Le Règlement sur la cyberrésilience s'applique-t-il au SaaS ?

En soi, le SaaS autonome n'est pas un « produit comportant des éléments numériques » au sens du RCR, et l'infrastructure cloud tierce générique sur laquelle vous vous appuyez est traitée comme une dépendance externe plutôt que comme partie de votre produit (art. 2, 3).

Le cloud entre dans le champ d'application uniquement lorsqu'il s'agit d'une solution de traitement des données à distance : un logiciel conçu par le fabricant, à distance, dont l'absence empêcherait le produit connecté d'assurer une fonction essentielle (art. 3, par. 2). Le critère est la dépendance fonctionnelle, et non le simple fait d'« utiliser le cloud ». Un hub domotique qui ne fonctionne pas sans le backend du fabricant intègre ce backend dans le périmètre ; une application web hébergée sur la plateforme d'un tiers ne devient pas soumise au RCR du seul fait d'y tourner. L'ébauche d'orientation de la Commission européenne de mars 2026 a confirmé cette frontière.