, le nom et l’adresse de tout opérateur économique auquel il a fourni un produit comportant des éléments numériques.
Article 24
Obligations des intendants de logiciels ouverts
Sur demande motivée d’une autorité de surveillance du marché, les intendants de logiciels ouverts fournissent à cette autorité, dans une langue aisément compréhensible par celle-ci, la documentation visée au paragraphe 1, sur support papier ou sous forme électronique.
Article 25
Attestation de sécurité des logiciels libres et ouverts
Afin de faciliter le respect de l’obligation de diligence raisonnable énoncée à l’article 13, paragraphe 5, en particulier en ce qui concerne les fabricants qui intègrent des composants logiciels libres et ouverts dans leurs produits comportant des éléments numériques, la Commission est habilitée à adopter des actes délégués conformément à l’article 61 afin de compléter le présent règlement en mettant en place des programmes volontaires d’attestation de sécurité permettant aux développeurs ou aux utilisateurs de produits comportant des éléments numériques répondant aux critères de logiciel libre et ouvert ainsi qu’à d’autres tiers d’évaluer la conformité de ces produits à l’ensemble ou à une partie des exigences essentielles de cybersécurité ou d’autres obligations prévues par le présent règlement.
Article 26
Orientations
Lorsqu’elle entend fournir les orientations visées au paragraphe 1, la Commission aborde au moins les aspects suivants:
le champ d’application du présent règlement, en particulier les solutions de traitement de données à distance et les logiciels libres et ouverts;
l’application de périodes d’assistance pour certaines catégories particulières de produits comportant des éléments numériques;
des orientations destinées aux fabricants soumis au présent règlement qui sont également soumis à une législation d’harmonisation de l’Union autre que le présent règlement ou à d’autres actes juridiques connexes de l’Union;
la notion de modification substantielle.
La Commission tient également à jour une liste facile d’accès des actes délégués et des actes d’exécution adoptés en vertu du présent règlement.
CHAPITRE III
CONFORMITÉ DU PRODUIT COMPORTANT DES ÉLÉMENTS NUMÉRIQUES
Article 27
Présomption de conformité
Conformément à l’article 10, paragraphe 1, du règlement (UE) no 1025/2012, la Commission demande à une ou plusieurs organisations européennes de normalisation d’élaborer des normes harmonisées relatives aux exigences essentielles de cybersécurité énoncées à l’annexe I du présent règlement. Lorsqu’elle prépare des demandes de normalisation aux fins du présent règlement, la Commission s’efforce de tenir compte des normes européennes et internationales existantes en matière de cybersécurité qui sont en place ou en cours d’élaboration afin de simplifier l’élaboration de normes harmonisées, conformément au règlement (UE) no 1025/2012.
Ces actes d’exécution ne sont adoptés que lorsque les conditions suivantes sont remplies:
la Commission, conformément à l’article 10, paragraphe 1, du règlement (UE) no 1025/2012, a demandé à une ou plusieurs organisations européennes de normalisation d’élaborer une norme harmonisée relative aux exigences essentielles de cybersécurité énoncées à l’annexe I et:
la demande n’a pas été acceptée;
les normes harmonisées répondant à cette demande ne sont pas présentées dans le délai fixé conformément à l’article 10, paragraphe 1, du règlement (UE) no 1025/2012; ou
les normes harmonisées ne sont pas conformes à la demande; et
aucune référence à des normes harmonisées couvrant les exigences essentielles pertinentes de cybersécurité énoncées à l’annexe I du présent règlement n’a été publiée au Journal officiel de l’Union européenne conformément au règlement (UE) no 1025/2012 et il n’est pas prévu que la publication d’une telle référence soit publiée dans un délai raisonnable.
Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 62, paragraphe 2.
Article 28
Déclaration UE de conformité
La déclaration UE de conformité simplifiée visée à l’article 13, paragraphe 20, est établie selon le modèle figurant à l’annexe VI. Elle est disponible dans les langues requises par l’État membre dans lequel le produit comportant des éléments numériques est mis sur le marché ou mis à disposition sur le marché.
Article 29
Principes généraux du marquage CE
Le marquage CE est soumis aux principes généraux énoncés à l’article 30 du règlement (CE) no 765/2008.
Article 30
Règles et conditions d’apposition du marquage CE
Le numéro d’identification de l’organisme notifié est apposé par l’organisme lui-même ou, sur instruction de celui-ci, par le fabricant ou le mandataire du fabricant.
Article 31
Documentation technique
Article 32
Procédures d’évaluation de la conformité pour les produits comportant des éléments numériques
Le fabricant effectue une évaluation de la conformité du produit comportant des éléments numériques et des processus mis en place par le fabricant pour déterminer si les exigences essentielles de cybersécurité énoncées à l’annexe I sont respectées. Le fabricant démontre la conformité avec les exigences essentielles de cybersécurité en suivant l’une des procédures suivantes:
la procédure de contrôle interne (module A) visée à l’annexe VIII;
la procédure d’examen UE de type (module B) prévue à l’annexe VIII, suivie de la conformité au type «UE» sur la base du contrôle interne de la production (module C), prévue à l’annexe VIII;
l’évaluation de la conformité sur la base de l’assurance complète de la qualité (module H) prévue à l’annexe VIII; ou
lorsqu’il est disponible et s’il y a lieu, un schéma européen de certification de cybersécurité en vertu de l’article 27, paragraphe 9.
Lorsque, lors de l’évaluation de la conformité d’un produit important comportant des éléments numériques qui relève de la classe I figurant à l’annexe III et des processus mis en place par son fabricant avec les exigences essentielles de cybersécurité énoncées à l’annexe I, le fabricant n’a pas appliqué ou n’a appliqué qu’en partie des normes harmonisées, des spécifications communes ou des schémas européens de certification de cybersécurité au minimum au niveau d’assurance dit «substantiel» visés à l’article 27, ou lorsque ces normes harmonisées, spécifications communes ou schémas européens de certification de cybersécurité n’existent pas, le produit comportant des éléments numériques concerné et les processus mis en place par le fabricant sont soumis, pour ce qui a trait à ces exigences essentielles de cybersécurité, à l’une des procédures suivantes:
la procédure d’examen UE de type (module B) prévue à l’annexe VIII, suivie de la conformité au type «UE» sur la base du contrôle interne de la production (module C), prévue à l’annexe VIII; ou
une évaluation de la conformité sur la base de l’assurance complète de la qualité (module H) prévue à l’annexe VIII.
Lorsque le produit est un produit important comportant des éléments numériques qui relève de la classe II figurant à l’annexe III, le fabricant démontre la conformité avec les exigences essentielles de cybersécurité énoncées à l’annexe I en suivant l’une des procédures suivantes:
la procédure d’examen UE de type (module B) prévue à l’annexe VIII, suivie de la conformité au type «UE» sur la base du contrôle interne de la production (module C), prévue à l’annexe VIII;
une évaluation de la conformité sur la base de l’assurance complète de la qualité (module H) prévue à l’annexe VIII; ou
lorsqu’il est disponible et s’il y a lieu, un schéma européen de certification de cybersécurité conformément à l’article 27, paragraphe 9, du présent règlement au minimum au niveau d’assurance dit «substantiel» en vertu du règlement (UE) 2019/881.
Les produits critiques comportant des éléments numériques répertoriés à l’annexe IV démontrent la conformité avec les exigences essentielles de cybersécurité énoncées à l’annexe I au moyen de l’une des procédures suivantes:
un schéma européen de certification de cybersécurité, conformément à l’article 8, paragraphe 1; ou
lorsque les conditions énoncées à l’article 8, paragraphe 1, ne sont pas remplies, l’une des procédures visées au paragraphe 3 du présent article.
Article 33
Mesures de soutien pour les microentreprises et les petites et moyennes entreprises, y compris les jeunes pousses
Les États membres entreprennent, le cas échéant, les actions suivantes, adaptées aux besoins des microentreprises et des petites entreprises:
organiser des activités spécifiques de sensibilisation et de formation sur l’application du présent règlement;
mettre en place un canal de communication spécifique avec les microentreprises et les petites entreprises et, le cas échéant, les autorités publiques locales afin de fournir des conseils et de répondre aux questions à propos de la mise en œuvre du présent règlement;
soutenir les activités d’essai et d’évaluation de la conformité, y compris, le cas échéant, avec le soutien du Centre de compétences européen en matière de cybersécurité.
Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 62, paragraphe 2.
Article 34
Accords de reconnaissance mutuelle
Compte tenu du niveau de développement technique et de l’approche en matière d’évaluation de la conformité d’un pays tiers, l’Union peut conclure des accords de reconnaissance mutuelle avec des pays tiers, conformément à l’article 218 du traité sur le fonctionnement de l’Union européenne, afin de promouvoir et de faciliter le commerce international.
CHAPITRE IV
NOTIFICATION DES ORGANISMES D’ÉVALUATION DE LA CONFORMITÉ
Article 35
Notification
Article 36
Autorités notifiantes
Article 37
Exigences concernant les autorités notifiantes
Article 38
Obligation des autorités notifiantes en matière d’information
Article 39
Exigences relatives aux organismes notifiés
Un organisme appartenant à une association d’entreprises ou à une fédération professionnelle qui représente des entreprises participant à la conception, au développement, à la production, à la fourniture, à l’assemblage, à l’utilisation ou à l’entretien des produits comportant des éléments numériques qu’il évalue peut, à condition que son indépendance et que l’absence de tout conflit d’intérêts soient démontrées, être considéré comme étant un tel organisme tiers.
Un organisme d’évaluation de la conformité, ses cadres supérieurs et le personnel chargé d’exécuter les tâches d’évaluation de la conformité n’interviennent pas directement dans la conception, le développement, la production, l’importation, la distribution, la commercialisation, l’installation, l’utilisation ou l’entretien des produits comportant des éléments numériques qu’ils évaluent ou ne représentent pas les parties engagées dans ces activités. Ils ne participent à aucune activité qui peut entrer en conflit avec l’indépendance de leur jugement ou l’intégrité des activités d’évaluation de la conformité pour lesquelles ils sont notifiés. Cela vaut en particulier pour les services de conseil.
Les organismes d’évaluation de la conformité veillent à ce que les activités de leurs filiales ou sous-traitants n’aient pas d’incidence sur la confidentialité, l’objectivité ou l’impartialité de leurs activités d’évaluation de la conformité.
En toutes circonstances et pour chaque procédure d’évaluation de la conformité et tout type ou toute catégorie de produits comportant des éléments numériques pour lesquels il a été notifié, l’organisme d’évaluation de la conformité dispose à suffisance:
du personnel requis ayant les connaissances techniques et l’expérience suffisante et appropriée pour exécuter les tâches d’évaluation de la conformité;
de descriptions des procédures à utiliser pour évaluer la conformité, garantissant la transparence et la capacité de reproduction de ces procédures. L’organisme dispose de politiques et de procédures appropriées faisant la distinction entre les tâches qu’il exécute en tant qu’organisme notifié et d’autres activités;
de procédures pour accomplir ses activités qui tiennent dûment compte de la taille des entreprises, du secteur dans lequel elles exercent leurs activités, de leur structure, du degré de complexité de la technologie du produit en question et de la nature en masse, ou série, du processus de production.
Un organisme d’évaluation de la conformité dispose des moyens nécessaires à la bonne exécution des tâches techniques et administratives liées aux activités d’évaluation de la conformité et a accès à tous les équipements ou installations nécessaires.
Le personnel chargé de l’exécution des activités d’évaluation de la conformité possède:
une solide formation technique et professionnelle correspondant à l’ensemble des activités d’évaluation de la conformité pour lesquelles l’organisme d’évaluation de la conformité a été notifié;
une connaissance satisfaisante des exigences applicables aux évaluations qu’il effectue et l’autorité nécessaire pour effectuer ces évaluations;
une connaissance et une compréhension adéquates des exigences essentielles de cybersécurité énoncées à l’annexe I, des normes harmonisées et des spécifications communes applicables ainsi que des dispositions pertinentes de la législation d’harmonisation de l’Union et de ses actes d’exécution;
l’aptitude à rédiger les attestations, procès-verbaux et rapports qui constituent la matérialisation des évaluations effectuées.
La rémunération des cadres supérieurs et du personnel chargé de l’évaluation au sein d’un organisme d’évaluation de la conformité ne dépend ni du nombre d’évaluations effectuées, ni de leurs résultats.
Article 40
Présomption de conformité des organismes notifiés
Lorsqu’un organisme d’évaluation de la conformité démontre sa conformité avec les critères fixés dans les normes harmonisées concernées, ou dans des parties de ces normes, dont les références ont été publiées au Journal officiel de l’Union européenne, il est présumé répondre aux exigences énoncées à l’article 39 dans la mesure où les normes harmonisées applicables couvrent ces exigences.
Article 41
Filiales et sous-traitants des organismes notifiés
Article 42
Demande de notification
Article 43
Procédure de notification
Seul un tel organisme est considéré comme un organisme notifié aux fins du présent règlement.
Article 44
Numéros d’identification et liste des organismes notifiés
Elle attribue un seul numéro, même si l’organisme est notifié au titre de plusieurs actes juridiques de l’Union.
La Commission veille à ce que cette liste soit tenue à jour.
Article 45
Modifications apportées à la notification
Article 46
Contestation de la compétence des organismes notifiés
Article 47
Obligations opérationnelles des organismes notifiés
Article 48
Recours contre les décisions des organismes notifiés
Les États membres veillent à ce que les décisions des organismes notifiés soient susceptibles de recours.
Article 49
Obligation des organismes notifiés en matière d’information
Les organismes notifiés communiquent à l’autorité notifiante les éléments suivants:
tout refus, restriction, suspension ou retrait d’un certificat;
toute circonstance ayant une incidence sur la portée et les conditions de la notification;
toute demande d’information reçue des autorités de surveillance du marché concernant des activités d’évaluation de la conformité;
sur demande, les activités d’évaluation de la conformité réalisées dans le cadre de leur notification et toute autre activité réalisée, y compris les activités transfrontières et sous-traitées.
Article 50
Partage d’expérience
La Commission veille à l’organisation du partage d’expérience entre les autorités nationales des États membres responsables de la politique de notification.
Article 51
Coordination des organismes notifiés
CHAPITRE V
SURVEILLANCE DU MARCHÉ ET CONTRÔLE DE L’APPLICATION DE LA LÉGISLATION
Article 52
Surveillance du marché et contrôle des produits comportant des éléments numériques sur le marché de l’Union
Les autorités chargées de la surveillance du droit de l’Union en matière de protection des données sont habilitées à demander toute documentation rédigée ou tenue à jour en vertu du présent règlement et à y accéder lorsque l’accès à ces documents est nécessaire à l’accomplissement de leurs tâches. Elles informent les autorités de surveillance du marché désignées de l’État membre concerné de toute demande en ce sens.
L’ADCO publie sous une forme accessible au public et conviviale des statistiques pertinentes sur les catégories de produits comportant des éléments numériques, y compris leur période d’assistance moyenne, telle que déterminée par le fabricant conformément à l’article 13, paragraphe 8, et fournit des orientations qui comprennent des périodes d’assistance indicatives pour les catégories de produits comportant des éléments numériques.
Lorsque les données donnent à penser que les périodes d’assistance sont insuffisantes pour des catégories spécifiques de produits comportant des éléments numériques, l’ADCO peut adresser des recommandations aux autorités de surveillance du marché afin qu’elles concentrent leurs activités sur ces catégories de produits comportant des éléments numériques.
Article 53
Accès aux données et à la documentation
Lorsque cela est nécessaire pour évaluer la conformité des produits comportant des éléments numériques et des processus mis en place par leurs fabricants aux exigences essentielles de cybersécurité énoncées à l’annexe I, les autorités de surveillance du marché, sur demande motivée, ont accès, dans une langue qu’elles comprennent facilement, aux données requises pour évaluer la conception, le développement, la production et le traitement des vulnérabilités de ces produits, y compris la documentation interne correspondante de l’opérateur économique concerné.
Article 54
Procédure au niveau national concernant les produits comportant des éléments numériques qui présentent un risque de cybersécurité important
Si, au cours de cette évaluation, l’autorité de surveillance du marché constate que le produit comportant des éléments numériques ne respecte pas les exigences prévues par le présent règlement, elle invite sans retard l’opérateur économique en cause à prendre toutes les mesures correctives appropriées pour mettre le produit comportant des éléments numériques en conformité avec ces exigences, le retirer du marché ou le rappeler dans un délai raisonnable, proportionné à la nature du risque de cybersécurité, que l’autorité de surveillance du marché prescrit.
L’autorité de surveillance du marché informe l’organisme notifié concerné en conséquence. L’article 18 du règlement (UE) 2019/1020 s’applique aux mesures correctives.
L’autorité notifie sans retard ces mesures à la Commission et aux autres États membres.
Les informations visées au paragraphe 5 contiennent toutes les précisions disponibles, notamment en ce qui concerne les données nécessaires pour identifier le produit comportant des éléments numériques non conforme, l’origine de ce produit comportant des éléments numériques, la nature de la non-conformité alléguée et du risque encouru, ainsi que la nature et la durée des mesures nationales adoptées et les arguments avancés par l’opérateur économique concerné. En particulier, l’autorité de surveillance du marché indique si la non-conformité découle d’une ou plusieurs des causes suivantes:
la non-conformité du produit comportant des éléments numériques ou des processus mis en place par le fabricant avec les exigences essentielles de cybersécurité énoncées à l’annexe I;
des lacunes dans les normes harmonisées, les schémas européens de certification de cybersécurité ou les spécifications communes visés à l’article 27.
Article 55
Procédure de sauvegarde de l’Union
Article 56
Procédure au niveau de l’Union concernant les produits comportant des éléments numériques qui présentent un risque de cybersécurité important
Article 57
Produits conformes comportant des éléments numériques qui présentent un risque de cybersécurité important
L’autorité de surveillance du marché d’un État membre exige d’un opérateur économique qu’il prenne toutes les mesures appropriées lorsque, après avoir effectué une évaluation au titre de l’article 54, elle constate que, bien qu’un produit comportant des éléments numériques et les processus mis en place par le fabricant soient conformes au présent règlement, ils présentent un risque de cybersécurité important ainsi qu’un risque pour:
la santé ou la sécurité des personnes;
le respect des obligations découlant du droit de l’Union ou du droit national visant à protéger les droits fondamentaux;
la disponibilité, l’authenticité, l’intégrité ou la confidentialité des services proposés au moyen d’un système d’information électronique par des entités essentielles visées à l’article 3, paragraphe 1, de la directive (UE) 2022/2555; ou
d’autres aspects de la protection de l’intérêt public.
Les mesures visées au premier alinéa peuvent comprendre des mesures visant à garantir que le produit comportant des éléments numériques concerné et les processus mis en place par le fabricant ne présentent plus les risques pertinents lors de la mise à disposition sur le marché, le retrait du marché du produit comportant des éléments numériques concerné ou son rappel, et sont proportionnées à la nature de ces risques.
Article 58
Non-conformité formelle
Lorsque l’autorité de surveillance du marché d’un État membre fait l’une des constatations ci-après, elle invite le fabricant concerné à mettre un terme à la non-conformité en question:
le marquage CE a été apposé en violation de l’article 29 ou 30;
le marquage CE n’a pas été apposé;
la déclaration UE de conformité n’a pas été établie;
la déclaration UE de conformité n’a pas été établie correctement;
le numéro d’identification de l’organisme notifié, qui participe à la procédure d’évaluation de la conformité, le cas échéant, n’a pas été apposé;
la documentation technique n’est pas disponible ou n’est pas complète.
Article 59
Activités conjointes des autorités de surveillance du marché
Article 60
Opérations «coup de balai»
CHAPITRE VI
POUVOIRS DÉLÉGUÉS ET PROCÉDURE DE COMITÉ
Article 61
Exercice de la délégation
Article 62
Comité
CHAPITRE VII
CONFIDENTIALITÉ ET SANCTIONS
Article 63
Confidentialité
Toutes les parties intervenant dans l’application du présent règlement respectent la confidentialité des informations et des données obtenues dans l’exécution de leurs tâches et activités de manière à protéger, en particulier:
les droits de propriété intellectuelle et les informations confidentielles de nature commerciale ou les secrets d’affaires des personnes physiques ou morales, y compris le code source, à l’exception des cas visés à l’article 5 de la directive (UE) 2016/943 du Parlement européen et du Conseil ( 2 );
l’application effective du présent règlement, notamment en ce qui concerne les inspections, les investigations ou les audits;
les intérêts en matière de sécurité nationale et publique;
l’intégrité des procédures pénales ou administratives.
Article 64
Sanctions
Pour décider du montant de l’amende administrative dans chaque cas d’espèce, toutes les caractéristiques propres à chaque cas sont prises en considération et il est dûment tenu compte des éléments suivants:
la nature, la gravité et la durée de l’infraction et de ses conséquences;
la question de savoir si des amendes administratives ont déjà été imposées par les mêmes ou d’autres autorités de surveillance du marché au même opérateur économique pour une infraction similaire;
la taille, en particulier en ce qui concerne les microentreprises, les petites et moyennes entreprises, y compris les jeunes entreprises, et la part de marché de l’opérateur économique qui commet l’infraction.
►C1 Par dérogation aux paragraphes 2 à 9, les amendes administratives visées auxdits paragraphes ne s’appliquent pas: ◄
aux fabricants considérés comme des microentreprises ou des petites entreprises en cas de non-respect du délai visé à l’article 14, paragraphe 2, point a), ou à l’article 14, paragraphe 4, point a);
à toute violation du présent règlement par les intendants de logiciels ouverts.
Article 65
Actions représentatives
La directive (UE) 2020/1828 est applicable aux actions représentatives intentées en raison des infractions commises par des opérateurs économiques aux dispositions du présent règlement qui portent atteinte ou risquent de porter atteinte aux intérêts collectifs des consommateurs.
CHAPITRE VIII
DISPOSITIONS TRANSITOIRES ET FINALES
Article 66
Modification du règlement (UE) 2019/1020
À l’annexe I du règlement (UE) 2019/1020, le point suivant est ajouté:
Règlement (UE) 2024/2847 du Parlement européen et du Conseil ( *1 ).
Article 67
Modification de la directive (UE) 2020/1828
À l’annexe I de la directive (UE) 2020/1828, le point suivant est ajouté:
Règlement (UE) 2024/2847 du Parlement européen et du Conseil ( *2 ).
Article 68
Modification du règlement (UE) no 168/2013
Dans la partie C1, dans le tableau, de l’annexe II du règlement (UE) no 168/2013 du Parlement européen et du Conseil ( 3 ), l’entrée suivante est ajoutée:
«
|
16 |
18 |
Protection du véhicule contre les cyberattaques |
|
x |
x |
x |
x |
x |
x |
x |
x |
x |
x |
x |
x |
x |
x |
»
Article 69
Dispositions transitoires
Article 70
Évaluation et réexamen
Article 71
Entrée en vigueur et application
Toutefois, l’article 14 est applicable à partir du 11 septembre 2026 et le chapitre IV (articles 35 à 51) à partir du 11 juin 2026.
Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.
ANNEXE I
EXIGENCES ESSENTIELLES DE CYBERSÉCURITÉ
Partie I Exigences de cybersécurité relatives aux propriétés des produits comportant des éléments numériques
1) Les produits comportant des éléments numériques sont conçus, développés et fabriqués de manière à garantir un niveau de cybersécurité approprié en fonction des risques.
2) Sur la base de l’évaluation des risques de cybersécurité visée à l’article 13, paragraphe 2, les produits comportant des éléments numériques doivent, le cas échéant:
être mis à disposition sur le marché sans vulnérabilité exploitable connue;
être mis à disposition sur le marché avec une configuration de sécurité par défaut, sauf accord contraire entre le fabricant et l’entreprise utilisatrice en ce qui concerne un produit sur mesure comportant des éléments numériques, y compris la possibilité de réinitialiser le produit à son état d’origine;
►C2 être conçus de façon à ce que leurs vulnérabilités puissent être corrigées ◄ par des mises à jour de sécurité, y compris, le cas échéant, par des mises à jour automatiques de sécurité régulières activées par défaut, mais faciles à désactiver, par la communication aux utilisateurs des mises à jour disponibles et par la possibilité de les différer temporairement;
assurer la protection contre les accès non autorisés par des mécanismes de contrôle appropriés, y compris, mais sans s’y limiter, par des systèmes d’authentification, d’identité ou de gestion des accès et signaler tout accès non autorisé;
protéger la confidentialité des données stockées, transmises ou traitées de toute autre manière, à caractère personnel ou autres, par exemple en chiffrant les données pertinentes au repos ou en transit au moyen de mécanismes de pointe et par d’autres moyens techniques;
protéger l’intégrité des données stockées, transmises ou traitées de toute autre manière, à caractère personnel ou autres, des commandes, des programmes et de la configuration contre toute manipulation ou modification non autorisée par l’utilisateur et signaler les corruptions;
ne traiter que les données, à caractère personnel ou autres, qui sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité prévue du produit comportant des éléments numériques (minimisation des données);
protéger la disponibilité des fonctions essentielles et de base, notamment après un incident, y compris par des mesures de résilience et d’atténuation face aux attaques par déni de service;
réduire au maximum les répercussions négatives générées par les produits eux-mêmes ou par les appareils connectés sur la disponibilité des services fournis par d’autres dispositifs ou réseaux;
être conçus, développés et fabriqués de manière à limiter les surfaces d’attaque, y compris les interfaces externes;
être conçus, développés et fabriqués de manière à réduire les répercussions d’un incident, en utilisant des mécanismes et des techniques appropriés de limitation de l’exploitation de failles;
fournir des informations relatives à la sécurité en enregistrant et en surveillant les activités internes pertinentes, y compris l’accès ou la modification des données, des services ou des fonctions, tout en laissant à l’utilisateur la possibilité de désactiver le mécanisme;
donner aux utilisateurs la possibilité de supprimer facilement, en toute sécurité et de manière permanente toutes les données et tous les paramètres et, lorsque ces données peuvent être transférées vers d’autres produits ou systèmes, veiller à ce que cela puisse se faire de manière sécurisée.
Partie II Exigences relatives à la gestion des vulnérabilités
Les fabricants des produits comportant des éléments numériques:
recensent et documentent les vulnérabilités et les composants des produits, notamment par l’établissement d’une nomenclature des logiciels dans un format couramment utilisé et lisible par machine couvrant au moins les dépendances de niveau supérieur des produits;
gèrent et corrigent sans retard les vulnérabilités qui touchent les produits comportant des éléments numériques, y compris par des mises à jour de sécurité; lorsque cela est techniquement possible, de nouvelles mises à jour de sécurité sont fournies séparément des mises à jour de fonctionnalité;
soumettent régulièrement les produits comportant des éléments numériques à des tests et examens de sécurité efficaces;
dès la publication d’une mise à jour de sécurité, communiquent sur les vulnérabilités corrigées, en publiant notamment une description des vulnérabilités, des informations permettant aux utilisateurs d’identifier le produit comportant des éléments numérique concerné, les conséquences de ces vulnérabilités, leur gravité et des informations claires et accessibles aidant les utilisateurs à y remédier; dans des cas dûment justifiés, lorsque les fabricants considèrent que les risques pour la sécurité liés à la publication l’emportent sur les avantages en matière de sécurité, ils peuvent retarder la publication des informations relatives à une vulnérabilité corrigée jusqu’à ce que les utilisateurs aient eu la possibilité d’appliquer le correctif adapté;
mettent en place et appliquent une politique de divulgation coordonnée des vulnérabilités;
prennent des mesures pour faciliter le partage d’informations sur les vulnérabilités potentielles de leurs produits comportant des éléments numériques ainsi que des composants tiers contenus dans ces produits, y compris en fournissant une adresse de contact pour le signalement des vulnérabilités découvertes dans les produits concernés;
prévoient des mécanismes de distribution sécurisée des mises à jour pour les produits comportant des éléments numériques afin de garantir que les vulnérabilités soient corrigées ou atténuées rapidement et, le cas échéant, automatisent les mises à jour de sécurité;
veillent à ce que, lorsque des correctifs ou des mises à jour de sécurité sont disponibles pour remédier à des problèmes de sécurité constatés, ils soient diffusés sans retard et, sauf accord contraire entre un fabricant et un utilisateur professionnel en ce qui concerne un produit sur mesure comportant des éléments numériques, gratuitement et accompagnées de messages consultatifs fournissant aux utilisateurs les informations pertinentes, y compris sur les éventuelles mesures à prendre.
ANNEXE II
INFORMATIONS ET INSTRUCTIONS DESTINÉES À L’UTILISATEUR
Le produit comportant des éléments numériques doit au moins être accompagné des informations et instructions suivantes:
le nom, la raison sociale ou la marque déposée du fabricant et l’adresse postale, l’adresse électronique ou tout autre contact numérique ainsi que, le cas échéant, le site internet sur lequel le fabricant peut être contacté;
le point de contact unique où les informations sur les vulnérabilités du produit comportant des éléments numériques peuvent être signalées et reçues, et où peut être trouvée la politique du fabricant en matière de divulgation coordonnée des vulnérabilités;
nom et type, ainsi que toute information supplémentaire permettant l’identification unique du produit comportant des éléments numériques;
l’utilisation prévue du produit comportant des éléments numériques, y compris l’environnement de sécurité fourni par le fabricant, ainsi que les fonctionnalités essentielles du produit et les informations sur ses propriétés de sécurité;
toutes circonstances connues ou prévisibles liées à l’utilisation du produit comportant des éléments numériques conformément à son utilisation prévue ou dans des conditions de mauvaise utilisation raisonnablement prévisible, susceptibles d’entraîner des risques de cybersécurité importants;
le cas échéant, l’adresse internet à laquelle la déclaration UE de conformité peut être consultée;
le type d’assistance technique en matière de sécurité proposé par le fabricant et la date de fin de la période d’assistance pendant laquelle les utilisateurs peuvent s’attendre à recevoir des mises à jour de sécurité;
des instructions détaillées ou une adresse internet renvoyant à des instructions détaillées et informations sur:
les mesures nécessaires lors de la mise en service initiale du produit comportant des éléments numériques et pendant toute sa durée de vie pour assurer sa sécurité d’utilisation;
la façon dont les modifications apportées au produit comportant des éléments numériques peuvent affecter la sécurité des données;
la façon dont les mises à jour pertinentes pour la sécurité peuvent être installées;
la mise hors service sécurisée du produit comportant des éléments numériques, en ce compris des informations sur la manière dont les données utilisateur peuvent être supprimées en toute sécurité;
la manière dont le réglage par défaut permettant l’installation automatique des mises à jour de sécurité, conformément à l’annexe I, partie I, point c), peut être désactivé;
lorsque le produit comportant des éléments numériques est destiné à être intégré dans d’autres produits comportant des éléments numériques, les informations nécessaires à l’intégrateur pour se conformer aux exigences essentielles de cybersécurité énoncées à l’annexe I et aux exigences en matière de documentation énoncées à l’annexe VII;
lorsque le fabricant décide de mettre à la disposition de l’utilisateur la nomenclature des logiciels, des informations sur l’endroit où celle-ci peut être consultée.
ANNEXE III
PRODUITS IMPORTANTS COMPORTANT DES ÉLÉMENTS NUMÉRIQUES
Classe I
1. Systèmes de gestion des identités et logiciels et dispositifs de gestion des accès privilégiés, dont lecteurs d’authentification et de contrôle d’accès et lecteurs biométriques
2. Navigateurs autonomes et intégrés
3. Gestionnaires de mots de passe
4. Logiciels qui recherchent, suppriment ou mettent en quarantaine des logiciels malveillants
5. Produits comportant des éléments numériques avec la fonction de réseau privé virtuel (VPN)
6. Systèmes de gestion de réseau
7. Systèmes de gestion des informations et des événements de sécurité (SIEM)
8. Gestionnaires de démarrage
9. Infrastructure à clé publique et logiciels d’émission de certificats numériques
10. Interfaces réseau physiques et virtuelles
11. Systèmes d’exploitation
12. Routeurs, modems destinés à la connexion à l’internet et commutateurs
13. Microprocesseurs dotés de fonctionnalités liées à la sécurité
14. Microcontrôleurs dotés de fonctionnalités liées à la sécurité
15. Circuits intégrés spécifiques à l’application (ASIC) et réseaux de portes programmables (FPGA) dotés de fonctionnalités liées à la sécurité
16. Assistants virtuels polyvalents pour maison intelligente
17. Produits domestiques intelligents dotés de fonctionnalités de sécurité, notamment serrures, caméras de sécurité, systèmes de surveillance pour bébé et systèmes d’alarme
18. Jouets connectés couverts par la directive 2009/48/CE du Parlement européen et du Conseil ( 4 ) qui présentent des caractéristiques sociales interactives (par exemple, parler ou filmer) ou qui possèdent des fonctions de localisation
19. Produits portables personnels destinés à être portés ou mis sur un corps humain à des fins de surveillance de la santé (suivi par exemple) et auxquels le règlement (UE) 2017/745 ou (UE) 2017/746 ne s’appliquent pas, ou produits portables personnels destinés à être utilisés par et pour les enfants
Classe II
1. Hyperviseurs et systèmes d’exécution de conteneurs prenant en charge l’exécution virtualisée de systèmes d’exploitation et d’environnements similaires
2. Pare-feu, systèmes de détection et de prévention des intrusions
3. Microprocesseurs résistants aux manipulations
4. Microcontrôleurs résistants aux manipulations
ANNEXE IV
PRODUITS CRITIQUES COMPORTANT DES ÉLÉMENTS NUMÉRIQUES
1. Dispositifs matériels avec boîtier de sécurité
2. «Passerelles pour compteur intelligent» au sein des systèmes intelligents de mesure tels que définis à l’article 2, point 23), de la directive (UE) 2019/944 du Parlement européen et du Conseil ( 5 ) et autres dispositifs à des fins de sécurité avancées, y compris pour un traitement cryptographique sécurisé
3. Cartes à puce ou dispositifs similaires, y compris éléments sécurisés
ANNEXE V
DÉCLARATION UE DE CONFORMITÉ
La déclaration UE de conformité prévue à l’article 28 contient l’ensemble des informations suivantes:
nom et type, ainsi que toute information supplémentaire permettant l’identification unique du produit comportant des éléments numériques
nom et adresse du fabricant ou de son mandataire
attestation certifiant que la déclaration UE de conformité est établie sous la seule responsabilité du fournisseur
objet de la déclaration (identification du produit comportant des éléments numériques permettant sa traçabilité et pouvant inclure une photographie)
une mention indiquant que l’objet de la déclaration décrit ci-dessus est conforme à la législation d’harmonisation de l’Union applicable
les références de toute norme harmonisée pertinente appliquée ou de toute autre spécification commune ou certification de cybersécurité par rapport auxquelles la conformité est déclarée
le cas échéant, le nom et le numéro de l’organisme notifié, une description de la procédure d’évaluation de la conformité suivie et la référence du certificat délivré
informations supplémentaires:
Signé par et au nom de:
(date et lieu d’établissement):
(nom, fonction) (signature):
ANNEXE VI
DÉCLARATION UE DE CONFORMITÉ SIMPLIFIÉE
La déclaration UE de conformité simplifiée visée à l’article 13, paragraphe 20, est établie comme suit:
ANNEXE VII
CONTENU DE LA DOCUMENTATION TECHNIQUE
La documentation technique visée à l’article 31 contient au moins les informations ci-après, selon le produit comportant des éléments numériques concerné:
une description générale du produit comportant des éléments numériques, y compris:
l’utilisation prévue;
les versions de logiciel ayant des incidences sur la conformité aux exigences essentielles de cybersécurité;
lorsque le produit comportant des éléments numériques est un produit matériel, des photographies ou des illustrations montrant les caractéristiques extérieures, le marquage et la disposition intérieure;
les informations et instructions destinées à l’utilisateur figurant à l’annexe II;
une description de la conception, du développement et de la fabrication du produit comportant des éléments numériques et des processus de gestion des vulnérabilités, y compris:
les informations nécessaires sur la conception et le développement du produit comportant des éléments numériques, y compris, le cas échéant, des dessins et des schémas et/ou une description de l’architecture du système expliquant comment les composants logiciels s’appuient les uns sur les autres ou s’alimentent et s’intègrent dans le traitement global;
les informations et spécifications nécessaires concernant le processus de gestion des vulnérabilités mis en place par le fabricant, en ce compris la nomenclature des logiciels, la politique coordonnée de divulgation des vulnérabilités, la preuve de la fourniture d’une adresse de contact pour le signalement des vulnérabilités et une description des solutions techniques choisies pour la distribution sécurisée des mises à jour;
les informations et spécifications nécessaires concernant les processus de production et de suivi du produit comportant des éléments numériques et la validation de ces processus;
une évaluation des risques de cybersécurité sur la base de laquelle le produit comportant des éléments numériques est conçu, développé, produit, livré et entretenu, en vertu de l’article 13, y compris la manière dont les exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, sont applicables;
les informations qui ont été prises en compte pour déterminer la période d’assistance en vertu de l’article 13, paragraphe 8, du produit comportant des éléments numériques;
une liste des normes harmonisées, appliquées entièrement ou en partie, dont les références ont été publiées au Journal officiel de l’Union européenne, des spécifications communes telles que définies à l’article 27 du présent règlement ou des schémas européens de certification de cybersécurité adoptés au titre du règlement (UE) 2019/881, conformément à l’article 27, paragraphe 8, du présent règlement, lorsque ces normes harmonisées, spécifications communes ou schémas européens de certification de cybersécurité n’ont pas été appliqués, une présentation des solutions adoptées pour répondre aux exigences essentielles de cybersécurité énoncées à l’annexe I, parties I et II, y compris une liste des autres spécifications techniques pertinentes appliquées. Dans le cas où des normes harmonisées, spécifications communes ou schémas européens de certifications de cybersécurité ont été appliquées en partie, la documentation technique précise les parties appliquées;
les rapports des essais effectués pour vérifier la conformité du produit comportant des éléments numériques et des processus de gestion des vulnérabilités aux exigences essentielles de cybersécurité applicables énoncées à l’annexe I, parties I et II;
une copie de la déclaration UE de conformité;
le cas échéant, la nomenclature des logiciels, à la suite d’une demande motivée d’une autorité de surveillance du marché, pour autant que celle-ci soit nécessaire pour permettre à cette autorité de vérifier le bon respect des exigences essentielles de cybersécurité énoncées à l’annexe I.
ANNEXE VIII
PROCÉDURES D’ÉVALUATION DE LA CONFORMITÉ
Partie I Procédure d’évaluation de la conformité basée sur le contrôle interne (basée sur le module A)
1. Le contrôle interne correspond à la procédure d’évaluation de la conformité par laquelle le fabricant remplit les obligations énoncées aux points 2, 3 et 4 de la présente partie, assure et déclare sous sa seule responsabilité que les produits comportant des éléments numériques satisfont à toutes les exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et par laquelle le fabricant satisfait aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
2. Le fabricant établit la documentation technique décrite à l’annexe VII.
3. Conception, développement, production et gestion des vulnérabilités des produits comportant des éléments numériques
Le fabricant prend toutes les mesures nécessaires pour que les processus de conception, de développement, de production et de gestion des vulnérabilités ainsi que leur suivi garantissent la conformité des produits comportant des éléments numériques fabriqués ou développés et des processus mis en place par lui avec les exigences essentielles de cybersécurité énoncées à l’annexe I, parties I et II.
4. Marquage de conformité et déclaration de conformité
4.1. Le fabricant appose le marquage CE sur chaque produit comportant des éléments numériques qui répond aux exigences applicables énoncées dans le présent règlement.
4.2. Le fabricant établit une déclaration UE de conformité écrite pour chaque produit comportant des éléments numériques conformément à l’article 28 et la tient, accompagnée de la documentation technique, à la disposition des autorités nationales pendant dix ans à partir du moment où le produit concerné a été mis sur le marché ou pendant la période d’assistance, la durée la plus longue étant retenue. La déclaration UE de conformité précise le produit comportant des éléments numériques pour lequel elle a été établie. Une copie de la déclaration UE de conformité est mise à la disposition des autorités compétentes sur demande.
5. Mandataires
Les obligations du fabricant énoncées au point 4 peuvent être remplies par son mandataire, en son nom et sous sa responsabilité, pour autant que les obligations en question soient spécifiées dans le mandat.
Partie II Examen UE de type (basé sur le module B)
1. L’examen UE de type correspond à la partie d’une procédure d’évaluation de la conformité dans laquelle un organisme notifié examine la conception technique et le développement d’un produit comportant des éléments numériques et les processus de gestion des vulnérabilités mis en place par le fabricant, et atteste qu’un produit comportant des éléments numériques satisfait aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et que le fabricant satisfait aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
2. L’examen UE de type consiste en une évaluation de l’adéquation de la conception technique et du développement du produit comportant des éléments numériques par un examen de la documentation technique et des preuves visées au point 3, avec examen d’échantillons d’une ou de plusieurs parties critiques du produit (combinaison du type de fabrication et du type de conception).
3. Le fabricant introduit une demande d’examen UE de type auprès d’un seul organisme notifié de son choix.
Cette demande comporte:
le nom et l’adresse du fabricant, ainsi que le nom et l’adresse du mandataire si la demande est introduite par celui-ci;
une déclaration écrite certifiant que la même demande n’a pas été introduite auprès d’un autre organisme notifié;
la documentation technique, qui permet d’évaluer la conformité du produit comportant des éléments numériques aux exigences essentielles applicables de cybersécurité énoncées à l’annexe I, partie I, et les processus de gestion des vulnérabilités du fabricant énoncés à l’annexe I, partie II, et comprend une analyse et une évaluation adéquates du ou des risques. La documentation technique précise les exigences applicables et couvre, dans la mesure nécessaire à l’évaluation, la conception, la fabrication et le fonctionnement du produit comportant des éléments numériques. La documentation technique contient, le cas échéant, au moins les éléments énoncés à l’annexe VII;
les preuves à l’appui de l’adéquation des solutions de conception technique et de développement et des processus de gestion des vulnérabilités. Ces preuves mentionnent tous les documents qui ont été utilisés, en particulier lorsque les normes harmonisées ou les spécifications techniques applicables n’ont pas été appliquées dans leur intégralité. Elles comprennent, si nécessaire, les résultats des essais effectués par le laboratoire approprié du fabricant ou par un autre laboratoire d’essai en son nom et sous sa responsabilité.
4. L’organisme notifié:
examine la documentation technique et les éléments de preuve pour évaluer l’adéquation de la conception technique et du développement du produit comportant des éléments numériques aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et des processus de gestion des vulnérabilités mis en place par le fabricant aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II;
vérifie que le ou les échantillons ont été développés ou fabriqués en conformité avec la documentation technique et relève les éléments qui ont été conçus et développés conformément aux dispositions applicables des normes harmonisées ou des spécifications techniques pertinentes, ainsi que les éléments dont la conception et le développement ne s’appuient pas sur les dispositions pertinentes desdites normes;
effectue ou fait effectuer les examens et les essais appropriés pour vérifier que, si le fabricant a choisi d’appliquer les solutions indiquées dans les normes harmonisées ou les spécifications techniques pertinentes pour les exigences énoncées à l’annexe I, l’application a été faite correctement;
effectue ou fait effectuer les contrôles et les essais appropriés pour vérifier que, si les solutions indiquées dans les normes harmonisées ou les spécifications techniques pertinentes pour les exigences de l’annexe I n’ont pas été appliquées, les solutions adoptées par le fabricant satisfont aux exigences essentielles de cybersécurité correspondantes;
convient avec le fabricant de l’endroit où les examens et les essais seront effectués.
5. L’organisme notifié établit un rapport d’évaluation répertoriant les activités effectuées conformément au point 4 et leurs résultats. Sans préjudice de ses obligations vis-à-vis des autorités notifiantes, l’organisme notifié ne divulgue le contenu de ce rapport, en totalité ou en partie, qu’avec l’accord du fabricant.
6. Lorsque le type et les processus de gestion des vulnérabilités satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, l’organisme notifié délivre au fabricant une attestation d’examen UE de type. L’attestation contient le nom et l’adresse du fabricant, les conclusions de l’examen, les conditions (éventuelles) de sa validité et les données nécessaires à l’identification du type et des processus de gestion des vulnérabilités approuvés. Une ou plusieurs annexes peuvent être jointes à l’attestation.
L’attestation et ses annexes contiennent toutes les informations nécessaires pour permettre l’évaluation de la conformité des produits comportant des éléments numériques fabriqués ou développés au type examiné et des processus de gestion des vulnérabilités à évaluer et pour permettre un contrôle en service.
Lorsque le type et les processus de gestion des vulnérabilités ne satisfont pas aux exigences essentielles de cybersécurité applicables énoncées à l’annexe I, l’organisme notifié refuse de délivrer une attestation d’examen UE de type et en informe le demandeur, en lui précisant les raisons de son refus.
7. L’organisme notifié suit l’évolution de l’état de la technique généralement reconnu, et lorsque cette évolution donne à penser que le type et les processus de gestion des vulnérabilités approuvés pourraient ne plus être conformes aux exigences essentielles de cybersécurité applicables énoncées à l’annexe I, il détermine si des examens complémentaires sont nécessaires. Si tel est le cas, l’organisme notifié en informe le fabricant.
Le fabricant informe l’organisme notifié qui détient la documentation technique relative à l’attestation d’examen UE de type de toutes les modifications du type et des processus de gestion des vulnérabilités approuvés qui peuvent remettre en cause la conformité aux exigences essentielles de cybersécurité énoncées à l’annexe I, ou les conditions de validité de l’attestation. Ces modifications nécessitent une nouvelle approbation sous la forme d’un complément à l’attestation initiale d’examen UE de type.
8. L’organisme notifié effectue périodiquement des audits afin de s’assurer que les processus de traitement des vulnérabilités décrits à l’annexe I, partie II, sont mis en œuvre de manière adéquate.
9. Chaque organisme notifié informe ses autorités notifiantes des attestations d’examen UE de type et des compléments qu’il a délivrés ou retirés et leur transmet, périodiquement ou sur demande, la liste des attestations et des compléments qu’il a refusés, suspendus ou soumis à d’autres restrictions.
Chaque organisme notifié informe les autres organismes notifiés des attestations d’examen UE de type ou des compléments qu’il a refusés, retirés, suspendus ou soumis à d’autres restrictions et, sur demande, des attestations et des compléments qu’il a délivrés.
La Commission, les États membres et les autres organismes notifiés peuvent, sur demande, obtenir une copie des attestations d’examen UE de type et de leurs compléments. Sur demande, la Commission et les États membres peuvent obtenir une copie de la documentation technique et des résultats des examens réalisés par l’organisme notifié. L’organisme notifié conserve une copie de l’attestation d’examen UE de type, de ses annexes et compléments, ainsi que le dossier technique, y compris la documentation communiquée par le fabricant, jusqu’à la fin de la validité de ladite attestation.
10. Le fabricant tient à la disposition des autorités nationales une copie de l’attestation d’examen UE de type, de ses annexes et compléments, ainsi que la documentation technique, pour une durée de dix ans à partir du moment où le produit comportant des éléments numériques a été mis sur le marché ou pendant la période d’assistance, la plus longue des deux durées étant retenue.
11. Le mandataire du fabricant peut introduire la demande visée au point 3 et s’acquitter des obligations énoncées aux points 7 et 10 pour autant que lesdites obligations soient spécifiées dans le mandat.
Partie III Conformité au type sur la base du contrôle interne de la fabrication (basée sur le module C)
1. La conformité au type sur la base du contrôle interne de la fabrication correspond à la partie de la procédure d’évaluation de la conformité par laquelle le fabricant remplit les obligations énoncées aux points 2 et 3 de la présente partie, et garantit et déclare que les produits comportant des éléments numériques concernés sont conformes au type décrit dans l’attestation d’examen UE de type et satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et que lui-même respecte les exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
2. Production
Le fabricant prend toutes les mesures nécessaires pour que la production et le suivi de celle-ci garantissent la conformité des produits comportant des éléments numériques fabriqués au type approuvé décrit dans l’attestation d’examen UE de type et aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et que lui-même respecte les exigences essentielles énoncées à l’annexe I, partie II.
3. Marquage de conformité et déclaration de conformité
Le fabricant appose le marquage CE sur chaque produit comportant des éléments numériques conforme au type décrit dans l’attestation d’examen UE de type et satisfait aux exigences de cybersécurité applicables énoncées dans l’instrument législatif.
Le fabricant établit une déclaration écrite de conformité concernant un modèle de produit et la tient à la disposition des autorités nationales pendant une durée de dix ans à partir du moment où le produit comportant des éléments numériques a été mis sur le marché ou pendant la période d’assistance, la durée la plus longue étant retenue. La déclaration de conformité précise le modèle de produit pour lequel elle a été établie. Une copie de la déclaration de conformité est mise à la disposition des autorités compétentes sur demande.
4. Mandataire
Les obligations du fabricant énoncées au point 3 peuvent être remplies par son mandataire, en son nom et sous sa responsabilité, pour autant que lesdites obligations soient spécifiées dans le mandat.
Partie IV Conformité sur la base de l’assurance complète de la qualité (basée sur le module H)
1. La conformité sur la base de l’assurance complète de la qualité correspond à la procédure d’évaluation de la conformité par laquelle le fabricant remplit les obligations énoncées aux points 2 et 5 de la présente partie, et garantit et déclare sous sa seule responsabilité que les produits comportant des éléments numériques (ou catégories de produits) concernés satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et que les processus de gestion des vulnérabilités mis en place par le fabricant satisfont aux exigences énoncées à l’annexe I, partie II.
2. Conception, développement, production et gestion des vulnérabilités des produits comportant des éléments numériques.
Le fabricant applique un système de qualité approuvé, tel que spécifié au point 3, pour la conception, le développement et l’inspection finale et l’essai des produits comportant des éléments numériques concernés et pour la gestion des vulnérabilités, maintient son efficacité tout au long de la période d’assistance des produits concernés et fait l’objet d’une surveillance, tel que spécifié au point 4.
3. Système de qualité
Le fabricant introduit, auprès d’un organisme notifié de son choix, une demande d’évaluation de son système de qualité pour les produits comportant des éléments numériques concernés.
Cette demande comporte:
le nom et l’adresse du fabricant, ainsi que le nom et l’adresse du mandataire si la demande est introduite par celui-ci;
la documentation technique, pour un modèle de chaque catégorie de produits comportant des éléments numériques destinés à être fabriqués ou développés. La documentation technique contient, le cas échéant, au minimum, les éléments énoncés à l’annexe VII;
la documentation relative au système de qualité; et
une déclaration écrite certifiant que la même demande n’a pas été introduite auprès d’un autre organisme notifié.
Le système de qualité garantit la conformité des produits comportant des éléments numériques avec les exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et la conformité des processus de gestion des vulnérabilités mis en place par le fabricant avec les exigences énoncées à l’annexe I, partie II.
Tous les éléments, exigences et dispositions adoptés par le fabricant sont réunis de manière systématique et ordonnée dans une documentation sous la forme de mesures, de procédures et d’instructions écrites. Cette documentation relative au système de qualité facilite une interprétation homogène des programmes, des plans, des manuels et des dossiers concernant la qualité.
Elle contient en particulier une description adéquate des éléments suivants:
les objectifs de qualité, l’organigramme ainsi que les responsabilités et les compétences du personnel d’encadrement en matière de qualité de la conception, du développement et des produits, ainsi que de gestion des vulnérabilités;
les spécifications de la conception technique et du développement, y compris les normes, qui seront appliquées et, lorsque les normes harmonisées ou les spécifications techniques pertinentes ne sont pas appliquées intégralement, les moyens qui seront utilisés pour faire en sorte de respecter les exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, qui s’appliquent aux produits comportant des éléments numériques;
les spécifications des procédures, y compris les normes, qui seront appliquées et, lorsque les normes harmonisées ou les spécifications techniques pertinentes ne sont pas appliquées intégralement, les moyens qui seront utilisés pour faire en sorte de respecter les exigences essentielles de cybersécurité énoncées à l’annexe I, partie II, qui s’appliquent au fabricant;
le contrôle de la conception et du développement, ainsi que les techniques de vérification de la conception et du développement, les procédés et les actions systématiques qui seront utilisés lors de la conception et du développement des produits comportant des éléments numériques appartenant à la catégorie couverte;
les techniques correspondantes de production, de contrôle de la qualité et d’assurance de la qualité, les procédés et les actions systématiques qui seront utilisés;
les examens et les essais qui seront effectués avant, pendant et après la production et la fréquence à laquelle ils auront lieu;
des dossiers de qualité tels que les rapports d’inspection et les données d’essais et d’étalonnage, et les rapports sur la qualification du personnel concerné;
les moyens de surveillance permettant de contrôler l’obtention de la qualité requise en matière de conception et de produit et le bon fonctionnement du système de qualité.
L’organisme notifié évalue le système de qualité pour déterminer s’il répond aux exigences visées au point 3.2.
Il présume la conformité à ces exigences pour les éléments du système de qualité qui sont conformes aux spécifications correspondantes de la norme nationale transposant la norme harmonisée applicable ou la spécification technique.
L’équipe d’auditeurs doit posséder une expérience des systèmes de gestion de la qualité et comporter au moins un membre ayant de l’expérience en tant qu’évaluateur dans le groupe de produits et la technologie concernés, ainsi qu’une connaissance des exigences applicables énoncées dans le présent règlement. L’audit comprend une visite d’évaluation dans les installations du fabricant, si de telles installations existent. L’équipe d’auditeurs examine la documentation technique visée au point 3.1, deuxième tiret, afin de vérifier la capacité du fabricant à déterminer les exigences applicables énoncées dans le présent règlement et à réaliser les examens nécessaires en vue de garantir la conformité du produit comportant des éléments numériques à ces exigences.
La décision est notifiée au fabricant ou à son mandataire.
La notification contient les conclusions de l’audit et la décision d’évaluation motivée.
Le fabricant s’engage à remplir les obligations découlant du système de qualité tel qu’il est approuvé et à faire en sorte qu’il demeure adéquat et efficace.
Le fabricant informe l’organisme notifié ayant approuvé le système de qualité de tout projet de modification de celui-ci.
L’organisme notifié examine les modifications envisagées et décide si le système de qualité modifié continuera de répondre aux exigences énoncées au point 3.2 ou si une nouvelle évaluation s’impose.
Il notifie sa décision au fabricant. La notification contient les conclusions de l’examen et la décision d’évaluation motivée.
4. Surveillance sous la responsabilité de l’organisme notifié
Le but de la surveillance est de s’assurer que le fabricant remplit correctement les obligations découlant du système de qualité approuvé.
Le fabricant autorise l’organisme notifié à accéder, à des fins d’évaluation, aux lieux de conception, de développement, de production, d’inspection, d’essai et de stockage et lui fournit toutes les informations nécessaires, notamment:
la documentation sur le système de qualité;
les dossiers de qualité prévus dans la partie du système de qualité consacrée à la conception, tels que les résultats des analyses, des calculs et des essais;
les dossiers de qualité prévus par la partie du système de qualité consacrée à la fabrication, tels que les rapports d’inspection, les données d’essais et d’étalonnage et les rapports sur la qualification du personnel concerné.
L’organisme notifié effectue périodiquement des audits pour s’assurer que le fabricant maintient et applique le système de qualité, et il transmet un rapport d’audit au fabricant.
5. Marquage de conformité et déclaration de conformité
Sur chaque produit comportant des éléments numériques qui satisfait aux exigences énoncées à l’annexe I, partie I, du présent règlement, le fabricant doit apposer le marquage CE et, sous la responsabilité de l’organisme notifié visé au point 3.1, le numéro d’identification de ce dernier.
Le fabricant établit une déclaration écrite de conformité concernant chaque modèle de produit et la tient à la disposition des autorités nationales pendant une durée de dix ans à partir du moment où le produit comportant des éléments numériques a été placé sur le marché ou pendant la période d’assistance, la durée la plus longue étant retenue. La déclaration de conformité précise le modèle de produit pour lequel elle a été établie.
Une copie de la déclaration de conformité est mise à la disposition des autorités compétentes sur demande.
6. Pendant une période d’au moins dix ans à compter de la mise sur le marché du produit comportant des éléments numériques ou pendant la période d’assistance, la durée la plus longue étant retenue, le fabricant doit tenir à la disposition des autorités nationales:
la documentation technique visée au point 3.1;
la documentation concernant le système de qualité visée au point 3.1;
les modifications approuvées visées au point 3.5;
les décisions et rapports de l’organisme notifié visés aux points 3.5 et 4.3.
7. Chaque organisme notifié informe ses autorités notifiantes des approbations de systèmes de qualité délivrées ou retirées et leur transmet, périodiquement ou sur demande, la liste des approbations qu’il a refusées, suspendues ou soumises à d’autres restrictions.
Chaque organisme notifié informe les autres organismes notifiés des approbations de systèmes de qualité qu’il a refusées, suspendues ou retirées et, sur demande, des approbations qu’il a délivrées.
8. Mandataire
Les obligations du fabricant visées aux points 3.1, 3.5, 5 et 6 peuvent être remplies par son mandataire, en son nom et sous sa responsabilité, pour autant que lesdites obligations soient spécifiées dans le mandat.
Une déclaration a été faite en ce qui concerne le présent acte et figure au JO C, 2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj.
( ) Directive 2014/90/UE du Parlement européen et du Conseil du 23 juillet 2014 relative aux équipements marins et abrogeant la directive 96/98/CE du Conseil (JO L 257 du 28.8.2014, p. 146).
( ) Directive (UE) 2016/943 du Parlement européen et du Conseil du 8 juin 2016 sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d’affaires) contre l’obtention, l’utilisation et la divulgation illicites (JO L 157 du 15.6.2016, p. 1).
( *1 ) Règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 relatif aux exigences de cybersécurité horizontales pour les produits comportant des éléments numériques et modifiant les règlements (UE) no 168/2013 et (UE) 2019/1020 et la directive (UE) 2020/1828 (règlement sur la cyberrésilience) (JO L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj).».
( *2 ) Règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 relatif aux exigences horizontales de cybersécurité pour les produits comportant des éléments numériques et modifiant les règlements (UE) no 168/2013 et (UE) 2019/1020 et la directive (UE) 2020/1828 (règlement sur la cyberrésilience) (JO L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj).»
( ) Règlement (UE) no 168/2013 du Parlement européen et du Conseil du 15 janvier 2013 relatif à la réception et à la surveillance du marché des véhicules à deux ou trois roues et des quadricycles (JO L 60 du 2.3.2013, p. 52).
( ) Directive 2009/48/CE du Parlement européen et du Conseil du 18 juin 2009 relative à la sécurité des jouets (JO L 170 du 30.6.2009, p. 1).
( ) Directive (UE) 2019/944 du Parlement européen et du Conseil du 5 juin 2019 concernant des règles communes pour le marché intérieur de l’électricité et modifiant la directive 2012/27/UE (JO L 158 du 14.6.2019, p. 125).
( ) JO L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj.