Le sponsor de logiciel libre
C’est la véritable nouveauté du CRA en matière d’open source : la création d’un statut intermédiaire entre le contributeur bénévole, hors périmètre, et le fabricant, pleinement responsable.
La définition
Un sponsor de logiciel libre (open-source software steward) est une personne morale, autre qu’un fabricant, dont l’objet ou la finalité est de fournir un soutien de manière systématique et durable au développement de produits comportant des éléments numériques spécifiques, qualifiés de logiciels libres et open source et destinés à des activités commerciales, et qui assure la viabilité de ces produits.
Quatre éléments cumulatifs, chacun discriminant :
| Élément | Ce qu’il écarte |
|---|---|
| Personne morale, autre qu’un fabricant | Les personnes physiques ; celui qui met le produit sur le marché est fabricant, pas sponsor |
| Soutien systématique et durable | Le financement ponctuel, le mécénat occasionnel, la contribution épisodique |
| Produits destinés à des activités commerciales | Les projets purement académiques ou de loisir |
| Assure la viabilité | Le simple hébergement ou la mise en relation |
Les entités visées sont principalement les fondations logicielles — Apache, Eclipse, Linux Foundation et leurs équivalents — et certaines structures de financement pérenne du code.
Les obligations effectivement dues
La liste est limitative. Un sponsor doit :
- mettre en place et documenter, de manière vérifiable, une politique de cybersécurité visant à favoriser le développement d’un produit sûr et le traitement efficace des vulnérabilités, adaptée à la nature de l’entité et à ses moyens ;
- coopérer avec les autorités de surveillance du marché, à leur demande, pour atténuer les risques de cybersécurité des produits concernés ;
- respecter les obligations de signalement relatives aux vulnérabilités activement exploitées et aux incidents graves ayant une incidence sur la sécurité du produit, dans la mesure où il participe au développement de ce produit ;
- fournir, à la demande des autorités, les informations nécessaires dans une langue aisément compréhensible.
Le membre de phrase « adaptée à la nature de l’entité et à ses moyens » est essentiel : une fondation de trois salariés n’est pas tenue au même dispositif qu’une structure de deux cents personnes.
Ce à quoi le sponsor n’est PAS soumis
| Obligation du fabricant | Sponsor |
|---|---|
| Marquage CE | Non |
| Déclaration UE de conformité | Non |
| Dossier technique de l’annexe VII | Non |
| Procédure d’évaluation de la conformité | Non |
| Exigences essentielles de l’annexe I comme telles | Non — remplacées par la politique de cybersécurité |
| Période de support de cinq ans | Non |
| Informations à l’utilisateur de l’annexe II | Non |
| Amendes administratives | Non — le régime de sanctions pécuniaires ne s’applique pas aux sponsors |
L’exclusion des amendes administratives est le point le plus commenté. Elle ne signifie pas l’absence de conséquence : les autorités de surveillance du marché conservent leurs pouvoirs d’injonction et de coopération, et la réputation d’une fondation est son actif principal.
La grille d’auto-qualification
Répondre par oui ou non, pour chaque structure que vous portez ou financez :
- La structure est-elle une personne morale distincte ?
- Est-elle autre qu’un fabricant du produit concerné — c’est-à-dire ne le met-elle pas elle-même sur le marché ?
- Son objet ou sa finalité inclut-il le soutien au développement de logiciels libres identifiés ?
- Ce soutien est-il systématique et durable, et non ponctuel ?
- Les logiciels concernés sont-ils destinés à des activités commerciales, c’est-à-dire utilisés dans des produits mis sur le marché par des tiers ?
- La structure assure-t-elle la viabilité de ces logiciels — gouvernance, financement, maintien dans le temps ?
Six réponses positives : le statut de sponsor est probablement caractérisé, et les quatre obligations ci-dessus s’appliquent. Une seule négative : le statut ne l’est pas, mais la qualification doit être réexaminée si la situation évolue.
Ce que cela change pour vous en tant qu’intégrateur
Un composant maintenu par un sponsor identifié offre une garantie supérieure à un composant maintenu par une personne isolée : il existe une politique de cybersécurité documentée, un canal de signalement et une obligation de coopération. C’est un critère de sélection à intégrer dans la grille de diligence — voir Intégrer de l’open source.