Les exclusions du champ d'application
Le sur-périmètre coûte aussi cher que le sous-périmètre. Beaucoup d’organisations appliquent le CRA à des produits expressément exclus, tout en oubliant des composants qui, eux, sont dedans.
Exclusions sectorielles — la règle lex specialis
Le législateur a écarté les secteurs déjà dotés d’un régime de cybersécurité équivalent ou plus exigeant. L’exclusion est fondée sur le texte qui couvre le produit, pas sur le secteur d’activité de l’entreprise.
| Produits exclus | Texte qui prévaut | Régime de cybersécurité applicable |
|---|---|---|
| Dispositifs médicaux | Règlement (UE) 2017/745 (MDR) | Exigences de l’annexe I MDR, orientations MDCG 2019-16 |
| Dispositifs médicaux de diagnostic in vitro | Règlement (UE) 2017/746 (IVDR) | Idem, volet IVD |
| Véhicules à moteur | Règlement (UE) 2019/2144 | Règlements ONU R155 (système de management de la cybersécurité) et R156 (mise à jour logicielle) |
| Aviation civile | Règlement (UE) 2018/1139 | Règlement délégué « Part-IS » sur la sécurité de l’information |
| Équipements marins | Directive 2014/90/UE | Régime propre aux équipements marins |
Exclusions liées à la sécurité nationale et à la défense
- Produits développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense.
- Produits spécifiquement conçus pour traiter des informations classifiées.
L’adverbe « exclusivement » est déterminant : un produit à double usage, commercialisé aussi sur le marché civil, n’est pas exclu pour sa version civile.
Autres exclusions
- Pièces détachées mises sur le marché pour remplacer des composants identiques dans des produits existants, et fabriquées selon les mêmes spécifications.
- Logiciel libre et open source non fourni dans le cadre d’une activité commerciale — le régime complet est détaillé dans Le logiciel libre.
- Produits exclusivement destinés à la recherche et prototypes non mis sur le marché.
- Produits inachevés mis à disposition à des fins de test ou de démonstration, non destinés à un usage final.
Les faux amis
Quatre pièges reviennent systématiquement.
1. Le composant d’un produit exclu n’est pas exclu. Un dispositif médical relève du MDR, mais la bibliothèque de communication que vous lui vendez, mise sur le marché séparément, est un PDE à part entière — avec son marquage CE au titre du CRA.
2. L’exclusion sectorielle ne dispense pas de NIS 2. Une entité essentielle ou importante reste soumise à ses obligations de gestion des risques, y compris sur la sécurité de sa chaîne d’approvisionnement, quels que soient les produits qu’elle fabrique.
3. « Vous vendez du service, pas du produit » n’est pas une exclusion. Voir la qualification des solutions de traitement de données à distance dans Le périmètre.
4. « C’est de l’open source » n’est pas une exclusion en soi. Ce qui est exclu, c’est la mise à disposition hors activité commerciale. Le logiciel libre que vous intégrez dans un produit vendu engage votre responsabilité pleine et entière : voir Intégrer de l’open source.
Ce qu’il faut produire
Pour chaque produit écarté du périmètre, une fiche d’exclusion motivée : texte sectoriel invoqué, référence exacte, justification de son applicabilité, date et signataire. Une exclusion non documentée est indéfendable devant une autorité de surveillance du marché, et le coût de la démonstration a posteriori est sans commune mesure avec celui d’une fiche d’une page rédigée au bon moment.