À qui s'applique le Cyber Resilience Act ?

Le RCR s'applique aux opérateurs économiques de la chaîne d'approvisionnement des produits comportant des éléments numériques dotés d'une connexion de données directe ou indirecte (art. 2 et 3). **Les fabricants** portent les obligations principales : conception sécurisée, documentation technique, évaluation de conformité, gestion des vulnérabilités, SBOM et signalement d'incidents. Un fabricant établi hors de l'UE doit désigner un mandataire autorisé dans l'Union, ou garantir qu'un opérateur économique établi dans l'UE exécute les tâches pertinentes au titre de l'article 4 du Règlement (UE) 2019/1020 (art. 18 du RCR). **Les importateurs** ne peuvent mettre sur le marché de l'UE que des produits conformes et doivent vérifier que le fabricant a rempli ses obligations. **Les distributeurs** doivent agir avec diligence et s'assurer que le marquage CE et la documentation requise sont en place avant de rendre un produit disponible. **Chaîne d'approvisionnement OEM.** Le RCR impose des obligations à l'entité qui met le produit sur le marché de l'UE sous sa propre dénomination ou marque. La conformité suit la marque sur l'emballage, pas l'origine de la technologie. **Portée extraterritoriale.** Une entreprise établie hors de l'UE qui commercialise des produits comportant des éléments numériques dans l'Union est concernée. **Exclusions.** Dispositifs médicaux (MDR/IVDR), véhicules à moteur et aviation civile (EASA). Les logiciels open source développés hors d'une activité commerciale sont en grande partie hors champ.