Le logiciel libre et open source

Le traitement du logiciel libre est la partie du règlement la plus commentée et la plus mal comprise. Une seule idée en commande la lecture :

Le critère discriminant n’est pas la licence, c’est la nature commerciale de la mise à disposition. Une licence libre ne fait pas sortir du champ ; une activité non commerciale, oui.

Les quatre statuts

Statut	Qui	Régime
Développeur ou contributeur individuel	Personne physique ou entité développant du libre hors activité commerciale	Hors périmètre. Aucune obligation.
Sponsor de logiciel libre (open-source software steward)	Personne morale, autre qu’un fabricant, soutenant de façon systématique et durable le développement de produits libres destinés à des activités commerciales, et assurant leur viabilité	Régime allégé : politique de cybersécurité, coopération, signalement. Ni marquage CE, ni dossier technique, ni amendes.
Fabricant intégrant de l’open source	Vous, dans la très grande majorité des cas	Régime complet, avec obligation de diligence sur les composants tiers et de remontée à l’amont.
Fabricant distribuant un produit libre commercialement	Éditeur monétisant un logiciel libre	Régime complet, comme tout fabricant.

Pourquoi le législateur a procédé ainsi

Le raisonnement, utile à connaître pour argumenter en interne : soumettre l’écosystème libre aux obligations des fabricants aurait rendu impossible la contribution bénévole, tout en laissant intacte la responsabilité de ceux qui en tirent une valeur commerciale. Le règlement fait donc porter la charge sur celui qui met le produit sur le marché, pas sur celui qui écrit le code en amont.

Corollaire : vous ne pouvez pas reporter votre responsabilité sur l’amont. Le mainteneur d’une bibliothèque que vous intégrez ne répond de rien à votre place.

Les points d’attention pour votre organisation

Vos salariés contribuent-ils à l’amont sur leur temps de travail ? Si oui, dans quel cadre, et cela vous qualifie-t-il de sponsor pour certains projets ? Une politique interne de contribution doit trancher la question et être documentée.

Publiez-vous vous-mêmes des projets libres ? S’ils sont mis à disposition hors activité commerciale, ils sont hors périmètre. S’ils accompagnent une offre commerciale, la qualification doit être examinée produit par produit.

Portez-vous ou financez-vous une fondation ? Le statut de sponsor de logiciel libre peut alors être en cause, avec ses obligations propres — allégées mais réelles.

Les attestations de conformité volontaires

Le règlement prévoit un mécanisme d’attestation de conformité volontaire : un développeur ou un utilisateur de logiciel libre peut établir, à titre volontaire, une attestation relative aux propriétés de sécurité du composant. Ces attestations n’engagent pas leur auteur comme une déclaration de conformité, mais elles constituent un élément utile à la diligence des intégrateurs en aval.

Pour vous, elles ont deux usages : les consommer — une attestation amont enrichit votre dossier de diligence — et éventuellement en produire pour les composants que vous publiez, ce qui facilite l’adoption de vos briques par d’autres fabricants soumis au CRA.