English
Français
Deutsch
Español
Italiano
Soutien durable
Soutiennent de manière systématique et durable le développement de logiciels open source spécifiques.
Bonnes pratiques d'adoption du CRA
Gestionnaires de logiciels open source
Le nouvel acteur introduit par le CRA : qui sont les gestionnaires de logiciels open source (Open Source Stewards), ce que le règlement attend d'eux et comment ils aident les PME à remplir leurs propres obligations.
Sur cette page
Un nouvel acteur dans le CRA
Le CRA tient compte des particularités de l’open source et introduit un nouvel acteur : les gestionnaires de logiciels open source (open source stewards). La communauté Open Regulatory Compliance a publié un livre blanc sur les gestionnaires de logiciels open source et le CRA qui décrit le rôle attendu de ces acteurs. Cette catégorie concerne les entités qui :
Rôle de gouvernance
Jouent un rôle de gouvernance ou de coordination.
Non commercial
Ne mettent pas le logiciel sur le marché en tant que produit commercial.
Il s’agit typiquement de fondations, d’organisations à but non lucratif et d’autres organismes de coordination qui :
- Supervisent les structures de gouvernance
- Maintiennent l’infrastructure
- Coordonnent les processus de sécurité
- Soutiennent la maintenance à long terme
Les gestionnaires open source ne sont pas des fabricants
La distinction juridique essentielle est que les gestionnaires open source ne sont pas des fabricants, à condition qu’ils ne commercialisent pas le logiciel d’une manière qui constituerait la mise sur le marché de l’UE d’un produit comportant des éléments numériques. Cette distinction est cruciale pour préserver le modèle de développement open source tout en introduisant une responsabilité structurée.
Rôle et responsabilités
Le CRA impose aux gestionnaires open source un ensemble d’obligations adapté. Celles-ci sont proportionnées et reflètent leur rôle non commercial. Les gestionnaires open source doivent :
Établir et documenter une politique de cybersécurité vérifiable
Soutenir des pratiques de développement sécurisé
Coordonner les processus de traitement des vulnérabilités
Documenter et traiter les vulnérabilités, et en faciliter la correction
Partager les informations pertinentes sur les vulnérabilités avec les projets concernés
Coopérer avec les autorités nationales et les autorités de surveillance du marché
Point important
- Les gestionnaires open source ne sont pas soumis aux mêmes amendes administratives que les fabricants.
- Leurs obligations portent sur les processus, la coordination et la transparence plutôt que sur la conformité des produits.
L’intention du législateur est claire : renforcer la résilience de l’infrastructure open source sans transformer les gestionnaires open source en fabricants de produits réglementés.
Les gestionnaires open source, facilitateurs de la conformité
Les gestionnaires open source peuvent jouer le rôle de couche de gouvernance intermédiaire entre le développement communautaire et les fabricants de produits réglementés. Pour les PME, cela présente plusieurs avantages :
Des politiques de sécurité structurées
Les gestionnaires open source formalisent des politiques de sécurité auxquelles les PME peuvent se référer pour documenter :
- Les pratiques de développement sécurisé
- Les modèles de gouvernance en amont
- Les processus de coordination des vulnérabilités
Les PME ont ainsi moins besoin d’évaluer chaque communauté individuellement en partant de zéro.
Un traitement coordonné des vulnérabilités
Les gestionnaires open source gèrent souvent :
- Des listes de diffusion dédiées à la sécurité
- Des canaux de divulgation
- La coordination des correctifs
- Des avis de sécurité publics
Les PME peuvent intégrer ces processus dans leurs propres cadres de gestion des vulnérabilités.
Une transparence accrue
Les gestionnaires open source fournissent généralement une documentation sur :
- La structure de gouvernance
- La gestion des versions
- Les engagements de maintenance
- La posture de sécurité
Cette documentation alimente les dossiers techniques et les évaluations des risques exigés par le CRA.
Un appui dans les relations avec les autorités
Lorsque les autorités de surveillance du marché demandent des informations, les gestionnaires open source peuvent :
- Fournir la documentation en amont
- Clarifier les processus de traitement des vulnérabilités
- Contribuer à la transparence sur les pratiques de développement
Si la responsabilité reste celle du fabricant, l’encadrement structuré assuré par les gestionnaires open source réduit l’incertitude.
Attestations de cybersécurité
Si le développement de FOSS n’est pas directement réglementé comme une activité de fabrication commerciale, le CRA introduit le concept d’attestations de sécurité volontaires au titre de l’article 25, qui permettent une transparence structurée tout au long de la chaîne d’approvisionnement.
Contrairement aux modèles traditionnels d’évaluation de la conformité, qui reposent sur des audits externes ou des certifications uniformes, les attestations prévues par le CRA sont conçues comme un mécanisme souple et fondé sur les risques : les organisations y fournissent, de manière structurée, des éléments de preuve contextualisés sur leurs processus, leurs pratiques et les caractéristiques de leurs produits. Elles comblent l’écart entre les attentes réglementaires et les réalités de la mise en œuvre.
Pour les fabricants
En ancrant l’effort de conformité dans des artefacts mesurables et des pratiques documentées, les attestations offrent un moyen pragmatique de démontrer la diligence raisonnable et la conformité aux exigences de sécurité tout au long du cycle de vie du produit.
Pour les communautés open source et leurs gestionnaires
Les attestations permettent aux gestionnaires open source de contribuer directement à la préparation réglementaire sans assumer l’intégralité des charges d’un fabricant. Elles transmettent des garanties fondées sur les risques concernant la gouvernance, les pratiques de sécurité et les engagements de maintenance, et constituent un actif de conformité réutilisable et évolutif lorsqu’elles s’alignent sur des bonnes pratiques reconnues et des coûts de fonctionnement transparents.
Pour les PME
En s’appuyant sur les attestations produites par les gestionnaires open source et en les intégrant à leurs propres artefacts de conformité, les PME peuvent réduire le coût, la complexité et l’incertitude liés à la mise en œuvre des exigences du CRA, et concentrer leurs ressources là où le risque est le plus élevé.
Des attestations réutilisables évitent à chaque fabricant de dupliquer les efforts et renforcent le rôle des gestionnaires open source comme passerelle de confiance entre développement collaboratif et conformité réglementaire. Associée à des outils robustes, à des artefacts lisibles par machine et à une coordination communautaire, cette approche peut abaisser les obstacles à la conformité, favoriser des chaînes d’approvisionnement plus résilientes et encourager des modèles de gouvernance coopératifs qui profitent à l’ensemble de l’écosystème numérique européen.
Les attestations renforcent la transparence mais ne remplacent pas une évaluation des risques en contexte. Découvrez comment les PME doivent les exploiter dans le cadre de leur diligence raisonnable.