À qui s'applique le Cyber Resilience Act ?

Le RCR s'applique aux opérateurs économiques de la chaîne d'approvisionnement des produits comportant des éléments numériques dotés d'une connexion de données directe ou indirecte (art. 2 et 3). Deux questions suffisent à déterminer le périmètre. Répondez aux deux avant de déterminer quel opérateur vous êtes : si l'une des deux est négative, le reste du RCR ne vous concerne pas. Deux réponses positives et vous êtes fabricant au sens du RCR, quel que soit le pays d'établissement de votre entreprise. C'est à la deuxième question que l'on se trompe le plus souvent, car le caractère indirect compte : un capteur qui n'atteint Internet que via une passerelle est dans le périmètre. La première question a son propre piège -- l'hébergement n'est pas un refuge lorsque le produit en dépend. Un logiciel conçu par le fabricant pour fonctionner à distance, dont le produit a besoin pour assurer une fonction essentielle, est considéré comme faisant partie du produit (art. 3(2)). Les fabricants portent les obligations principales : conception sécurisée, documentation technique, évaluation de conformité, gestion des vulnérabilités, SBOM et signalement d'incidents. Un fabricant établi hors de l'UE doit désigner un mandataire autorisé dans l'Union, ou garantir qu'un opérateur économique établi dans l'UE exécute les tâches pertinentes au titre de l'article 4 du Règlement (UE) 2019/1020 (art. 18 du RCR). Les importateurs ne peuvent mettre sur le marché de l'UE que des produits conformes et doivent vérifier que le fabricant a rempli ses obligations. Les distributeurs doivent agir avec diligence et s'assurer que le marquage CE et la documentation requise sont en place avant de rendre un produit disponible. Chaîne d'approvisionnement OEM. Le RCR impose des obligations à l'entité qui met le produit sur le marché de l'UE sous sa propre dénomination ou marque. La conformité suit la marque sur l'emballage, pas l'origine de la technologie. Portée extraterritoriale. Une entreprise établie hors de l'UE qui commercialise des produits comportant des éléments numériques dans l'Union est concernée. Exclusions. Dispositifs médicaux (MDR/IVDR), véhicules à moteur et aviation civile (EASA). Les logiciels open source développés hors d'une activité commerciale sont en grande partie hors champ.