The text on a date

The publisher's dates this site holds for this act

• Entry into force: 2024-12-10 (the publisher's qualifier, word for word: DATPUB +20 V ART 71.1)
• Application: 2026-06-11 (the publisher's qualifier, word for word: MA/PART V ART 71.2)
• Application: 2026-09-11 (the publisher's qualifier, word for word: MA/PART V ART 71.2)
• Application: 2027-12-11 (the publisher's qualifier, word for word: V ART 71.2)
• Deadline: 2028-09-11 (the publisher's qualifier, word for word: V ART 70.2)
• Deadline: 2029-12-10 (the publisher's qualifier, word for word: V ART 61.2)
• Deadline: 2030-12-11 (the publisher's qualifier, word for word: B-19.12 V ART 70.1)

Not held for this act: end of validity. The publisher's dated statements this site holds for it give no such date, which says nothing of whether the act has one.

None of the dates above is used to choose a wording: each wording below carries its own date.

32024R2847, fra, the original wording of 2024-10-23 (the act's date in the publisher's Formex package)

This wording answers the dates from 2024-10-23 to the day before 2024-11-20, the date of the next wording.

/eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra

71 articles quoted, 0 held without text.

Page 1 of 2: Article premier to Article 27.

1. 001 Article premier

   Article premier Objet Le présent règlement établit: a) les règles relatives à la mise à disposition sur le marché de produits comportant des éléments numériques afin de garantir la cybersécurité de ces produits; b) les exigences essentielles de cybersécurité relatives à la conception, au développement et à la production de produits comportant des éléments numériques, et les obligations qui incombent aux opérateurs économiques en ce qui concerne ces produits eu égard à la cybersécurité; c) les exigences essentielles de cybersécurité relatives aux processus de gestion des vulnérabilités mis en place par les fabricants pour garantir la cybersécurité des produits comportant des éléments numériques durant la période d’utilisation prévue du produit, et les obligations incombant aux opérateurs économiques en ce qui concerne ces processus; d) les règles relatives à la surveillance, y compris le contrôle, du marché et au contrôle de l’application des règles et exigences visées au présent article.

   Text digest 044cabe2b90bba443f53caeb8f9ddb1b206c63035b7211db92013d895c30279a, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/001

2. 002 Article 2

   Article 2 Champ d’application 1. Le présent règlement s’applique aux produits comportant des éléments numériques mis à disposition sur le marché dont l’utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte, logique ou physique, à un dispositif ou à un réseau. 2. Le présent règlement ne s’applique pas aux produits comportant des éléments numériques auxquels s’appliquent les actes juridiques de l’Union suivants: a) règlement (UE) 2017/745; b) règlement (UE) 2017/746; c) règlement (UE) 2019/2144. 3. Le présent règlement ne s’applique pas aux produits comportant des éléments numériques qui ont été certifiés conformément au règlement (UE) 2018/1139. 4. Le présent règlement ne s’applique pas aux équipements qui relèvent du champ d’application de la directive 2014/90/UE du Parlement européen et du Conseil. 5. L’application du présent règlement à des produits comportant des éléments numériques qui relèvent d’autres règles de l’Union fixant des exigences qui couvrent tout ou partie des risques auxquels s’appliquent les exigences essentielles de cybersécurité énoncées à l’annexe I peut être limitée ou exclue lorsque: a) cette limitation ou cette exclusion est compatible avec le cadre réglementaire général qui s’applique à ces produits; et b) les règles sectorielles assurent un niveau de protection identique ou supérieur à celui prévu par le présent règlement. La Commission est habilitée à adopter des actes délégués conformément à l’article 61 pour compléter le présent règlement en précisant si une telle limitation ou exclusion est nécessaire, quels sont les produits et règles concernés et quelle est la portée de la limitation, le cas échéant. 6. Le présent règlement ne s’applique pas aux pièces de rechange qui sont mises à disposition sur le marché pour remplacer des composants identiques dans des produits comportant des éléments numériques et qui sont fabriquées conformément aux mêmes spécifications que les composants qu’elles sont destinées à remplacer. 7. Le présent règlement ne s’applique pas aux produits comportant des éléments numériques qui sont développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense, ni aux produits spécifiquement conçus pour traiter des informations classifiées. 8. Les obligations prévues dans le présent règlement n’impliquent pas la fourniture d’informations dont la divulgation serait contraire aux intérêts essentiels des États membres en matière de sécurité nationale, de sécurité publique ou de défense.

   Text digest e722052c2e9ca08807b7a2d396a4e75971af02b1626efa48603787a6c2055ef7, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/002

3. 003 Article 3

   Article 3 Définitions Aux fins du présent règlement, on entend par: 1) «produit comportant des éléments numériques»: un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément; 2) «traitement de données à distance»: tout traitement de données à distance pour lequel le logiciel est conçu et développé par le fabricant ou sous la responsabilité de ce dernier, et dont l’absence empêcherait le produit comportant des éléments numériques d’exécuter une de ses fonctions; 3) «cybersécurité»: la cybersécurité au sens de l’article 2, point 1), du règlement (UE) 2019/881; 4) «logiciel»: la partie d’un système d’information électronique qui consiste en un code informatique; 5) «matériel informatique»: un système d’information électronique physique, ou des parties de celui-ci, capable de traiter, de stocker ou de transmettre des données numériques; 6) «composant»: un logiciel ou du matériel destiné à être intégré dans un système d’information électronique; 7) «système d’information électronique»: un système, y compris des équipements électriques ou électroniques, capable de traiter, de stocker ou de transmettre des données numériques; 8) «connexion logique»: une représentation virtuelle d’une connexion de données mise en œuvre au moyen d’une interface logicielle; 9) «connexion physique»: une connexion entre des systèmes d’information électroniques ou des composants mis en œuvre par des moyens physiques, y compris par des interfaces électriques, optiques ou mécaniques, des fils ou des ondes radio; 10) «connexion indirecte»: une connexion à un dispositif ou à un réseau, qui n’est pas établie directement, mais plutôt dans le cadre d’un système plus vaste qui peut être directement connecté à ce dispositif ou à ce réseau; 11) «point terminal»: tout dispositif connecté à un réseau et servant de point d’entrée à ce réseau; 12) «opérateur économique»: le fabricant, le mandataire, l’importateur, le distributeur ou une autre personne physique ou morale soumise à des obligations liées à la fabrication de produits comportant des éléments numériques ou à la mise à disposition sur le marché de produits comportant des éléments numériques conformément au présent règlement; 13) «fabricant»: une personne physique ou morale qui développe ou fabrique des produits comportant des éléments numériques ou fait concevoir, développer ou fabriquer des produits comportant des éléments numériques, et les commercialise sous son propre nom ou sa propre marque, à titre onéreux, monétisé ou gratuit; 14) «intendant de logiciels ouverts»: une personne morale, autre que le fabricant, qui a pour objectif ou finalité de fournir un soutien systématique et continu au développement de produits spécifiques comportant des éléments numériques qui répondent aux critères de logiciels libres et ouverts et sont destinés à des activités commerciales, et qui assure la viabilité de ces produits; 15) «mandataire»: une personne physique ou morale établie dans l’Union ayant reçu mandat écrit du fabricant pour agir en son nom aux fins de l’accomplissement de tâches déterminées; 16) «importateur»: une personne physique ou morale établie dans l’Union qui met sur le marché un produit comportant des éléments numériques, lequel porte le nom ou la marque d’une personne physique ou morale établie en dehors de l’Union; 17) «distributeur»: une personne physique ou morale faisant partie de la chaîne d’approvisionnement, autre que le fabricant ou l’importateur, qui met un produit comportant des éléments numériques à disposition sur le marché de l’Union sans altérer ses propriétés; 18) «consommateur»: une personne physique qui agit à des fins qui n’entrent pas dans le cadre de son activité commerciale, industrielle, artisanale ou libérale; 19) «microentreprises», «petites entreprises» et «moyennes entreprises»: respectivement les microentreprises, les petites entreprises et les moyennes entreprises au sens de l’annexe de la recommandation 2003/361/CE; 20) «période d’assistance»: la période au cours de laquelle un fabricant est tenu de garantir que les vulnérabilités d’un produit comportant des éléments numériques sont traitées efficacement et conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II; 21) «mise sur le marché»: la première mise à disposition d’un produit comportant des éléments numériques sur le marché de l’Union; 22) «mise à disposition sur le marché»: la fourniture d’un produit comportant des éléments numériques destiné à être distribué ou utilisé sur le marché de l’Union dans le cadre d’une activité commerciale, à titre onéreux ou gratuit; 23) «utilisation prévue»: l’utilisation à laquelle un produit comportant des éléments numériques est destiné par le fabricant, y compris le contexte et les conditions spécifiques d’utilisation, telles que précisées dans les informations communiquées par le fabricant dans la notice d’utilisation, dans les indications publicitaires ou de vente, ainsi que dans la documentation technique; 24) «utilisation raisonnablement prévisible»: une utilisation qui n’est pas nécessairement celle qui est prévue par le fabricant et qui figure dans la notice d’utilisation, dans les indications publicitaires ou de vente, ainsi que dans la documentation technique, mais qui est susceptible de résulter d’un comportement humain, d’opérations techniques ou d’interactions raisonnablement prévisibles; 25) «mauvaise utilisation raisonnablement prévisible»: l’utilisation d’un produit comportant des éléments numériques d’une manière qui n’est pas conforme à son utilisation prévue, mais qui peut résulter d’un comportement humain ou d’une interaction avec d’autres systèmes raisonnablement prévisibles; 26) «autorité notifiante»: l’autorité nationale chargée de mettre en place et d’accomplir les procédures nécessaires à l’évaluation, à la désignation et à la notification des organismes d’évaluation de la conformité et à leur contrôle; 27) «évaluation de la conformité»: le processus qui permet de vérifier si les exigences essentielles de cybersécurité énoncées à l’annexe I ont été respectées; 28) «organisme d’évaluation de la conformité»: un organisme d’évaluation de la conformité au sens de l’article 2, point 13), du règlement (CE) no 765/2008; 29) «organisme notifié»: un organisme d’évaluation de la conformité désigné en application de l’article 43 et de toute autre législation d’harmonisation de l’Union pertinente; 30) «modification substantielle»: une modification apportée au produit comportant des éléments numériques à la suite de sa mise sur le marché, qui a une incidence sur la conformité du produit comportant des éléments numériques aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, ou qui entraîne une modification de l’utilisation prévue pour laquelle le produit comportant des éléments numériques a été évalué; 31) «marquage CE»: un marquage par lequel un fabricant indique qu’un produit comportant des éléments numériques et les processus mis en place par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I et toute autre législation d’harmonisation de l’Union applicable prévoyant son apposition; 32) «législation d’harmonisation de l’Union»: la législation de l’Union énumérée à l’annexe I du règlement (UE) 2019/1020 et toute autre législation de l’Union harmonisant les conditions de commercialisation des produits auxquels ledit règlement s’applique; 33) «autorité de surveillance du marché»: une autorité de surveillance du marché au sens de l’article 3, point 4), du règlement (UE) 2019/1020; 34) «norme internationale»: une norme internationale au sens de l’article 2, point 1) a), du règlement (UE) no 1025/2012; 35) «norme européenne»: une norme européenne au sens de l’article 2, point 1) b), du règlement (UE) no 1025/2012; 36) «norme harmonisée»: une norme harmonisée au sens de l’article 2, point 1) c), du règlement (UE) no 1025/2012; 37) «risque de cybersécurité»: le potentiel de perte ou de perturbation causé par un incident, à exprimer comme la combinaison de l’ampleur de cette perte ou de cette perturbation et la probabilité que l’incident se produise; 38) «risque de cybersécurité important»: un risque de cybersécurité qui, en raison de ses caractéristiques techniques, peut être présumé hautement susceptible de donner lieu à un incident pouvant avoir des répercussions négatives graves, notamment en causant une perte ou une perturbation matérielle ou immatérielle considérable; 39) «nomenclature des logiciels»: un document officiel contenant les détails et les relations avec la chaîne d’approvisionnement des différents composants utilisés dans la fabrication d’un produit comportant des éléments numériques; 40) «vulnérabilité»: une faiblesse, une susceptibilité ou une faille d’un produit comportant des éléments numériques qui peut être exploitée par une cybermenace; 41) «vulnérabilité exploitable»: une vulnérabilité susceptible d’être utilisée efficacement par un adversaire en conditions de fonctionnement effectives; 42) «vulnérabilité activement exploitée»: une vulnérabilité pour laquelle il existe des preuves fiables qu’elle a été exploitée par un acteur malveillant dans un système sans l’autorisation du propriétaire du système; 43) «incident»: un incident au sens de l’article 6, point 6), de la directive (UE) 2022/2555; 44) «incident ayant des répercussions sur la sécurité du produit comportant des éléments numériques»: un incident qui entache ou est susceptible d’entacher la capacité d’un produit comportant des éléments numériques à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou fonctions; 45) «incident évité»: un incident évité au sens de l’article 6, point 5), de la directive (UE) 2022/2555; 46) «cybermenace»: une cybermenace au sens de l’article 2, point 8), du règlement (UE) 2019/881; 47) «données à caractère personnel»: des données à caractère personnel au sens de l’article 4, point 1), du règlement (UE) 2016/679; 48) «logiciel libre et ouvert»: un logiciel dont le code source est partagé de manière ouverte et qui est mis à disposition sous licence libre et ouverte prévoyant tous les droits pour qu’il soit librement accessible, utilisable, modifiable et redistribuable; 49) «rappel»: un rappel au sens de l’article 3, point 22), du règlement (UE) 2019/1020; 50) «retrait»: un retrait au sens de l’article 3, point 23), du règlement (UE) 2019/1020; 51) «CSIRT désigné comme coordinateur»: un CSIRT désigné comme coordinateur conformément à l’article 12, paragraphe 1, de la directive (UE) 2022/2555.

   Text digest 3803900b8d1504746a04d702ecd52f86343145f906d71ac325de18949cb78e3d, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/003

4. 004 Article 4

   Article 4 Libre circulation 1. Les États membres n’empêchent pas, pour les aspects relevant du présent règlement, la mise à disposition sur le marché de produits comportant des éléments numériques conformes au présent règlement. 2. Lors de foires commerciales, d’expositions, de démonstrations ou d’événements similaires, les États membres n’empêchent pas la présentation ou l’utilisation d’un produit comportant des éléments numériques non conforme au présent règlement, y compris ses prototypes, à condition que le produit porte une marque visible indiquant clairement qu’il n’est pas conforme au présent règlement et qu’il ne doit pas être mis à disposition sur le marché tant qu’il ne sera pas conforme au présent règlement. 3. Les États membres n’empêchent pas la mise à disposition sur le marché de logiciels inachevés qui ne sont pas conformes au présent règlement, à condition que le logiciel ne soit mis à disposition que pour une durée limitée nécessaire à des fins d’essai et qu’il porte une marque visible indiquant clairement que le logiciel n’est pas conforme au présent règlement et qu’il ne sera pas mis à disposition sur le marché à d’autres fins que les essais. 4. Le paragraphe 3 ne s’applique pas aux composants de sécurité visés dans la législation d’harmonisation de l’Union autre que le présent règlement.

   Text digest 3c8d2437576a84ff707d3b4dd1bf3f22edda435025dc221b5cdd767546b348ba, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/004

5. 005 Article 5

   Article 5 Achats publics ou utilisation de produits comportant des éléments numériques 1. Le présent règlement n’empêche pas les États membres de soumettre les produits comportant des éléments numériques à des exigences supplémentaires de cybersécurité en cas d’achats publics ou d’utilisation de ces produits à des fins spécifiques, y compris lorsque ces produits sont achetés ou utilisés à des fins de sécurité nationale ou de défense, à condition que ces exigences soient conformes aux obligations des États membres prévues par le droit de l’Union et qu’elles soient nécessaires et proportionnées à la poursuite de ces fins. 2. Sans préjudice des directives 2014/24/UE et 2014/25/UE, lors des achats publics de produits comportant des éléments numériques relevant du champ d’application du présent règlement, les États membres veillent à la prise en compte, au cours du processus d’achat public, du respect des exigences essentielles de cybersécurité énoncées à l’annexe I du présent règlement, y compris la capacité du fabricant à traiter efficacement les vulnérabilités.

   Text digest 7aa70e7db617f6f4236e14c29f8bc1bd01fd74a6afe50967e5c33bbf8ab6058e, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/005

6. 006 Article 6

   Article 6 Exigences applicables aux produits comportant des éléments numériques Les produits comportant des éléments numériques ne sont mis à disposition sur le marché que: a) s’ils satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, à condition qu’ils soient correctement installés, entretenus et utilisés conformément à l’utilisation prévue ou dans des conditions raisonnablement prévisibles et, le cas échéant, que les mises à jour de sécurité nécessaires aient été installées; et b) si les processus mis en place par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.

   Text digest 5c0be01c8c559518f0260a78e5914ebea0381cac3c8a576fd3be503154612db6, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/006

7. 007 Article 7

   Article 7 Produits importants comportant des éléments numériques 1. Les produits comportant des éléments numériques dont la fonctionnalité de base est celle d’une catégorie de produit énoncée à l’annexe III sont considérés comme des produits importants comportant des éléments numériques et sont soumis aux procédures d’évaluation de la conformité visées à l’article 32, paragraphes 2 et 3. L’intégration dans un produit d’un produit comportant des éléments numériques dont la fonctionnalité de base est celle d’une catégorie de produits énoncée à l’annexe III n’amène pas en tant que telle le produit dans lequel ledit produit comportant des éléments numériques a été intégré à être soumis aux procédures d’évaluation de la conformité visées à l’article 32, paragraphes 2 et 3. 2. Les catégories de produits comportant des éléments numériques visées au paragraphe 1 du présent article, réparties entre les classes I et II figurant à l’annexe III, remplissent au moins l’un des critères suivants: a) le produit comportant des éléments numériques exécute des fonctions essentielles pour la cybersécurité d’autres produits, réseaux ou services, y compris la sécurisation des authentifications et des accès, la prévention et la détection des intrusions, la sécurité des points terminaux ou la protection des réseaux; b) le produit comportant des éléments numériques exécute une fonction qui comporte un risque important d’effets néfastes du fait de son intensité et de sa capacité à perturber, contrôler ou endommager un grand nombre d’autres produits ou à porter atteinte à la santé, à la sécurité ou à la sûreté de ses utilisateurs par une manipulation directe, par exemple une fonction du système central, y compris la gestion du réseau, le contrôle de la configuration, la virtualisation ou le traitement des données à caractère personnel. 3. La Commission est habilitée à adopter des actes délégués conformément à l’article 61 pour modifier l’annexe III en ajoutant une nouvelle catégorie dans chaque classe de la liste des catégories de produits comportant des éléments numériques et en précisant la définition de celle-ci, en déplaçant une catégorie de produits d’une classe à l’autre ou en retirant une catégorie existante de cette liste. Lorsqu’elle évalue la nécessité de modifier la liste figurant à l’annexe III, la Commission tient compte des fonctionnalités liées à la cybersécurité ou de la fonction et du niveau de risque de cybersécurité que présentent les produits comportant des éléments numériques qui répondent aux critères visés au paragraphe 2 du présent article. Les actes délégués visés au premier alinéa du présent paragraphe prévoient, le cas échéant, une période transitoire d’au moins 12 mois, en particulier lorsqu’une nouvelle catégorie de produits importants comportant des éléments numériques est ajoutée à la classe I ou à la classe II ou est déplacée de la classe I à la classe II, figurant à l’annexe III, avant que les procédures d’évaluation de la conformité pertinentes visées à l’article 32, paragraphes 2 et 3, ne deviennent d’application, à moins que des raisons d’urgence impérieuse ne justifient une période transitoire plus courte. 4. Au plus tard le 11 décembre 2025, la Commission adopte un acte d’exécution précisant la description technique des catégories de produits comportant des éléments numériques qui relèvent des classes I et II figurant à l’annexe III, ainsi que la description technique des catégories de produits comportant des éléments numériques qui figurent à l’annexe IV. Cet acte d’exécution est adopté en conformité avec la procédure d’examen visée à l’article 62, paragraphe 2.

   Text digest c70a38985e45b371e72a4ddb7b0f0f607e7f2d480c919e08abdb77970a66d3d8, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/007

8. 008 Article 8

   Article 8 Produits critiques comportant des éléments numériques 1. La Commission est habilitée à adopter des actes délégués conformément à l’article 61 pour compléter le présent règlement afin de déterminer quels produits comportant des éléments numériques dont la fonctionnalité de base est celle d’une catégorie de produits qui figure à l’annexe IV du présent règlement doivent être tenus d’obtenir un certificat de cybersécurité européen au minimum au niveau d’assurance dit «substantiel» dans le cadre d’un schéma européen de certification de cybersécurité adopté en vertu du règlement (UE) 2019/881, afin de démontrer leur conformité aux exigences essentielles de cybersécurité énoncées à l’annexe I du présent règlement, ou à des parties de ces exigences, à condition qu’un schéma européen de certification de cybersécurité qui couvre ces catégories de produits comportant des éléments numériques ait été adopté en vertu du règlement (UE) 2019/881 et soit à la disposition des fabricants. Ces actes délégués précisent le niveau d’assurance nécessaire qui est proportionné au niveau de risque de cybersécurité associé aux produits comportant des éléments numériques et ils tiennent compte de l’utilisation prévue de ces produits, y compris la dépendance critique à leur égard d’entités essentielles visées à l’article 3, paragraphe 1, de la directive (UE) 2022/2555. Avant d’adopter ces actes délégués, la Commission procède à une évaluation des effets potentiels sur le marché des mesures envisagées, ainsi qu’à des consultations des parties intéressées, y compris le groupe européen de certification de cybersécurité institué au titre du règlement (UE) 2019/881. L’évaluation prend en considération l’état de préparation et le niveau des capacités des États membres pour la mise en œuvre du schéma européen de certification de cybersécurité pertinent. Lorsque aucun acte délégué tel que visé au premier alinéa du présent paragraphe n’a été adopté, les produits comportant des éléments numériques dont la fonctionnalité de base est celle d’une catégorie de produits qui figure à l’annexe IV sont soumis aux procédures d’évaluation de la conformité visées à l’article 32, paragraphe 3. Les actes délégués visés au premier alinéa prévoient une période transitoire d’au moins six mois, à moins que des raisons d’urgence impérieuse ne justifient une période transitoire plus courte. 2. La Commission est habilitée à adopter des actes délégués conformément à l’article 61 pour modifier l’annexe IV en ajoutant ou en retirant des catégories de produits critiques comportant des éléments numériques. Lorsqu’elle fixe ces catégories de produits critiques comportant des éléments numériques et le niveau d’assurance requis, conformément au paragraphe 1 du présent article, la Commission tient compte des critères visés à l’article 7, paragraphe 2, et veille à ce que les catégories de produits critiques comportant des éléments numériques remplissent au moins l’un des critères suivants: a) il existe une dépendance critique d’entités essentielles visées à l’article 3 de la directive (UE) 2022/2555 à l’égard de la catégorie de produits comportant des éléments numériques; b) des incidents et des vulnérabilités exploitées concernant la catégorie de produits comportant des éléments numériques pourrait entraîner de graves perturbations de chaînes d’approvisionnement critiques du marché intérieur. Avant d’adopter ces actes délégués, la Commission procède à une évaluation du même type que celle visée au paragraphe 1. Les actes délégués visés au premier alinéa prévoient une période transitoire d’au moins six mois, à moins que des raisons d’urgence impérieuse ne justifient une période transitoire plus courte.

   Text digest bdc1a87ee275f5ef88693cef45990c1f6fe163f41fcbf4d9845a49e10dcaaa34, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/008

9. 009 Article 9

   Article 9 Consultation des parties intéressées 1. Lors de l’élaboration des mesures de mise en œuvre du présent règlement, la Commission consulte les parties intéressées, telles que les autorités des États membres concernées, les entreprises du secteur privé, y compris les microentreprises et les petites et moyennes entreprises, la communauté des logiciels ouverts, les associations de consommateurs, le milieu universitaire et les organismes et organes compétents de l’Union, ainsi que les groupes d’experts établis au niveau de l’Union. En particulier, la Commission consulte ces parties intéressées et sollicite leur avis, de manière structurée, lorsque cela s’y prête: a) au moment d’élaborer les orientations visées à l’article 26; b) au moment de préparer les descriptions techniques spécifiques des catégories de produits figurant à l’annexe III conformément à l’article 7, paragraphe 4, d’évaluer la nécessité d’éventuelles mises à jour de la liste des catégories de produits conformément à l’article 7, paragraphe 3, et à l’article 8, paragraphe 2, ou de procéder à l’évaluation des effets potentiels sur le marché visée à l’article 8, paragraphe 1, sans préjudice de l’article 61; c) au moment d’entreprendre des travaux préparatoires en vue de l’évaluation et du réexamen du présent règlement. 2. La Commission organise régulièrement des sessions de consultation et d’information, et au moins une fois par an, afin de recueillir l’avis des parties intéressées visées au paragraphe 1 sur la mise en œuvre du présent règlement.

   Text digest 16acb885f30175b53045ee0cb64fd33370feff580bb228a4fe5804ab0a9061d3, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/009

10. 010 Article 10

    Article 10 Renforcement des compétences dans un environnement numérique cyberrésilient Aux fins du présent règlement et afin de répondre aux besoins des professionnels à l’appui de la mise en œuvre du présent règlement, les États membres, avec, le cas échéant, le soutien de la Commission, du Centre européen de compétences en matière de cybersécurité et de l’ENISA, tout en respectant pleinement la responsabilité des États membres dans le domaine de l’éducation, favorisent des mesures et des stratégies visant: a) à développer des compétences en matière de cybersécurité et à créer des outils organisationnels et technologiques pour garantir une disponibilité suffisante de professionnels qualifiés afin de soutenir les activités des autorités de surveillance du marché et des organismes d’évaluation de la conformité; b) à renforcer la collaboration entre le secteur privé, les opérateurs économiques, y compris par la reconversion ou le perfectionnement des salariés des fabricants, les consommateurs, les prestataires de formation et les administrations publiques, élargissant ainsi les possibilités pour les jeunes d’accéder à des emplois dans le secteur de la cybersécurité.

    Text digest d0e8a81afedb055b02ab06cf53e4713d6c7f0549ef487855f008205d788850f9, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/010

11. 011 Article 11

    Article 11 Sécurité générale des produits Par dérogation à l’article 2, paragraphe 1, troisième alinéa, point b), du règlement (UE) 2023/988, le chapitre III, section 1, les chapitres V et VII, et les chapitres IX à XI dudit règlement s’appliquent aux produits comportant des éléments numériques en ce qui concerne les aspects et les risques ou catégories de risques qui ne sont pas couverts par le présent règlement lorsque ces produits ne sont pas soumis à des exigences spécifiques prévues dans d’autres actes faisant partie de la législation d’harmonisation de l’Union au sens de l’article 3, point 27), du règlement (UE) 2023/988.

    Text digest 9c9cc67cadab8916f205923f9f4c769be0e6aeff982193480a6d378d8fc182af, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/011

12. 012 Article 12

    Article 12 Systèmes d’IA à haut risque 1. Sans préjudice des exigences en matière d’exactitude et de robustesse énoncées à l’article 15 du règlement (UE) 2024/1689, les produits comportant des éléments numériques qui relèvent du champ d’application du présent règlement et sont classés comme des systèmes d’IA à haut risque conformément à l’article 6 dudit règlement sont réputés conformes aux exigences de cybersécurité énoncées à l’article 15 dudit règlement: a) lorsque ces produits satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I; b) lorsque les processus mis en place par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II; et c) lorsque le niveau de cyberprotection requis à l’article 15 du règlement (UE) 2024/1689 est démontré par la déclaration UE de conformité délivrée en vertu du présent règlement. 2. Pour les produits comportant des éléments numériques et les exigences de cybersécurité visés au paragraphe 1 du présent article, la procédure d’évaluation de la conformité pertinente prévue à l’article 43 du règlement (UE) 2024/1689 s’applique. Aux fins de cette évaluation, les organismes notifiés qui sont compétents pour contrôler la conformité des systèmes d’IA à haut risque au titre du règlement (UE) 2024/1689 sont également compétents pour contrôler la conformité des systèmes d’IA à haut risque qui relèvent du champ d’application du présent règlement aux exigences énoncées à l’annexe I du présent règlement, à condition que la conformité de ces organismes notifiés aux exigences prévues par l’article 39 du présent règlement ait été évaluée dans le cadre de la procédure de notification prévue par le règlement (UE) 2024/1689. 3. Par dérogation au paragraphe 2 du présent article, les produits importants comportant des éléments numériques énumérés à l’annexe III du présent règlement, qui font l’objet des procédures d’évaluation de la conformité prévues par l’article 32, paragraphe 2, points a) et b), et l’article 32, paragraphe 3, du présent règlement ainsi que les produits critiques comportant des éléments numériques énumérés à l’annexe IV du présent règlement qui doivent obtenir un certificat de cybersécurité européen au titre de l’article 8, paragraphe 1, du présent règlement ou, à défaut, qui font l’objet des procédures d’évaluation de la conformité prévues par l’article 32, paragraphe 3, du présent règlement, et qui sont également classés comme systèmes d’IA à haut risque au titre de l’article 6 du règlement (UE) 2024/1689, et auxquels s’applique la procédure d’évaluation de la conformité fondée sur le contrôle interne prévue à l’annexe VI du règlement (UE) 2024/1689, sont soumis aux procédures d’évaluation de la conformité prévues par le présent règlement en ce qui concerne les exigences essentielles de cybersécurité énoncées dans le présent règlement. 4. Les fabricants de produits comportant des éléments numériques tels que visés au paragraphe 1 du présent article peuvent participer aux sas réglementaires en matière d’IA visés à l’article 57 du règlement (UE) 2024/1689.

    Text digest ce24f7cbdc3fa58997836109b13875fc95ef698b8785a0493857438ed097b7e4, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/012

13. 013 Article 13

    Article 13 Obligations incombant aux fabricants 1. Lorsqu’ils mettent sur le marché un produit comportant des éléments numériques, les fabricants s’assurent que ce produit a été conçu, développé et fabriqué conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I. 2. Aux fins du respect du paragraphe 1, les fabricants procèdent à une évaluation des risques de cybersécurité associés à un produit comportant des éléments numériques et tiennent compte des résultats de cette évaluation au cours des phases de planification, de conception, de développement, de production, de livraison et de maintenance du produit comportant des éléments numériques, en vue de réduire au minimum les risques de cybersécurité, de prévenir les incidents et d’en réduire au minimum leurs répercussions, y compris en ce qui concerne la santé et la sécurité des utilisateurs. 3. L’évaluation des risques de cybersécurité est documentée et mise à jour selon les besoins au cours d’une période d’assistance à déterminer conformément au paragraphe 8 du présent article. Cette évaluation des risques de cybersécurité comprend au moins une analyse des risques de cybersécurité fondée sur l’utilisation prévue et l’utilisation raisonnablement prévisible, ainsi que sur les conditions d’utilisation du produit comportant des éléments numériques, tels que l’environnement opérationnel ou les actifs à protéger, compte tenu de la durée prévue d’utilisation du produit. L’évaluation des risques de cybersécurité indique si et, dans l’affirmative, de quelle manière, les exigences de sécurité énoncées à l’annexe I, partie I, point 2), sont applicables au produit comportant des éléments numériques concerné et comment ces exigences sont mises en œuvre sur la base de l’évaluation du risque de cybersécurité. Elle indique également de quelle manière le fabricant doit appliquer l’annexe I, partie I, point 1), ainsi que les exigences relatives à la gestion des vulnérabilités énoncées à l’annexe I, partie II. 4. Lorsqu’il met sur le marché un produit comportant des éléments numériques, le fabricant inclut l’évaluation des risques de cybersécurité visée au paragraphe 3 du présent article dans la documentation technique requise conformément à l’article 31 et à l’annexe VII. Pour les produits comportant des éléments numériques mentionnés à l’article 12, qui relèvent aussi d’autres actes juridiques de l’Union, l’évaluation des risques de cybersécurité peut faire partie de l’évaluation des risques prévue par ces actes juridiques de l’Union. Lorsque certaines exigences essentielles de cybersécurité ne sont pas applicables au produit comportant des éléments numériques, le fabricant fait figurer une justification claire dans cette documentation technique. 5. Aux fins du respect de l’obligation énoncée au paragraphe 1, les fabricants font preuve de diligence raisonnable lorsqu’ils intègrent dans des produits comportant des éléments numériques des composants obtenus auprès de tiers, de sorte que ces composants ne compromettent pas la cybersécurité du produit comportant des éléments numériques, y compris lors de l’intégration de composants de logiciels libres et ouverts qui n’ont pas été mis à disposition sur le marché dans le cadre d’une activité commerciale. 6. Lorsqu’ils identifient une vulnérabilité dans un composant, y compris un composant logiciel ouvert, qui est intégré au produit comportant des éléments numériques, les fabricants signalent la vulnérabilité à la personne ou à l’entité qui assure la maintenance du composant, et s’attaquent et remédient à la vulnérabilité conformément aux exigences relatives à la gestion des vulnérabilités énoncées à l’annexe I, partie II. Lorsque les fabricants ont mis au point une modification logicielle ou matérielle pour remédier à la vulnérabilité de ce composant, ils partagent le code ou la documentation correspondants avec la personne ou l’entité qui fabrique le composant ou en assure la maintenance, dans un format lisible par machine s’il y a lieu. 7. Les fabricants documentent systématiquement, d’une manière proportionnée à la nature et à l’ampleur des risques de cybersécurité, les aspects pertinents pour la cybersécurité concernant le produit comportant des éléments numériques, y compris les vulnérabilités dont ils prennent connaissance et toute information pertinente fournie par des tiers, et, le cas échéant, mettent à jour l’évaluation des risques de cybersécurité du produit. 8. Lorsqu’ils mettent sur le marché un produit comportant des éléments numériques, et pendant la période d’assistance, les fabricants veillent à ce que les vulnérabilités de ce produit, y compris de ses composants, soient gérées efficacement et conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II. Les fabricants fixent la période d’assistance de sorte qu’elle reflète la durée pendant laquelle le produit est censé pouvoir être utilisé, en tenant compte, en particulier, des attentes raisonnables des utilisateurs, de la nature du produit, y compris de son utilisation prévue, ainsi que du droit de l’Union applicable déterminant la durée de vie des produits comportant des éléments numériques. Lorsqu’ils déterminent la période d’assistance, les fabricants peuvent également tenir compte des périodes d’assistance des produits comportant des éléments numériques offrant une fonctionnalité similaire mis sur le marché par d’autres fabricants, de la disponibilité de l’environnement opérationnel, des périodes d’assistance des composants intégrés qui assurent des fonctions essentielles et proviennent de tiers, ainsi que des orientations pertinentes fournies par le groupe de coopération administrative (ADCO) institué en vertu de l’article 52, paragraphe 15, et par la Commission. Les éléments à prendre en compte pour définir la période d’assistance sont pris en compte de manière à garantir la proportionnalité. Sans préjudice du deuxième alinéa, la période d’assistance est d’au moins cinq ans. Lorsque le produit comportant des éléments numériques est censé pouvoir être utilisé pendant moins de cinq ans, la période d’assistance correspond à la durée d’utilisation prévue. Compte tenu des recommandations ADCO visées à l’article 52, paragraphe 16, la Commission peut adopter des actes délégués conformément à l’article 61 afin de compléter le présent règlement en précisant la période d’assistance minimale pour des catégories de produits spécifiques lorsque les données de surveillance du marché indiquent que les périodes d’assistance fixées sont insuffisantes. Les fabricants font figurer dans la documentation technique visée à l’annexe VII les informations qui ont été prises en compte pour déterminer la période d’assistance du produit comportant des éléments numériques. Les fabricants disposent de politiques et de procédures appropriées, notamment les politiques de divulgation coordonnée des vulnérabilités mentionnées à l’annexe I, partie II, point 5), pour traiter et corriger les vulnérabilités potentielles du produit comportant des éléments numériques signalées par des sources internes ou externes. 9. Les fabricants veillent à ce que chaque mise à jour de sécurité, visée à l’annexe I, partie II, point 8), qui a été mise à la disposition des utilisateurs au cours de la période d’assistance, reste disponible après son émission pendant dix ans au minimum ou pendant le reste de la période d’assistance, la période la plus longue étant retenue. 10. Lorsqu’un fabricant met sur le marché des versions ultérieures substantiellement modifiées d’un logiciel, il peut garantir la conformité avec l’exigence essentielle de cybersécurité énoncée à l’annexe I, partie II, point 2), uniquement pour la dernière version mise sur le marché, à condition que les utilisateurs des versions précédemment mises sur le marché aient accès gratuitement aux dernières versions mises sur le marché et ne doivent pas supporter des coûts supplémentaires pour adapter l’environnement matériel et logiciel dans lequel ils utilisent la version originale de ce produit. 11. Les fabricants peuvent conserver des archives logicielles publiques améliorant l’accès des utilisateurs aux versions antérieures. Dans ces cas, les utilisateurs sont clairement informés, d’une manière aisément accessible, des risques associés à l’utilisation de logiciels non pris en charge. 12. Avant de mettre sur le marché un produit comportant des éléments numériques, les fabricants établissent la documentation technique visée à l’article 31. Ils appliquent ou font appliquer les procédures d’évaluation de la conformité choisies visées à l’article 32. Lorsqu’il a été démontré, au moyen de cette procédure d’évaluation de la conformité, que le produit comportant des éléments numériques est conforme aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et que les processus mis en place par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II, les fabricants établissent la déclaration UE de conformité conformément à l’article 28 et appose le marquage CE conformément à l’article 30. 13. Les fabricants tiennent la documentation technique et la déclaration UE de conformité à la disposition des autorités de surveillance du marché pendant une durée d’au moins dix ans après la mise sur le marché du produit comportant des éléments numériques ou pendant la période d’assistance, la période la plus longue étant retenue. 14. Les fabricants veillent à ce que des procédures soient en place pour que la conformité avec le présent règlement des produits comportant des éléments numériques produits en série reste assurée. Les fabricants tiennent dûment compte des modifications du processus de développement et de production ou de la conception ou des caractéristiques du produit comportant des éléments numériques, ainsi que des modifications des normes harmonisées, des schémas européens de certification de cybersécurité ou des spécifications techniques visées à l’article 27 au regard desquelles la conformité du produit comportant des éléments numériques est déclarée ou en application desquelles sa conformité est vérifiée. 15. Les fabricants veillent à ce que leurs produits comportant des éléments numériques portent un numéro de type, de lot ou de série ou tout autre élément permettant leur identification ou, lorsque cela n’est pas possible, à ce que cette information soit fournie sur l’emballage ou dans un document accompagnant le produit comportant des éléments numériques. 16. Le fabricant indique son nom, sa raison sociale ou sa marque déposée et ses adresses postale, électronique ou autre moyen numérique, ainsi que, le cas échéant, l’adresse du site internet, auxquelles il peut être contacté sur le produit comportant des éléments numériques, sur son emballage ou dans un document l’accompagnant. Ces informations figurent également dans les informations et instructions destinées à l’utilisateur énoncées à l’annexe II. Les coordonnées sont indiquées dans une langue aisément compréhensible par les utilisateurs et les autorités de surveillance du marché. 17. Aux fins du présent règlement, les fabricants désignent un point de contact unique pour permettre aux utilisateurs de communiquer directement et rapidement avec lui, y compris afin de faciliter le signalement des vulnérabilités des produits comportant des éléments numériques. Les fabricants veillent à ce que le point de contact unique soit facilement identifiable par les utilisateurs. Ils font également figurer le point de contact unique dans les informations et instructions destinées à l’utilisateur énoncées à l’annexe II. Le point de contact unique permet aux utilisateurs de choisir leurs moyens de communication préférés, ces moyens n’étant pas limités aux outils automatisés. 18. Les fabricants veillent à ce que les produits comportant des éléments numériques soient accompagnés des informations et des instructions destinées à l’utilisateur énoncées à l’annexe II, sous forme papier ou électronique. Ces informations et instructions sont fournies dans une langue aisément compréhensible par les utilisateurs et les autorités de surveillance du marché. Elles sont claires, compréhensibles, intelligibles et lisibles. Elles permettent une installation, un fonctionnement et une utilisation sécurisés des produits comportant des éléments numériques. Les fabricants tiennent les informations et instructions destinées à l’utilisateur énoncées à l’annexe II à la disposition des utilisateurs et des autorités de surveillance du marché pendant une durée d’au moins dix ans après la mise sur le marché du produit comportant des éléments numériques ou pendant la période d’assistance, la période la plus longue étant retenue. Lorsque ces informations et instructions sont fournies en ligne, les fabricants veillent à ce qu’elles soient accessibles, faciles d’utilisation et disponibles en ligne pendant une durée d’au moins dix ans après la mise sur le marché du produit comportant des éléments numériques ou pendant la période d’assistance, la période la plus longue étant retenue. 19. Les fabricants veillent à ce que la date de fin de la période d’assistance visée au paragraphe 8, y compris au moins le mois et l’année, soit précisée au moment de l’achat, d’une manière claire, compréhensible et aisément accessible et, le cas échéant, sur le produit comportant des éléments numériques, son emballage ou par des moyens numériques. Lorsque cela est techniquement possible compte tenu de la nature du produit comportant des éléments numériques, les fabricants prévoient l’affichage d’une notification aux utilisateurs les informant que leur produit comportant des éléments numériques a atteint la fin de sa période d’assistance. 20. Les fabricants fournissent soit une copie de la déclaration UE de conformité, soit une déclaration UE de conformité simplifiée avec le produit comportant des éléments numériques. Dans le cas où une déclaration UE de conformité simplifiée est jointe, celle-ci contient l’adresse internet exacte à laquelle le texte complet de la déclaration UE de conformité est accessible. 21. Dès la mise sur le marché et pendant la période d’assistance, les fabricants qui considèrent ou ont des raisons de croire que le produit comportant des éléments numériques ou les processus mis en place par le fabricant ne sont pas conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I prennent immédiatement les mesures correctives nécessaires pour mettre ce produit comportant des éléments numériques ou les processus du fabricant en conformité, ou pour procéder à leur retrait ou à leur rappel, selon le cas. 22. Sur requête motivée d’une autorité de surveillance du marché, les fabricants communiquent à cette dernière, dans une langue aisément compréhensible par cette autorité, toutes les informations et tous les documents, sur support papier ou par voie électronique, nécessaires pour démontrer la conformité du produit comportant des éléments numériques et des processus mis en place par le fabricant aux exigences essentielles de cybersécurité énoncées à l’annexe I. Les fabricants coopèrent avec ladite autorité, à la demande de cette dernière, concernant toute mesure prise pour éliminer les risques de cybersécurité présentés par le produit comportant des éléments numériques qu’ils ont mis sur le marché. 23. Un fabricant qui cesse ses activités et qui, de ce fait, n’est pas en mesure de se conformer au présent règlement informe, avant que cette cessation ne prenne effet, les autorités de surveillance du marché concernées, ainsi que, par tout moyen disponible et dans la mesure du possible, les utilisateurs des produits comportant des éléments numériques mis sur le marché concernés de la cessation imminente de ses activités. 24. La Commission peut, par voie d’actes d’exécution tenant compte des normes et bonnes pratiques européennes et internationales, préciser le format et les éléments de la nomenclature des logiciels visée à l’annexe I, partie II, point 1). Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 62, paragraphe 2. 25. Afin d’évaluer la dépendance des États membres et de l’Union dans son ensemble à l’égard des composants logiciels, et en particulier des composants qui répondent aux critères de logiciels libres et ouverts, l’ADCO peut décider de procéder à une évaluation de la dépendance à l’échelle de l’Union pour des catégories spécifiques de produits comportant des éléments numériques. À cette fin, les autorités de surveillance du marché peuvent demander aux fabricants de ces catégories de produits comportant des éléments numériques de fournir les nomenclatures des logiciels pertinentes du matériel visées à l’annexe I, partie II, point 1). Sur la base de ces informations, les autorités de surveillance du marché peuvent fournir à l’ADCO des informations anonymisées et agrégées sur les dépendances logicielles. L’ADCO soumet un rapport sur les résultats de l’évaluation de la dépendance au groupe de coopération institué en vertu de l’article 14 de la directive (UE) 2022/2555.

    Text digest fb3fda589762383b7ac50397b7d7d840200750b33bd77db08eff67963bddfb85, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/013

14. 014 Article 14

    Article 14 Obligations en matière de communication d’informations incombant aux fabricants 1. Un fabricant notifie toute vulnérabilité activement exploitée contenue dans le produit comportant des éléments numériques dont il prend connaissance simultanément au CSIRT désigné comme coordinateur conformément au paragraphe 7 du présent article, et à l’ENISA. Le fabricant notifie cette vulnérabilité activement exploitée par l’intermédiaire de la plateforme unique de signalement établie en vertu de l’article 16. 2. Aux fins de la notification visée au paragraphe 1, le fabricant soumet: a) une alerte précoce de vulnérabilité activement exploitée, sans retard injustifié et, en tout état de cause, au plus tard 24 heures après en avoir eu connaissance, en indiquant, le cas échéant, les États membres sur le territoire desquels il a connaissance que son produit comportant des éléments numériques a été mis à disposition; b) à moins que les informations pertinentes n’aient déjà été communiquées, une notification de vulnérabilité, sans retard injustifié et, en tout état de cause, au plus tard 72 heures après avoir eu connaissance de la vulnérabilité activement exploitée, fournissant les informations générales disponibles sur le produit comportant des éléments numériques concerné, la nature générale de l’exploitation et de la vulnérabilité concernée, ainsi que toute mesure corrective ou d’atténuation prise et les mesures correctives ou d’atténuation que les utilisateurs peuvent prendre, et précisant, s’il y a lieu, le degré de sensibilité qu’il attribue aux informations notifiées; c) à moins que les informations pertinentes n’aient déjà été communiquées, un rapport final, au plus tard 14 jours après la mise à disposition d’une mesure de correction ou d’atténuation, comprenant au moins les éléments suivants: i) une description de la vulnérabilité, y compris de sa gravité et de ses répercussions; ii) le cas échéant, des informations concernant tout acteur malveillant ayant exploité ou exploitant la vulnérabilité; iii) des précisions concernant la mise à jour de sécurité ou les autres mesures correctives qui ont été mises en place pour remédier à la vulnérabilité. 3. Un fabricant notifie tout incident grave ayant des répercussions sur la sécurité du produit comportant des éléments numériques dont il prend connaissance simultanément au CSIRT désigné comme coordinateur conformément au paragraphe 7 du présent article et à l’ENISA. Le fabricant notifie cet incident par l’intermédiaire de la plateforme unique de signalement établie en vertu de l’article 16. 4. Aux fins de la notification visée au paragraphe 3, le fabricant soumet: a) une alerte précoce d’incident grave ayant des répercussions sur la sécurité du produit comportant des éléments numériques, sans retard injustifié et, en tout état de cause, au plus tard 24 heures après en avoir eu connaissance, indiquant, au minimum, si l’incident pourrait avoir été causé par des actes illicites ou malveillants et, le cas échéant, les États membres sur le territoire desquels il a connaissance que son produit comportant des éléments numériques a été mis à disposition; b) à moins que les informations pertinentes n’aient déjà été communiquées, une notification d’incident, sans retard injustifié et, en tout état de cause, au plus tard 72 heures après avoir eu connaissance de l’incident, fournissant les informations générales, lorsqu’elles sont disponibles, sur la nature de l’incident, l’évaluation initiale de l’incident, ainsi que toute mesure corrective ou d’atténuation prise et les mesures correctives ou d’atténuation que les utilisateurs peuvent prendre, et précisant, le cas échéant, le degré de sensibilité qu’il attribue aux informations notifiées; c) à moins que les informations pertinentes n’aient déjà été communiquées, dans un délai d’un mois à compter de la présentation de la notification d’incident visée au point b), un rapport final comprenant au moins les éléments suivants: i) une description détaillée de l’incident, y compris de sa gravité et de ses répercussions; ii) le type de menace ou la cause profonde qui a probablement déclenché l’incident; iii) les mesures d’atténuation appliquées et en cours. 5. Aux fins du paragraphe 3, un incident ayant des répercussions sur la sécurité du produit comportant des éléments numériques est considéré comme grave lorsque: a) il entache ou est susceptible d’entacher la capacité d’un produit comportant des éléments numériques à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou fonctions sensibles ou importantes; ou b) il a conduit ou est susceptible de conduire à l’introduction ou à l’exécution d’un code malveillant dans un produit comportant des éléments numériques ou dans le réseau et les systèmes d’information d’un utilisateur du produit comportant des éléments numériques. 6. Si nécessaire, le CSIRT désigné comme coordinateur qui reçoit initialement la notification peut demander au fabricant de fournir un rapport intermédiaire de situation concernant la vulnérabilité activement exploitée ou l’incident grave ayant des répercussions sur la sécurité du produit comportant des éléments numériques. 7. Les notifications visées aux paragraphes 1 et 3 du présent article sont soumises par l’intermédiaire de la plateforme unique de signalement visée à l’article 16 en utilisant l’un des points finaux de notification électronique visés à l’article 16, paragraphe 1. La notification est soumise au moyen du point final de notification électronique du CSIRT désigné comme coordinateur de l’État membre dans lequel le fabricant a son établissement principal dans l’Union et est simultanément mise à la disposition de l’ENISA. Aux fins du présent règlement, un fabricant est réputé avoir son établissement principal dans l’Union dans l’État membre où sont principalement prises les décisions relatives à la cybersécurité des produits comportant des éléments numériques. Si un tel État membre ne peut être déterminé, l’établissement principal est considéré comme se trouvant dans l’État membre où le fabricant concerné possède l’établissement comptant le plus grand nombre de salariés dans l’Union. Lorsqu’un fabricant n’a pas d’établissement principal dans l’Union, il soumet les notifications visées aux paragraphes 1 et 3 en utilisant le point final de notification électronique du CSIRT désigné comme coordinateur dans l’État membre déterminé conformément à l’ordre suivant, selon les informations dont dispose le fabricant: a) l’État membre dans lequel le mandataire agissant au nom du fabricant pour le plus grand nombre de produits comportant des éléments numériques de ce fabricant est établi; b) l’État membre dans lequel l’importateur qui met sur le marché le plus grand nombre de produits comportant des éléments numériques de ce fabricant est établi; c) l’État membre dans lequel le distributeur qui met à disposition sur le marché le plus grand nombre de produits comportant des éléments numériques de ce fabricant est établi; d) l’État membre dans lequel se trouvent le plus grand nombre d’utilisateurs de produits comportant des éléments numériques de ce fabricant. En ce qui concerne le troisième alinéa, point d), un fabricant peut soumettre des notifications relatives à tout nouveau cas de vulnérabilité activement exploitée ou d’incident grave ayant un impact sur la sécurité du produit comportant des éléments numériques au même CSIRT désigné comme coordinateur que celui avec lequel il a communiqué la première fois. 8. Après avoir pris connaissance d’une vulnérabilité activement exploitée ou d’un incident grave ayant des répercussions sur la sécurité du produit comportant des éléments numériques, le fabricant informe les utilisateurs du produit comportant des éléments numériques touchés et, s’il y a lieu, tous les utilisateurs de ladite vulnérabilité ou dudit incident et, si nécessaire, de toute mesure corrective ou d’atténuation des risques que les utilisateurs peuvent mettre en place pour atténuer les répercussions de cette vulnérabilité ou de cet incident, s’il y a lieu dans un format structuré, lisible par machine pouvant être facilement traité automatiquement. Lorsque le fabricant n’informe pas les utilisateurs du produit comportant des éléments numériques en temps utile, les CSIRT notifiés désignés comme coordinateurs peuvent fournir ces informations aux utilisateurs lorsqu’ils le jugent proportionné et nécessaire pour prévenir ou atténuer les répercussions de cette vulnérabilité ou de cet incident. 9. Au plus tard le 11 décembre 2025, la Commission adopte des actes délégués conformément à l’article 61 du présent règlement pour compléter le présent règlement en précisant les conditions d’application des motifs ayant trait à la cybersécurité en lien avec les retards de diffusion des notifications prévus à l’article 16, paragraphe 2, du présent règlement. La Commission coopère avec le réseau des CSIRT établi en vertu de l’article 15 de la directive (UE) 2022/2555 et l’ENISA pour préparer les projets d’actes délégués. 10. La Commission peut, par voie d’actes d’exécution, préciser plus en détail le format et les procédures des notifications visées au présent article ainsi qu’aux articles 15 et 16. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 62, paragraphe 2. La Commission coopère avec le réseau des CSIRT et l’ENISA pour préparer les projets d’actes d’exécution.

    Text digest 83e1174ee2f6ac10ac6b72a0e9ad8ea290ee41529558f551cf41875641e0e990, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/014

15. 015 Article 15

    Article 15 Signalement volontaire 1. Les fabricants mais aussi d’autres personnes physiques ou morales peuvent notifier toute vulnérabilité contenue dans un produit comportant des éléments numériques ainsi que les cybermenaces susceptibles d’affecter le profil de risque d’un produit comportant des éléments numériques, de manière volontaire, à un CSIRT désigné comme coordinateur ou à l’ENISA. 2. Les fabricants ainsi que d’autres personnes physiques ou morales peuvent notifier tout incident ayant des répercussions sur la sécurité du produit comportant des éléments numériques ainsi que des incidents évités qui auraient pu entraîner un tel incident, de manière volontaire, à un CSIRT désigné comme coordinateur ou à l’ENISA. 3. Le CSIRT désigné comme coordinateur ou l’ENISA traite les notifications visées au paragraphes 1 et 2 du présent article conformément à la procédure prévue à l’article 16. Le CSIRT désigné comme coordinateur peut accorder la priorité au traitement des notifications obligatoires par rapport aux notifications volontaires. 4. Lorsqu’une personne physique ou morale autre que le fabricant notifie une vulnérabilité activement exploitée ou un incident grave ayant des répercussions sur la sécurité d’un produit comportant des éléments numériques conformément au paragraphe 1 ou 2, le CSIRT désigné comme coordinateur en informe le fabricant sans retard injustifié. 5. Les CSIRT désignés comme coordinateurs ainsi que l’ENISA garantissent la confidentialité et une protection appropriée des informations fournies par la personne physique ou morale à l’origine de la notification. Sans préjudice de la prévention et de la détection d’infractions pénales et des enquêtes et poursuites en la matière, un signalement volontaire n’a pas pour effet d’imposer à la personne physique ou morale à l’origine de la notification des obligations supplémentaires auxquelles elle n’aurait pas été soumise si elle n’avait pas fait la notification.

    Text digest ab3d37499d9a172d836bbe48b524303a01dfbd9db034f136c1526c621633fd99, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/015

16. 016 Article 16

    Article 16 Mise en place d’une plateforme unique de signalement 1. Aux fins des notifications visées à l’article 14, paragraphes 1 et 3, et à l’article 15, paragraphes 1 et 2, et afin de simplifier les obligations de signalement des fabricants, l’ENISA met en place une plateforme unique de signalement. Les opérations quotidiennes de la plateforme unique de signalement sont administrées par l’ENISA, qui en assure le fonctionnement. L’architecture de la plateforme unique de signalement permet aux États membres et à l’ENISA de mettre en place leurs propres points finaux de notification électronique. 2. Après réception d’une notification, le CSIRT désigné comme coordinateur qui reçoit initialement la notification diffuse, sans retard, la notification via la plateforme unique de signalement aux CSIRT désignés comme coordinateurs sur le territoire desquels le fabricant a indiqué que le produit comportant des éléments numériques a été mis à disposition. Dans des circonstances exceptionnelles et, en particulier, à la demande du fabricant et compte tenu du degré de sensibilité des informations notifiées indiqué par celui-ci en vertu de l’article 14, paragraphe 2, point a), du présent règlement, la diffusion de la notification peut être retardée pour des motifs justifiés ayant trait à la cybersécurité pour une période limitée à ce qui est strictement nécessaire, y compris lorsqu’une vulnérabilité fait l’objet d’une procédure de divulgation coordonnée des vulnérabilités au titre de l’article 12, paragraphe 1, de la directive (UE) 2022/2555. Lorsqu’un CSIRT décide de retarder la diffusion d’une notification, il en informe immédiatement l’ENISA et fournit à la fois une justification du report de la diffusion de la notification et une indication de la date à laquelle il diffusera la notification conformément à la procédure de diffusion prévue au présent paragraphe. L’ENISA peut soutenir le CSIRT pour l’application de motifs ayant trait à la cybersécurité en ce qui concerne le report de la diffusion de la notification. Dans des circonstances particulièrement exceptionnelles, lorsque le fabricant indique, dans la notification visée à l’article 14, paragraphe 2, point b): a) que la vulnérabilité notifiée a été activement exploitée par un acteur malveillant et que, selon les informations disponibles, elle n’a été exploitée dans aucun autre État membre que celui du CSIRT désigné comme coordinateur auquel le fabricant a notifié la vulnérabilité; b) que toute diffusion ultérieure immédiate de la vulnérabilité notifiée entraînerait probablement la fourniture d’informations dont la divulgation serait contraire aux intérêts essentiels de cet État membre; ou c) que la vulnérabilité notifiée présente un risque de cybersécurité imminent élevé en cas de poursuite de la diffusion. Seules l’information qu’une notification a été effectuée par le fabricant, les informations générales sur le produit, les informations sur la nature générale de l’exploitation et les informations indiquant que des motifs ayant trait à la sécurité ont été soulevés sont mises simultanément à la disposition de l’ENISA jusqu’à ce que la notification complète soit diffusée aux CSIRT concernés et à l’ENISA. Lorsque, sur la base de ces informations, l’ENISA considère qu’il existe un risque systémique compromettant la sécurité du marché intérieur, elle recommande au CSIRT destinataire de diffuser la notification complète aux autres CSIRT désignés comme coordinateurs et à elle-même. 3. Après avoir reçu notification d’une vulnérabilité activement exploitée d’un produit comportant des éléments numériques ou d’un incident grave ayant des répercussions sur la sécurité d’un produit comportant des éléments numériques, les CSIRT désignés comme coordinateurs fournissent aux autorités de surveillance du marché de leurs États membres respectifs les informations notifiées dont elles ont besoin pour s’acquitter des obligations qui leur incombent en vertu du présent règlement. 4. L’ENISA prend des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques pesant sur la sécurité de la plateforme unique de signalement et des informations soumises ou diffusées par l’intermédiaire de cette plateforme. Elle notifie sans retard injustifié tout incident de sécurité affectant la plateforme unique de signalement au réseau des CSIRT ainsi qu’à la Commission. 5. L’ENISA, en coopération avec le réseau des CSIRT, fournit et met en œuvre des spécifications pour les mesures techniques, opérationnelles et organisationnelles relatives à la mise en place, à la maintenance et au fonctionnement sécurisé de la plateforme unique de signalement visée au paragraphe 1, comprenant au moins les dispositions de sécurité liées à la mise en place, au fonctionnement et à la maintenance de la plateforme unique de signalement, ainsi que les points finaux de notification électronique mis en place par les CSIRT désignés comme coordinateurs au niveau national et par l’ENISA au niveau de l’Union, y compris les aspects procéduraux visant à garantir que, lorsqu’une vulnérabilité notifiée ne comporte pas de mesures correctives ou d’atténuation des risques, les informations relatives à cette vulnérabilité sont partagées conformément à des protocoles de sécurité stricts et sur la base du besoin d’en connaître. 6. Lorsqu’un CSIRT désigné comme coordinateur a été informé d’une vulnérabilité activement exploitée dans le cadre d’une procédure de divulgation coordonnée des vulnérabilités visée à l’article 12, paragraphe 1, de la directive (UE) 2022/2555, le CSIRT désigné comme coordinateur qui reçoit initialement la notification peut retarder la diffusion de la notification en question par l’intermédiaire de la plateforme unique de signalement pour des motifs justifiés ayant trait à la cybersécurité pour une période limitée à ce qui est strictement nécessaire et jusqu’à ce que les parties à la divulgation coordonnée des vulnérabilités concernées aient donné leur consentement. Cette exigence n’empêche pas les fabricants de notifier une telle vulnérabilité de manière volontaire conformément à la procédure prévue au présent article.

    Text digest 53581ed3fd5417e5ecfac18720132f4a8e910924ed06b2f6e219e920b3065844, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/016

17. 017 Article 17

    Article 17 Autres dispositions liées au signalement 1. L’ENISA peut soumettre au réseau européen d’organisations de liaison en cas de crises de cybersécurité (UE-CyCLONe) institué par l’article 16 de la directive (UE) 2022/2555 les informations notifiées conformément à l’article 14, paragraphes 1 et 3, et à l’article 15, paragraphes 1 et 2, du présent règlement, si elles sont pertinentes pour la gestion coordonnée au niveau opérationnel des incidents et crises de cybersécurité majeurs. Afin de déterminer cette pertinence, l’ENISA peut prendre en considération les analyses techniques effectuées par le réseau des CSIRT, lorsqu’elles existent. 2. Lorsque la sensibilisation du public est nécessaire pour prévenir ou atténuer un incident grave ayant des répercussions sur la sécurité du produit comportant des éléments numériques ou pour traiter un incident en cours, ou lorsque la divulgation de l’incident est par ailleurs dans l’intérêt public, le CSIRT désigné comme coordinateur de l’État membre concerné peut, après consultation du fabricant concerné et, le cas échéant, en coopération avec l’ENISA, informer le public de l’incident ou exiger du fabricant qu’il le fasse. 3. Sur la base des notifications reçues conformément à l’article 14, paragraphes 1 et 3, et à l’article 15, paragraphes 1 et 2, du présent règlement, l’ENISA élabore tous les 24 mois un rapport technique sur les tendances émergentes en ce qui concerne les risques de cybersécurité dans les produits comportant des éléments numériques et le soumet au groupe de coopération institué en vertu de l’article 14 de la directive (UE) 2022/2555. Le premier rapport de ce type est présenté dans les 24 mois suivant le début de l’application des obligations prévues à l’article 14, paragraphes 1 et 3. L’ENISA inclut les informations pertinentes de ses rapports techniques dans son rapport sur l’état de la cybersécurité dans l’Union établi conformément à l’article 18 de la directive (UE) 2022/2555. 4. Le simple acte de notification conformément à l’article 14, paragraphes 1 et 3, ou à l’article 15, paragraphes 1 et 2, ne soumet pas la personne physique ou morale à l’origine de la notification à une responsabilité accrue. 5. Après qu’une mise à jour de sécurité ou une autre forme de mesure corrective ou d’atténuation est mise à disposition, l’ENISA ajoute, en accord avec le fabricant du produit comportant des éléments numériques concerné, la vulnérabilité connue du public notifiée conformément à l’article 14, paragraphe 1, ou à l’article 15, paragraphe 1, du présent règlement à la base de données européenne des vulnérabilités établie en vertu de l’article 12, paragraphe 2, de la directive (UE) 2022/2555. 6. Les CSIRT désignés comme coordinateurs fournissent aux fabricants, et en particulier aux fabricants qui peuvent être considérés comme des microentreprises ou des petites ou moyennes entreprises, un service d’assistance en ce qui concerne les obligations de signalement énoncées à l’article 14.

    Text digest 9560cc24a4870d1f21afe450f51aa86e46c3c62ad77da05d8b2de5dae4f53358, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/017

18. 018 Article 18

    Article 18 Mandataires 1. Un fabricant peut, par mandat écrit, désigner un mandataire. 2. Les obligations énoncées à l’article 13, paragraphes 1 à 11, à l’article 13, paragraphe 12, premier alinéa, et à l’article 13, paragraphe 14, ne font pas partie du mandat confié au mandataire. 3. Le mandataire exécute les tâches spécifiées dans le mandat qu’il reçoit du fabricant. Le mandataire fournit une copie du mandat aux autorités de surveillance du marché à leur demande. Le mandat autorise au minimum le mandataire: a) à tenir à la disposition des autorités de surveillance du marché la déclaration UE de conformité mentionnée à l’article 28 et la documentation technique mentionnée à l’article 31 pendant au moins dix ans à partir de la mise sur le marché du produit comportant des éléments numériques ou pendant la période d’assistance, la période la plus longue étant retenue; b) sur requête motivée d’une autorité de surveillance du marché, à communiquer à cette dernière toutes les informations et tous les documents nécessaires pour démontrer la conformité du produit comportant des éléments numériques; c) à coopérer avec les autorités de surveillance du marché, à leur demande, concernant toute mesure adoptée pour éliminer les risques présentés par un produit comportant des éléments numériques relevant du mandat confié au mandataire.

    Text digest 5c8d1c06b58f997c108c238b6243f1f69f8656ecbc408c0281bdb2d3c1ad0aa5, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/018

19. 019 Article 19

    Article 19 Obligations incombant aux importateurs 1. Un importateur ne met sur le marché que des produits comportant des éléments numériques conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et lorsque les processus mis en place par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II. 2. Avant de mettre sur le marché un produit comportant des éléments numériques, l’importateur veille à ce que: a) les procédures appropriées d’évaluation de la conformité visées à l’article 32 aient été menées à bien par le fabricant; b) le fabricant ait établi la documentation technique; c) le produit comportant des éléments numériques porte le marquage CE visé à l’article 30 et soit accompagné de la déclaration UE de conformité visée à l’article 13, paragraphe 20, ainsi que des informations et instructions destinées à l’utilisateur figurant à l’annexe II, rédigées dans une langue aisément compréhensible par les utilisateurs et les autorités de surveillance du marché; d) le fabricant ait respecté les exigences prévues à l’article 13, paragraphes 15, 16 et 19. Aux fins du présent paragraphe, les importateurs doivent être en mesure de fournir les documents nécessaires prouvant le respect des exigences énoncées dans le présent article. 3. Lorsqu’un importateur considère ou a des raisons de croire qu’un produit comportant des éléments numériques ou les processus mis en place par le fabricant ne sont pas conformes au présent règlement, il ne met pas le produit sur le marché tant que ce produit ou les processus mis en place par le fabricant n’ont pas été mis en conformité avec le présent règlement. En outre, lorsque le produit comportant des éléments numériques présente un risque de cybersécurité important, l’importateur en informe le fabricant et les autorités de surveillance du marché. Lorsqu’un importateur a des raisons de croire qu’un produit comportant des éléments numériques peut présenter un risque de cybersécurité important à la lumière de facteurs de risque non techniques, il en informe les autorités de surveillance du marché. Dès réception de cette information, les autorités de surveillance du marché appliquent les procédures visées à l’article 54, paragraphe 2. 4. L’importateur indique son nom, sa raison sociale ou sa marque déposée et les adresses postale, électronique ou autre moyen numérique, ainsi que, le cas échéant, l’adresse du site internet auxquelles il peut être contacté sur le produit comportant des éléments numériques, sur l’emballage ou dans un document accompagnant le produit comportant des éléments numériques. Les coordonnées sont indiquées dans une langue aisément compréhensible par les utilisateurs et les autorités de surveillance du marché. 5. Tout importateur qui considère ou a des raisons de croire qu’un produit comportant des éléments numériques, qu’il a mis sur le marché n’est pas conforme au présent règlement prend immédiatement les mesures correctives nécessaires pour veiller à ce que ce produit comportant des éléments numériques soit mis en conformité avec le présent règlement, ou pour procéder au retrait ou au rappel du produit, si nécessaire. Lorsqu’il prend connaissance d’une vulnérabilité du produit comportant des éléments numériques, l’importateur en informe le fabricant sans retard injustifié. En outre, si le produit comportant des éléments numériques présente un risque de cybersécurité important, l’importateur en informe immédiatement les autorités de surveillance du marché des États membres dans lesquels il a mis ce produit à disposition sur le marché, en fournissant des précisions, notamment, sur la non-conformité et toute mesure corrective adoptée. 6. Pendant au moins dix ans à partir de la mise sur le marché du produit comportant des éléments numériques ou pendant la période d’assistance, la période la plus longue étant retenue, l’importateur tient à la disposition des autorités de surveillance du marché une copie de la déclaration UE de conformité et s’assure que la documentation technique peut être fournie à ces autorités, sur demande. 7. Sur requête motivée d’une autorité de surveillance du marché, l’importateur communique à cette dernière toutes les informations et tous les documents nécessaires, sur support papier ou par voie électronique, pour démontrer la conformité du produit comportant des éléments numériques aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, ainsi que la conformité des processus mis en place par le fabricant aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II, dans une langue aisément compréhensible par cette autorité. Il coopère avec cette autorité, à la demande de cette dernière, concernant toute mesure prise en vue d’éliminer les risques de cybersécurité présentés par le produit comportant des éléments numériques qu’il a mis sur le marché. 8. Lorsque l’importateur d’un produit comportant des éléments numériques a connaissance du fait que le fabricant de ce produit a cessé ses activités et, de ce fait, n’est pas en mesure de se conformer aux obligations prévues par le présent règlement, l’importateur informe les autorités de surveillance du marché concernées de cette situation, ainsi que, par tout moyen disponible et dans la mesure du possible, les utilisateurs des produits concernés comportant des éléments numériques mis sur le marché.

    Text digest b8485b47543d7980d0620cc5bbc47d821527975393666420d3fe88bc938aee32, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/019

20. 020 Article 20

    Article 20 Obligations des distributeurs 1. Lorsqu’ils mettent un produit comportant des éléments numériques à disposition sur le marché, les distributeurs agissent avec la diligence requise en ce qui concerne les exigences énoncées au présent règlement. 2. Avant de mettre un produit comportant des éléments numériques à disposition sur le marché, les distributeurs vérifient que: a) le produit comportant des éléments numériques porte le marquage CE; b) le fabricant et l’importateur se sont conformés aux obligations énoncées à l’article 13, paragraphes 15, 16, 18, 19 et 20, et à l’article 19, paragraphe 4, et ont communiqué tous les documents nécessaires au distributeur. 3. Lorsqu’un distributeur considère ou a des raisons de croire, sur la base des informations en sa possession, qu’un produit comportant des éléments numériques ou les processus mis en place par le fabricant ne sont pas conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, il ne met pas le produit comportant des éléments numériques à disposition sur le marché tant que ce produit ou les processus mis en place par le fabricant n’a pas été mis en conformité avec le présent règlement. En outre, lorsque le produit comportant des éléments numériques présente un risque de cybersécurité important, le distributeur en informe le fabricant et les autorités de surveillance du marché sans retard injustifié. 4. Les distributeurs sachant ou ayant des raisons de croire, sur la base des informations en sa possession, qu’un produit comportant des éléments numériques, qu’ils ont mis à disposition sur le marché, ou bien les processus mis en place par son fabricant ne sont pas conformes au présent règlement veillent à ce que soient prises les mesures correctives nécessaires pour mettre ce produit comportant des éléments numériques ou les processus mis en place par son fabricant en conformité, ou pour retirer ou rappeler le produit, si nécessaire. Lorsqu’ils prennent connaissance d’une vulnérabilité du produit comportant des éléments numériques, les distributeurs en informent le fabricant sans retard injustifié. En outre, si le produit comportant des éléments numériques présente un risque de cybersécurité important, les distributeurs en informent immédiatement les autorités de surveillance du marché des États membres dans lesquels ils ont mis ce produit à disposition sur le marché, en fournissant des précisions, notamment, sur la non-conformité et toute mesure corrective adoptée. 5. Sur requête motivée d’une autorité de surveillance du marché, les distributeurs communiquent à cette dernière toutes les informations et tous les documents, sur support papier ou par voie électronique, nécessaires pour démontrer la conformité du produit comportant des éléments numériques et des processus mis en place par son fabricant avec le présent règlement dans une langue aisément compréhensible par cette autorité. Ils coopèrent avec cette autorité, à sa demande, à toute mesure prise en vue d’éliminer les risques de cybersécurité présentés par le produit comportant des éléments numériques qu’ils ont mis à disposition sur le marché. 6. Lorsque le distributeur d’un produit comportant des éléments numériques apprend, sur la base des informations en sa possession, que le fabricant de ce produit a cessé ses activités et, de ce fait, n’est pas en mesure de se conformer aux obligations prévues par le présent règlement, il informe sans retard injustifié les autorités de surveillance du marché concernées de cette situation, ainsi que, par tout moyen disponible et dans la mesure du possible, les utilisateurs des produits concernés comportant des éléments numériques mis sur le marché.

    Text digest 3367fac5e859d15fa03d2abf1266bc96096067fc62821a1f31ff1d6aff8284b9, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/020

21. 021 Article 21

    Article 21 Cas dans lesquels les obligations des fabricants s’appliquent aux importateurs et aux distributeurs Un importateur ou un distributeur est considéré comme un fabricant aux fins du présent règlement et est soumis au respect de l’article 13 et de l’article 14 lorsque cet importateur ou ce distributeur met un produit comportant des éléments numériques sur le marché sous son propre nom ou sa propre marque, ou lorsqu’il apporte une modification substantielle à un produit comportant des éléments numériques déjà mis sur le marché.

    Text digest d20e057b558c216ac1f8a25b900436957ebaf285d449e61a76842bbe7cce4992, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/021

22. 022 Article 22

    Article 22 Autres cas dans lesquels les obligations des fabricants s’appliquent 1. Une personne physique ou morale, autre que le fabricant, l’importateur ou le distributeur, qui apporte une modification substantielle à un produit comportant des éléments numériques et met ce produit à disposition sur le marché est considérée comme un fabricant aux fins du présent règlement. 2. La personne visée au paragraphe 1 du présent article est soumise aux obligations énoncées à l’article 13 et à l’article 14 en ce qui concerne la partie du produit comportant des éléments numériques sur laquelle porte la modification substantielle, ou en ce qui concerne l’ensemble du produit si la modification substantielle a des répercussions sur la cybersécurité du produit comportant des éléments numériques dans son ensemble.

    Text digest 77c5b62cf50937d50a3edec577ef31c8b5a093b96f0df1071ab6b5728c9c1e09, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/022

23. 023 Article 23

    Article 23 Identification des opérateurs économiques 1. Les opérateurs économiques fournissent aux autorités de surveillance du marché, sur demande, les informations suivantes: a) le nom et l’adresse de tout opérateur économique qui lui a fourni un produit comportant des éléments numériques; b) lorsqu’il dispose de ces informations, le nom et l’adresse de tout opérateur économique auquel il a fourni un produit comportant des éléments numériques. 2. Les opérateurs économiques sont en mesure de communiquer les informations visées au paragraphe 1 pendant dix ans à compter de la date à laquelle le produit comportant des éléments numériques leur a été fourni et pendant dix ans à compter de la date à laquelle ils l’ont fourni.

    Text digest c0969b0ae56f880de8dcbf2c3a2bb5b42568547c41689d77e8f35e28a0219d8f, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/023

24. 024 Article 24

    Article 24 Obligations des intendants de logiciels ouverts 1. Les intendants de logiciels ouverts mettent en place et documentent de manière vérifiable une politique de cybersécurité afin de favoriser le développement d’un produit comportant des éléments numériques sécurisé ainsi qu’un traitement efficace des vulnérabilités par les développeurs de ce produit. Cette politique encourage également le signalement volontaire des vulnérabilités, prévu à l’article 15, par les développeurs de ce produit et tient compte de la nature spécifique de l’intendant de logiciels ouverts et des modalités juridiques et organisationnelles auxquelles il est soumis. Cette politique comprend, en particulier, des aspects liés à la documentation, au traitement et à la correction des vulnérabilités, ainsi qu’à la promotion du partage d’informations sur les vulnérabilités découvertes au sein de la communauté des logiciels ouverts. 2. Les intendants de logiciels ouverts coopèrent avec les autorités de surveillance du marché, à leur demande, en vue d’atténuer les risques de cybersécurité posés par un produit comportant des éléments numériques qui répond aux critères de logiciel libre et ouvert. Sur demande motivée d’une autorité de surveillance du marché, les intendants de logiciels ouverts fournissent à cette autorité, dans une langue aisément compréhensible par celle-ci, la documentation visée au paragraphe 1, sur support papier ou sous forme électronique. 3. Les obligations prévues à l’article 14, paragraphe 1, s’appliquent aux intendants de logiciels ouverts dès lors qu’ils participent au développement des produits comportant des éléments numériques. Les obligations prévues à l’article 14, paragraphes 3 et 8, s’appliquent aux intendants de logiciels ouverts dès lors que des incidents graves ayant des répercussions sur la sécurité des produits comportant des éléments numériques touchent les réseaux et les systèmes d’information fournis par les intendants de logiciels ouverts pour le développement de ces produits.

    Text digest 5ba4680ad650f7a85d84c38e1e9e3232e4c4c3e8c00aa2ce5c29e8105ac37c76, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/024

25. 025 Article 25

    Article 25 Attestation de sécurité des logiciels libres et ouverts Afin de faciliter le respect de l’obligation de diligence raisonnable énoncée à l’article 13, paragraphe 5, en particulier en ce qui concerne les fabricants qui intègrent des composants logiciels libres et ouverts dans leurs produits comportant des éléments numériques, la Commission est habilitée à adopter des actes délégués conformément à l’article 61 afin de compléter le présent règlement en mettant en place des programmes volontaires d’attestation de sécurité permettant aux développeurs ou aux utilisateurs de produits comportant des éléments numériques répondant aux critères de logiciel libre et ouvert ainsi qu’à d’autres tiers d’évaluer la conformité de ces produits à l’ensemble ou à une partie des exigences essentielles de cybersécurité ou d’autres obligations prévues par le présent règlement.

    Text digest 927d4474cccce2e9a0f144c9a22c3175417be040afdc404ba009fb91a3a70518, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/025

26. 026 Article 26

    Article 26 Orientations 1. Afin de faciliter la mise en œuvre et de veiller à sa cohérence, la Commission publie des orientations pour aider les opérateurs économiques à appliquer le présent règlement, en mettant tout particulièrement l’accent sur la nécessité de favoriser la conformité par les microentreprises et les petites et moyennes entreprises. 2. Lorsqu’elle entend fournir les orientations visées au paragraphe 1, la Commission aborde au moins les aspects suivants: a) le champ d’application du présent règlement, en particulier les solutions de traitement de données à distance et les logiciels libres et ouverts; b) l’application de périodes d’assistance pour certaines catégories particulières de produits comportant des éléments numériques; c) des orientations destinées aux fabricants soumis au présent règlement qui sont également soumis à une législation d’harmonisation de l’Union autre que le présent règlement ou à d’autres actes juridiques connexes de l’Union; d) la notion de modification substantielle. La Commission tient également à jour une liste facile d’accès des actes délégués et des actes d’exécution adoptés en vertu du présent règlement. 3. Dans le cadre de l’élaboration des orientations visées au présent article, la Commission consulte les parties intéressées.

    Text digest a12e322bb363e4ec4998d1276be7cd3735586c41ebcbefb5b8238de52988750e, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/026

27. 027 Article 27

    Article 27 Présomption de conformité 1. Les produits comportant des éléments numériques et les processus mis en place par le fabricant qui sont conformes à des normes harmonisées ou à des parties de normes harmonisées dont les références ont été publiées au Journal officiel de l’Union européenne sont présumés conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I qui sont couvertes par ces normes ou parties de ces normes. Conformément à l’article 10, paragraphe 1, du règlement (UE) no 1025/2012, la Commission demande à une ou plusieurs organisations européennes de normalisation d’élaborer des normes harmonisées relatives aux exigences essentielles de cybersécurité énoncées à l’annexe I du présent règlement. Lorsqu’elle prépare des demandes de normalisation aux fins du présent règlement, la Commission s’efforce de tenir compte des normes européennes et internationales existantes en matière de cybersécurité qui sont en place ou en cours d’élaboration afin de simplifier l’élaboration de normes harmonisées, conformément au règlement (UE) no 1025/2012. 2. La Commission peut adopter des actes d’exécution qui établissent des spécifications communes couvrant les exigences techniques qui offrent un moyen de se conformer aux exigences essentielles de cybersécurité énoncées à l’annexe I en ce qui concerne les produits comportant des éléments numériques qui relèvent du champ d’application du présent règlement. Ces actes d’exécution ne sont adoptés que lorsque les conditions suivantes sont remplies: a) la Commission, conformément à l’article 10, paragraphe 1, du règlement (UE) no 1025/2012, a demandé à une ou plusieurs organisations européennes de normalisation d’élaborer une norme harmonisée relative aux exigences essentielles de cybersécurité énoncées à l’annexe I et: i) la demande n’a pas été acceptée; ii) les normes harmonisées répondant à cette demande ne sont pas présentées dans le délai fixé conformément à l’article 10, paragraphe 1, du règlement (UE) no 1025/2012; ou iii) les normes harmonisées ne sont pas conformes à la demande; et b) aucune référence à des normes harmonisées couvrant les exigences essentielles pertinentes de cybersécurité énoncées à l’annexe I du présent règlement n’a été publiée au Journal officiel de l’Union européenne conformément au règlement (UE) no 1025/2012 et il n’est pas prévu que la publication d’une telle référence soit publiée dans un délai raisonnable. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 62, paragraphe 2. 3. Avant d’élaborer le projet d’acte d’exécution visé au paragraphe 2 du présent article, la Commission informe le comité visé à l’article 22 du règlement (UE) no 1025/2012 qu’elle considère que les conditions énoncées au paragraphe 2 du présent article sont remplies. 4. Lorsqu’elle élabore le projet d’acte d’exécution visé au paragraphe 2, la Commission tient compte de l’avis des organismes compétents et consulte dûment toutes les parties prenantes concernées. 5. Les produits comportant des éléments numériques et les processus mis en place par le fabricant qui sont conformes aux spécifications communes établies par des actes d’exécution visés au paragraphe 2 du présent article, ou à des parties de ces spécifications communes, sont présumés conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I couvertes par ces spécifications communes ou parties de spécifications communes. 6. Lorsqu’une norme harmonisée est adoptée par une organisation européenne de normalisation et proposée à la Commission aux fins de la publication de sa référence au Journal officiel de l’Union européenne, la Commission évalue la norme harmonisée conformément au règlement (UE) no 1025/2012. Lorsque la référence d’une norme harmonisée est publiée au Journal officiel de l’Union européenne, la Commission abroge les actes d’exécution visés au paragraphe 2 du présent article, ou les parties de ces actes qui couvrent les mêmes exigences essentielles de cybersécurité que celles couvertes par cette norme harmonisée. 7. Lorsqu’un État membre estime qu’une spécification commune ne satisfait pas entièrement aux exigences essentielles de cybersécurité énoncées à l’annexe I, il en informe la Commission en lui fournissant une explication détaillée. La Commission examine cette explication détaillée et peut, s’il y a lieu, modifier l’acte d’exécution établissant la spécification commune en question. 8. Les produits comportant des éléments numériques et les processus mis en place par le fabricant pour lesquels une déclaration de conformité de l’Union ou un certificat de cybersécurité européen ont été délivrés dans le cadre d’un schéma européen de certification de cybersécurité adopté conformément au règlement (UE) 2019/881 sont présumés conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, dans la mesure où celles-ci sont couvertes par la déclaration de conformité de l’Union ou le certificat de cybersécurité européen, ou des parties de ceux-ci. 9. La Commission est habilitée à adopter des actes délégués conformément à l’article 61 du présent règlement pour compléter le présent règlement en précisant les schémas européens de certification de cybersécurité adoptés en vertu du règlement (UE) 2019/881 qui peuvent être utilisés afin de démontrer la conformité de produits comportant des éléments numériques avec les exigences essentielles de cybersécurité énoncées à l’annexe I du présent règlement, ou avec des parties de ces exigences. En outre, la délivrance d’un certificat de cybersécurité européen au titre de tels schémas, au minimum au niveau d’assurance dit «substantiel», supprime l’obligation d’un fabricant de procéder à une évaluation de la conformité par un tiers pour les exigences correspondantes, comme indiqué à l’article 32, paragraphe 2, points a) et b), et à l’article 32, paragraphe 3, points a) et b), du présent règlement.

    Text digest 8d4e25f1c6a3fb39067d5b25752bec97b1b6f1567f8f9d0028235cd34209af29, body digest 77aafd619c325f18bc5d12c280bd3c293922c1a7889a889efaf5b57b414e9ae7, official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02, /eu-eurlex/32024R2847/2024-10-23--7679bbfb50f8ec55a530ccfb381a25b70ed7593fdaefda8b90587a199a582315/fra/027

8 annexes of the French wording are not served as text, and are never searched, quoted or exported: the annex could not be mapped to pages of the publisher PDF, so its body was not classified and its text is not served. Official source https://publications.europa.eu/resource/cellar/21b7d4eb-a6e2-11ef-85f0-01aa75ed71a1.0009.02.