SpadaLab/reglements-europeens huggingface dataset:
eIDAS — Règlement (UE) 910/2014 > Article 32
Article 32 Exigences applicables à la validation des signatures électroniques qualifiées 1. Le processus de validation d’une signature électronique qualifiée confirme la validité d’une signature électronique qualifiée à condition que: a) le certificat sur lequel repose la signature ait été, au moment de la signature, un certificat qualifié de signature électronique conforme à l’annexe I; b) le certificat qualifié ait été délivré par un prestataire de services de confiance qualifié et était valide au moment de la signature; c) les données de validation de la signature correspondent aux données communiquées à la partie utilisatrice; d) l’ensemble unique de données représentant le signataire dans le certificat soit correctement fourni à la partie utilisatrice; e) l’utilisation d’un pseudonyme soit clairement indiquée à la partie utilisatrice, si un pseudonyme a été utilisé au moment de la signature; f) la signature électronique ait été créée par un dispositif de création de signature électronique qualifié; g) l’intégrité des données signées n’ait pas été compromise; h) les exigences prévues à l’article 26 aient été satisfaites au moment de la signature. 2. Le système utilisé pour valider la signature électronique qualifiée fournit à la partie utilisatrice le résultat correct du processus de validation et permet à celle-ci de détecter tout problème pertinent relatif à la sécurité. 3. La Commission peut, au moyen d’actes d’exécution, déterminer les numéros de référence des normes applicables à la validation des signatures électroniques qualifiées. La validation des signatures électroniques qualifiées est présumée satisfaire aux exigences fixées au paragraphe 1 lorsqu’elle respecte ces normes. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2.
eIDAS — Règlement (UE) 910/2014 > Art 32.Tit 1
Exigences applicables à la validation des signatures électroniques qualifiées
eIDAS — Règlement (UE) 910/2014 > Article 33
Article 33 Service de validation qualifié des signatures électroniques qualifiées 1. Un service de validation qualifié des signatures électroniques qualifiées ne peut être fourni que par un prestataire de services de confiance qualifié qui: a) fournit une validation en conformité avec l’article 32, paragraphe 1; et b) permet aux parties utilisatrices de recevoir le résultat du processus de validation d’une manière automatisée, fiable, efficace et portant la signature électronique avancée ou le cachet électronique avancé du prestataire qui fournit le service de validation qualifié. 2. La Commission peut, au moyen d’actes d’exécution, déterminer les numéros de référence des normes applicables au service de validation qualifié visé au paragraphe 1. Le service de validation de signatures électroniques qualifiées est présumé satisfaire aux exigences fixées au paragraphe 1 lorsqu’il respecte ces normes. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2.
eIDAS — Règlement (UE) 910/2014 > Art 33.Tit 1
Service de validation qualifié des signatures électroniques qualifiées
eIDAS — Règlement (UE) 910/2014 > Article 34
Article 34 Service de conservation qualifié des signatures électroniques qualifiées 1. Un service de conservation qualifié des signatures électroniques qualifiées ne peut être fourni que par un prestataire de services de confiance qualifié qui utilise des procédures et des technologies permettant d’étendre la fiabilité des signatures électroniques qualifiées au-delà de la période de validité technologique. 2. La Commission peut, au moyen d’actes d’exécution, déterminer les numéros de référence des normes applicables au service de conservation qualifié des signatures électroniques qualifiées. Le service de conservation qualifié des signatures électroniques qualifiées est présumé satisfaire aux exigences fixées au paragraphe 1 lorsqu’il respecte ces normes. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2.
eIDAS — Règlement (UE) 910/2014 > Art 34.Tit 1
Service de conservation qualifié des signatures électroniques qualifiées
eIDAS — Règlement (UE) 910/2014 > Article 35
Article 35 Effets juridiques des cachets électroniques 1. L’effet juridique et la recevabilité d’un cachet électronique comme preuve en justice ne peuvent être refusés au seul motif que ce cachet se présente sous une forme électronique ou qu’il ne satisfait pas aux exigences du cachet électronique qualifié. 2. Un cachet électronique qualifié bénéficie d’une présomption d’intégrité des données et d’exactitude de l’origine des données auxquelles le cachet électronique qualifié est lié. 3. Un cachet électronique qualifié qui repose sur un certificat qualifié délivré dans un État membre est reconnu en tant que cachet électronique qualifié dans tous les autres États membres.
eIDAS — Règlement (UE) 910/2014 > Art 35.Tit 1
Effets juridiques des cachets électroniques
eIDAS — Règlement (UE) 910/2014 > Article 36
Article 36 Exigences du cachet électronique avancé Un cachet électronique avancé satisfait aux exigences suivantes: a) être lié au créateur du cachet de manière univoque; b) permettre d’identifier le créateur du cachet; c) avoir été créé à l’aide de données de création de cachet électronique que le créateur du cachet peut, avec un niveau de confiance élevé, utiliser sous son contrôle pour créer un cachet électronique; et d) être lié aux données auxquelles il est associé de telle sorte que toute modification ultérieure des données soit détectable.
eIDAS — Règlement (UE) 910/2014 > Art 36.Tit 1
Exigences du cachet électronique avancé
eIDAS — Règlement (UE) 910/2014 > Article 37
Article 37 Cachets électroniques dans les services publics 1. Si un État membre exige un cachet électronique avancé pour utiliser un service en ligne offert par un organisme du secteur public ou pour l’utiliser au nom de cet organisme, il reconnaît les cachets électroniques avancés, les cachets électroniques avancés qui reposent sur un certificat qualifié de cachet électronique et les cachets électroniques qualifiés au moins dans les formats ou utilisant les méthodes définis dans les actes d’exécutions visés au paragraphe 5. 2. Si un État membre exige un cachet électronique avancé qui repose sur un certificat qualifié pour utiliser un service en ligne proposé par un organisme du secteur public ou pour l’utiliser au nom de cet organisme, il reconnaît les cachets électroniques avancés qui reposent sur un certificat qualifié et les cachets électroniques qualifiés au moins dans les formats ou utilisant les méthodes définis dans les actes d’exécution visés au paragraphe 5. 3. Les États membres n’exigent pas, pour l’utilisation transfrontalière dans un service en ligne offert par un organisme du secteur public, de cachet électronique présentant un niveau de sécurité supérieur à celui du cachet électronique qualifié. 4. La Commission peut, au moyen d’actes d’exécution, déterminer les numéros de référence des normes applicables aux cachets électroniques avancés. Un cachet électronique avancé est présumé satisfaire aux exigences applicables aux cachets électroniques avancés visées aux paragraphes 1 et 2 du présent article et à l’article 36 lorsqu’il respecte ces normes. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2. 5. Au plus tard le 18 septembre 2015, et compte tenu des pratiques et des normes ainsi que des actes juridiques de l’Union en vigueur, la Commission définit, au moyen d’actes d’exécution, les formats de référence des cachets électroniques avancés ou les méthodes de référence lorsque d’autres formats sont utilisés. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2.
eIDAS — Règlement (UE) 910/2014 > Art 37.Tit 1
Cachets électroniques dans les services publics
eIDAS — Règlement (UE) 910/2014 > Article 38
Article 38 Certificats qualifiés de cachet électronique 1. Les certificats qualifiés de cachet électronique satisfont aux exigences fixées à l’annexe III. 2. Les certificats qualifiés de cachet électronique ne font l’objet d’aucune exigence obligatoire allant au-delà des exigences fixées à l’annexe III. 3. Les certificats qualifiés de cachet électronique peuvent comprendre des attributs spécifiques supplémentaires non obligatoires. Ces attributs n’affectent pas l’interopérabilité et la reconnaissance des cachets électroniques qualifiés. 4. Si un certificat qualifié de cachet électronique a été révoqué après la première activation, il perd sa validité à compter du moment de sa révocation et il ne peut en aucun cas recouvrer son statut antérieur. 5. Sous réserve des conditions suivantes, les États membres peuvent établir des règles nationales relatives à la suspension temporaire de certificats qualifiés de cachet électronique: a) si un certificat qualifié de cachet électronique a été temporairement suspendu, ce certificat perd sa validité pendant la période de suspension; b) la période de suspension est clairement indiquée dans la base de données relative aux certificats et le statut de suspension est visible, pendant la période de suspension, auprès du service fournissant les informations sur le statut du certificat. 6. La Commission peut, au moyen d’actes d’exécution, déterminer les numéros de référence des normes applicables aux certificats qualifiés de cachet électronique. Un certificat qualifié de cachet électronique est présumé satisfaire aux exigences fixées à l’annexe III lorsqu’il respecte ces normes. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2.
eIDAS — Règlement (UE) 910/2014 > Art 38.Tit 1
Certificats qualifiés de cachet électronique
eIDAS — Règlement (UE) 910/2014 > Article 39
Article 39 Dispositifs de création de cachet électronique qualifiés 1. L’article 29 s’applique mutatis mutandis aux exigences applicables aux dispositifs de création de cachet électronique qualifiés. 2. L’article 30 s’applique mutatis mutandis à la certification des dispositifs de création de cachet électronique qualifiés. 3. L’article 31 s’applique mutatis mutandis à la publication d’une liste de dispositifs de création de cachet électronique qualifiés.
eIDAS — Règlement (UE) 910/2014 > Art 39.Tit 1
Dispositifs de création de cachet électronique qualifiés
eIDAS — Règlement (UE) 910/2014 > Article 40
Article 40 Validation et conservation des cachets électroniques qualifiés Les articles 32, 33 et 34 s’appliquent mutatis mutandis à la validation et à la conservation des cachets électroniques qualifiés.
eIDAS — Règlement (UE) 910/2014 > Art 40.Tit 1
Validation et conservation des cachets électroniques qualifiés
eIDAS — Règlement (UE) 910/2014 > Article 41
Article 41 Effet juridique des horodatages électroniques 1. L’effet juridique et la recevabilité d’un horodatage électronique comme preuve en justice ne peuvent être refusés au seul motif que cet horodatage se présente sous une forme électronique ou qu’il ne satisfait pas aux exigences de l’horodatage électronique qualifié. 2. Un horodatage électronique qualifié bénéficie d’une présomption d’exactitude de la date et de l’heure qu’il indique et d’intégrité des données auxquelles se rapportent cette date et cette heure. 3. Un horodatage électronique qualifié délivré dans un État membre est reconnu en tant qu’horodatage électronique qualifié dans tous les États membres.
eIDAS — Règlement (UE) 910/2014 > Art 41.Tit 1
Effet juridique des horodatages électroniques
eIDAS — Règlement (UE) 910/2014 > Article 42
Article 42 Exigences applicables aux horodatages électroniques qualifiés 1. Un horodatage électronique qualifié satisfait aux exigences suivantes: a) il lie la date et l’heure aux données de manière à raisonnablement exclure la possibilité de modification indétectable des données; b) il est fondé sur une horloge exacte liée au temps universel coordonné; et c) il est signé au moyen d’une signature électronique avancée ou cacheté au moyen d’un cachet électronique avancé du prestataire de services de confiance qualifié, ou par une méthode équivalente. 2. La Commission peut, au moyen d’actes d’exécution, établir les numéros de référence des normes en ce qui concerne l’établissement du lien entre la date et l’heure et les données, et les horloges exactes. L’établissement du lien entre la date et l’heure et les données et les horloges exactes sont présumés satisfaire aux exigences fixées au paragraphe 1 lorsqu’ils respectent ces normes. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2.
eIDAS — Règlement (UE) 910/2014 > Art 42.Tit 1
Exigences applicables aux horodatages électroniques qualifiés
eIDAS — Règlement (UE) 910/2014 > Article 43
Article 43 Effet juridique d’un service d’envoi recommandé électronique 1. L’effet juridique et la recevabilité des données envoyées et reçues à l’aide d’un service d’envoi recommandé électronique comme preuves en justice ne peuvent être refusés au seul motif que ce service se présente sous une forme électronique ou qu’il ne satisfait pas aux exigences du service d’envoi recommandé électronique qualifié. 2. Les données envoyées et reçues au moyen d’un service d’envoi recommandé électronique qualifié bénéficient d’une présomption quant à l’intégrité des données, à l’envoi de ces données par l’expéditeur identifié et à leur réception par le destinataire identifié, et à l’exactitude de la date et de l’heure de l’envoi et de la réception indiquées par le service d’envoi recommandé électronique qualifié.
eIDAS — Règlement (UE) 910/2014 > Art 43.Tit 1
Effet juridique d’un service d’envoi recommandé électronique
eIDAS — Règlement (UE) 910/2014 > Article 44
Article 44 Exigences applicables aux services d’envoi recommandé électronique qualifiés 1. Les services d’envoi recommandé électronique qualifiés satisfont aux exigences suivantes: a) ils sont fournis par un ou plusieurs prestataires de services de confiance qualifiés; b) ils garantissent l’identification de l’expéditeur avec un degré de confiance élevé; c) ils garantissent l’identification du destinataire avant la fourniture des données; d) l’envoi et la réception de données sont sécurisés par une signature électronique avancée ou par un cachet électronique avancé d’un prestataire de services de confiance qualifié, de manière à exclure toute possibilité de modification indétectable des données; e) toute modification des données nécessaire pour l’envoi ou la réception de celles-ci est clairement signalée à l’expéditeur et au destinataire des données; f) la date et l’heure d’envoi, de réception et toute modification des données sont indiquées par un horodatage électronique qualifié. Dans le cas où les données sont transférées entre deux prestataires de services de confiance qualifiés ou plus, les exigences fixées aux points a) à f) s’appliquent à tous les prestataires de services de confiance qualifiés. 2. La Commission peut, au moyen d’actes d’exécution, déterminer les numéros de référence des normes applicables aux processus d’envoi et de réception de données. Le processus d’envoi et de réception de données est présumé satisfaire aux exigences fixées au paragraphe 1 lorsqu’il respecte ces normes. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2.
eIDAS — Règlement (UE) 910/2014 > Art 44.Tit 1
Exigences applicables aux services d’envoi recommandé électronique qualifiés
eIDAS — Règlement (UE) 910/2014 > Article 45
Article 45 Exigences applicables aux certificats qualifiés d’authentification de site internet 1. Les certificats qualifiés d’authentification de site internet satisfont aux exigences fixées à l’annexe IV. 2. La Commission peut, au moyen d’actes d’exécution, déterminer les numéros de référence des normes applicables aux certificats qualifiés d’authentification de site internet. Un certificat qualifié d’authentification de site internet est présumé satisfaire aux exigences fixées à l’annexe IV lorsqu’il respecte ces normes. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2.
eIDAS — Règlement (UE) 910/2014 > Art 45.Tit 1
Exigences applicables aux certificats qualifiés d’authentification de site internet
eIDAS — Règlement (UE) 910/2014 > Article 46
Article 46 Effets juridiques des documents électroniques L’effet juridique et la recevabilité d’un document électronique comme preuve en justice ne peuvent être refusés au seul motif que ce document se présente sous une forme électronique.
eIDAS — Règlement (UE) 910/2014 > Art 46.Tit 1
Effets juridiques des documents électroniques
eIDAS — Règlement (UE) 910/2014 > Article 47
Article 47 Exercice de la délégation 1. Le pouvoir d’adopter des actes délégués conféré à la Commission est soumis aux conditions fixées au présent article. 2. Le pouvoir d’adopter des actes délégués visé à l’article 30, paragraphe 4, est conféré à la Commission pour une durée indéterminée à compter du 17 septembre 2014. 3. La délégation de pouvoir visée à l’article 30, paragraphe 4, peut être révoquée à tout moment par le Parlement européen ou le Conseil. La décision de révocation met fin à la délégation de pouvoir qui y est précisée. La révocation prend effet le jour suivant celui de la publication de ladite décision au Journal officiel de l’Union européenne ou à une date ultérieure qui est précisée dans ladite décision. Elle ne porte pas atteinte à la validité des actes délégués déjà en vigueur. 4. Aussitôt qu’elle adopte un acte délégué, la Commission le notifie au Parlement européen et au Conseil simultanément. 5. Un acte délégué adopté en vertu de l’article 30, paragraphe 4, n’entre en vigueur que si le Parlement européen ou le Conseil n’a pas exprimé d’objections dans un délai de deux mois à compter de la notification de cet acte au Parlement européen et au Conseil ou si, avant l’expiration de ce délai, le Parlement européen et le Conseil ont tous deux informé la Commission de leur intention de ne pas exprimer d’objections. Ce délai est prolongé de deux mois à l’initiative du Parlement européen ou du Conseil.
eIDAS — Règlement (UE) 910/2014 > Art 47.Tit 1
Exercice de la délégation
eIDAS — Règlement (UE) 910/2014 > Article 48
Article 48 Comité 1. La Commission est assistée par un comité. Ledit comité est un comité au sens du règlement (UE) n o 182/2011. 2. Lorsqu’il est fait référence au présent paragraphe, l’article 5 du règlement (UE) n o 182/2011 s’applique.
eIDAS — Règlement (UE) 910/2014 > Art 48.Tit 1
Comité
eIDAS — Règlement (UE) 910/2014 > Article 49
Article 49 Réexamen La Commission procède à un réexamen de l’application du présent règlement et rend compte au Parlement européen et au Conseil, au plus tard le 1 er juillet 2020. La Commission évalue, en particulier, s’il convient de modifier le champ d’application du présent règlement ou ses dispositions spécifiques, y compris l’article 6, l’article 7, point f) et les articles 34, 43, 44 et 45, compte tenu de l’expérience acquise dans l’application du présent règlement ainsi que de l’évolution des technologies, du marché et du contexte juridique. Le rapport visé au premier alinéa est, au besoin, accompagné de propositions législatives. En outre, la Commission présente au Parlement européen et au Conseil, tous les quatre ans après la présentation du rapport visé au premier alinéa, un rapport sur les progrès accomplis dans la réalisation des objectifs du présent règlement.
eIDAS — Règlement (UE) 910/2014 > Art 49.Tit 1
Réexamen
eIDAS — Règlement (UE) 910/2014 > Article 50
Article 50 Abrogation 1. La directive 1999/93/CE est abrogée avec effet au 1 er juillet 2016. 2. Les références faites à la directive abrogée s’entendent comme faites au présent règlement.
eIDAS — Règlement (UE) 910/2014 > Art 50.Tit 1
Abrogation
eIDAS — Règlement (UE) 910/2014 > Article 51
Article 51 Mesures transitoires 1. Les dispositifs sécurisés de création de signature dont la conformité a été déterminée conformément à l’article 3, paragraphe 4, de la directive 1999/93/CE sont considérés comme des dispositifs de création de signature électronique qualifiés au titre du présent règlement. 2. Les certificats qualifiés délivrés aux personnes physiques au titre de la directive 1999/93/CE sont considérés comme des certificats qualifiés de signature électronique au titre du présent règlement jusqu’à leur expiration. 3. Un prestataire de services de certification qui délivre des certificats qualifiés au titre de la directive 1999/93/CE soumet un rapport d’évaluation de la conformité à l’organe de contrôle le plus rapidement possible, et au plus tard le 1 er juillet 2017. Jusqu’à la présentation d’un tel rapport d’évaluation de la conformité et l’achèvement de l’évaluation par l’organe de contrôle, ce prestataire de services de certification est considéré comme un prestataire de services de confiance qualifié au titre du présent règlement. 4. Si un prestataire de services de certification qui délivre des certificats qualifiés au titre de la directive 1999/93/CE ne soumet pas de rapport d’évaluation de la conformité à l’organe de contrôle dans le délai visé au paragraphe 3, ce prestataire de services de certification n’est pas considéré comme un prestataire de services de confiance qualifié au titre du présent règlement à partir du 2 juillet 2017.
eIDAS — Règlement (UE) 910/2014 > Art 51.Tit 1
Mesures transitoires
eIDAS — Règlement (UE) 910/2014 > Article 52
Article 52 Entrée en vigueur 1. Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne . 2. Le présent règlement est applicable à partir du 1 er juillet 2016, à l’exception des dispositions suivantes: a) l’article 8, paragraphe 3, l’article 9, paragraphe 5, l’article 12, paragraphes 2 à 9, l’article 17, paragraphe 8, l’article 19, paragraphe 4, l’article 20, paragraphe 4, l’article 21, paragraphe 4, l’article 22, paragraphe 5, l’article 23, paragraphe 3, l’article 24, paragraphe 5, l’article 27, paragraphes 4 et 5, l’article 28, paragraphe 6, l’article 29, paragraphe 2, l’article 30, paragraphes 3 et 4, l’article 31, paragraphe 3, l’article 32, paragraphe 3, l’article 33, paragraphe 2, l’article 34, paragraphe 2, l’article 37, paragraphes 4 et 5, l’article 38, paragraphe 6, l’article 42, paragraphe 2, l’article 44, paragraphe 2, l’article 45, paragraphe 2, et les articles 47 et 48 sont applicables à partir du 17 septembre 2014; b) l’article 7, l’article 8, paragraphes 1 et 2, les articles 9, 10, 11, et l’article 12, paragraphe 1, sont applicables à compter de la date d’application des actes d’exécution visés à l’article 8, paragraphe 3, et à l’article 12, paragraphe 8; c) l’article 6 s’applique après trois ans à compter de la date d’application des actes d’exécution visés à l’article 8, paragraphe 3 et à l’article 12, paragraphe 8. 3. Lorsque le schéma d’identification électronique notifié est inscrit sur la liste publiée par la Commission en application de l’article 9 avant la date visée au paragraphe 2, point c), du présent article, la reconnaissance des moyens d’identification électronique dans le cadre de ce schéma en application de l’article 6 a lieu au plus tard douze mois après la publication dudit schéma, mais pas avant la date visée au paragraphe 2, point c), du présent article. 4. Nonobstant le paragraphe 2, point c), du présent article, un État membre peut décider que des moyens d’identification électronique relevant d’un schéma d’identification électronique notifié en application de l’article 9, paragraphe 1, par un autre État membre sont reconnus dans le premier État membre à compter de la date d’application des actes d’exécution visés à l’article 8, paragraphe 3, et à l’article 12, paragraphe 8. Les États membres concernés informent la Commission. La Commission rend publiques ces informations.
eIDAS — Règlement (UE) 910/2014 > Art 52.Tit 1
Entrée en vigueur
eIDAS 2.0 — Règlement (UE) 2024/1183 > Art 1.Tit 1
Modifications du règlement (UE) n o 910/2014
eIDAS 2.0 — Règlement (UE) 2024/1183 > Article 2
Article 2 Entrée en vigueur Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne . Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.
eIDAS 2.0 — Règlement (UE) 2024/1183 > Art 2.Tit 1
Entrée en vigueur
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article premier
Article premier Objet Le présent règlement établit: a) les règles relatives à la mise à disposition sur le marché de produits comportant des éléments numériques afin de garantir la cybersécurité de ces produits; b) les exigences essentielles de cybersécurité relatives à la conception, au développement et à la production de produits comportant des éléments numériques, et les obligations qui incombent aux opérateurs économiques en ce qui concerne ces produits eu égard à la cybersécurité; c) les exigences essentielles de cybersécurité relatives aux processus de gestion des vulnérabilités mis en place par les fabricants pour garantir la cybersécurité des produits comportant des éléments numériques durant la période d’utilisation prévue du produit, et les obligations incombant aux opérateurs économiques en ce qui concerne ces processus; d) les règles relatives à la surveillance, y compris le contrôle, du marché et au contrôle de l’application des règles et exigences visées au présent article.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 1.Tit 1
Objet
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 2
Article 2 Champ d’application 1. Le présent règlement s’applique aux produits comportant des éléments numériques mis à disposition sur le marché dont l’utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte, logique ou physique, à un dispositif ou à un réseau. 2. Le présent règlement ne s’applique pas aux produits comportant des éléments numériques auxquels s’appliquent les actes juridiques de l’Union suivants: a) règlement (UE) 2017/745; b) règlement (UE) 2017/746; c) règlement (UE) 2019/2144. 3. Le présent règlement ne s’applique pas aux produits comportant des éléments numériques qui ont été certifiés conformément au règlement (UE) 2018/1139. 4. Le présent règlement ne s’applique pas aux équipements qui relèvent du champ d’application de la directive 2014/90/UE du Parlement européen et du Conseil ( 36 ) . 5. L’application du présent règlement à des produits comportant des éléments numériques qui relèvent d’autres règles de l’Union fixant des exigences qui couvrent tout ou partie des risques auxquels s’appliquent les exigences essentielles de cybersécurité énoncées à l’annexe I peut être limitée ou exclue lorsque: a) cette limitation ou cette exclusion est compatible avec le cadre réglementaire général qui s’applique à ces produits; et b) les règles sectorielles assurent un niveau de protection identique ou supérieur à celui prévu par le présent règlement. La Commission est habilitée à adopter des actes délégués conformément à l’article 61 pour compléter le présent règlement en précisant si une telle limitation ou exclusion est nécessaire, quels sont les produits et règles concernés et quelle est la portée de la limitation, le cas échéant. 6. Le présent règlement ne s’applique pas aux pièces de rechange qui sont mises à disposition sur le marché pour remplacer des composants identiques dans des produits comportant des éléments numériques et qui sont fabriquées conformément aux mêmes spécifications que les composants qu’elles sont destinées à remplacer. 7. Le présent règlement ne s’applique pas aux produits comportant des éléments numériques qui sont développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense, ni aux produits spécifiquement conçus pour traiter des informations classifiées. 8. Les obligations prévues dans le présent règlement n’impliquent pas la fourniture d’informations dont la divulgation serait contraire aux intérêts essentiels des États membres en matière de sécurité nationale, de sécurité publique ou de défense.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 2.Tit 1
Champ d’application
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 3.Tit 1
Définitions
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 4
Article 4 Libre circulation 1. Les États membres n’empêchent pas, pour les aspects relevant du présent règlement, la mise à disposition sur le marché de produits comportant des éléments numériques conformes au présent règlement. 2. Lors de foires commerciales, d’expositions, de démonstrations ou d’événements similaires, les États membres n’empêchent pas la présentation ou l’utilisation d’un produit comportant des éléments numériques non conforme au présent règlement, y compris ses prototypes, à condition que le produit porte une marque visible indiquant clairement qu’il n’est pas conforme au présent règlement et qu’il ne doit pas être mis à disposition sur le marché tant qu’il ne sera pas conforme au présent règlement. 3. Les États membres n’empêchent pas la mise à disposition sur le marché de logiciels inachevés qui ne sont pas conformes au présent règlement, à condition que le logiciel ne soit mis à disposition que pour une durée limitée nécessaire à des fins d’essai et qu’il porte une marque visible indiquant clairement que le logiciel n’est pas conforme au présent règlement et qu’il ne sera pas mis à disposition sur le marché à d’autres fins que les essais. 4. Le paragraphe 3 ne s’applique pas aux composants de sécurité visés dans la législation d’harmonisation de l’Union autre que le présent règlement.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 4.Tit 1
Libre circulation
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 5
Article 5 Achats publics ou utilisation de produits comportant des éléments numériques 1. Le présent règlement n’empêche pas les États membres de soumettre les produits comportant des éléments numériques à des exigences supplémentaires de cybersécurité en cas d’achats publics ou d’utilisation de ces produits à des fins spécifiques, y compris lorsque ces produits sont achetés ou utilisés à des fins de sécurité nationale ou de défense, à condition que ces exigences soient conformes aux obligations des États membres prévues par le droit de l’Union et qu’elles soient nécessaires et proportionnées à la poursuite de ces fins. 2. Sans préjudice des directives 2014/24/UE et 2014/25/UE, lors des achats publics de produits comportant des éléments numériques relevant du champ d’application du présent règlement, les États membres veillent à la prise en compte, au cours du processus d’achat public, du respect des exigences essentielles de cybersécurité énoncées à l’annexe I du présent règlement, y compris la capacité du fabricant à traiter efficacement les vulnérabilités.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 5.Tit 1
Achats publics ou utilisation de produits comportant des éléments numériques
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 6
Article 6 Exigences applicables aux produits comportant des éléments numériques Les produits comportant des éléments numériques ne sont mis à disposition sur le marché que: a) s’ils satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, à condition qu’ils soient correctement installés, entretenus et utilisés conformément à l’utilisation prévue ou dans des conditions raisonnablement prévisibles et, le cas échéant, que les mises à jour de sécurité nécessaires aient été installées; et b) si les processus mis en place par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 6.Tit 1
Exigences applicables aux produits comportant des éléments numériques
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 7.Tit 1
Produits importants comportant des éléments numériques
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 8.Tit 1
Produits critiques comportant des éléments numériques
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 9
Article 9 Consultation des parties intéressées 1. Lors de l’élaboration des mesures de mise en œuvre du présent règlement, la Commission consulte les parties intéressées, telles que les autorités des États membres concernées, les entreprises du secteur privé, y compris les microentreprises et les petites et moyennes entreprises, la communauté des logiciels ouverts, les associations de consommateurs, le milieu universitaire et les organismes et organes compétents de l’Union, ainsi que les groupes d’experts établis au niveau de l’Union. En particulier, la Commission consulte ces parties intéressées et sollicite leur avis, de manière structurée, lorsque cela s’y prête: a) au moment d’élaborer les orientations visées à l’article 26; b) au moment de préparer les descriptions techniques spécifiques des catégories de produits figurant à l’annexe III conformément à l’article 7, paragraphe 4, d’évaluer la nécessité d’éventuelles mises à jour de la liste des catégories de produits conformément à l’article 7, paragraphe 3, et à l’article 8, paragraphe 2, ou de procéder à l’évaluation des effets potentiels sur le marché visée à l’article 8, paragraphe 1, sans préjudice de l’article 61; c) au moment d’entreprendre des travaux préparatoires en vue de l’évaluation et du réexamen du présent règlement. 2. La Commission organise régulièrement des sessions de consultation et d’information, et au moins une fois par an, afin de recueillir l’avis des parties intéressées visées au paragraphe 1 sur la mise en œuvre du présent règlement.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 9.Tit 1
Consultation des parties intéressées
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 10
Article 10 Renforcement des compétences dans un environnement numérique cyberrésilient Aux fins du présent règlement et afin de répondre aux besoins des professionnels à l’appui de la mise en œuvre du présent règlement, les États membres, avec, le cas échéant, le soutien de la Commission, du Centre européen de compétences en matière de cybersécurité et de l’ENISA, tout en respectant pleinement la responsabilité des États membres dans le domaine de l’éducation, favorisent des mesures et des stratégies visant: a) à développer des compétences en matière de cybersécurité et à créer des outils organisationnels et technologiques pour garantir une disponibilité suffisante de professionnels qualifiés afin de soutenir les activités des autorités de surveillance du marché et des organismes d’évaluation de la conformité; b) à renforcer la collaboration entre le secteur privé, les opérateurs économiques, y compris par la reconversion ou le perfectionnement des salariés des fabricants, les consommateurs, les prestataires de formation et les administrations publiques, élargissant ainsi les possibilités pour les jeunes d’accéder à des emplois dans le secteur de la cybersécurité.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 10.Tit 1
Renforcement des compétences dans un environnement numérique cyberrésilient
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 11
Article 11 Sécurité générale des produits Par dérogation à l’article 2, paragraphe 1, troisième alinéa, point b), du règlement (UE) 2023/988, le chapitre III, section 1, les chapitres V et VII, et les chapitres IX à XI dudit règlement s’appliquent aux produits comportant des éléments numériques en ce qui concerne les aspects et les risques ou catégories de risques qui ne sont pas couverts par le présent règlement lorsque ces produits ne sont pas soumis à des exigences spécifiques prévues dans d’autres actes faisant partie de la législation d’harmonisation de l’Union au sens de l’article 3, point 27), du règlement (UE) 2023/988.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 11.Tit 1
Sécurité générale des produits
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 12
Article 12 Systèmes d’IA à haut risque 1. Sans préjudice des exigences en matière d’exactitude et de robustesse énoncées à l’article 15 du règlement (UE) 2024/1689, les produits comportant des éléments numériques qui relèvent du champ d’application du présent règlement et sont classés comme des systèmes d’IA à haut risque conformément à l’article 6 dudit règlement sont réputés conformes aux exigences de cybersécurité énoncées à l’article 15 dudit règlement: a) lorsque ces produits satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I; b) lorsque les processus mis en place par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II; et c) lorsque le niveau de cyberprotection requis à l’article 15 du règlement (UE) 2024/1689 est démontré par la déclaration UE de conformité délivrée en vertu du présent règlement. 2. Pour les produits comportant des éléments numériques et les exigences de cybersécurité visés au paragraphe 1 du présent article, la procédure d’évaluation de la conformité pertinente prévue à l’article 43 du règlement (UE) 2024/1689 s’applique. Aux fins de cette évaluation, les organismes notifiés qui sont compétents pour contrôler la conformité des systèmes d’IA à haut risque au titre du règlement (UE) 2024/1689 sont également compétents pour contrôler la conformité des systèmes d’IA à haut risque qui relèvent du champ d’application du présent règlement aux exigences énoncées à l’annexe I du présent règlement, à condition que la conformité de ces organismes notifiés aux exigences prévues par l’article 39 du présent règlement ait été évaluée dans le cadre de la procédure de notification prévue par le règlement (UE) 2024/1689. 3. Par dérogation au paragraphe 2 du présent article, les produits importants comportant des éléments numériques énumérés à l’annexe III du présent règlement, qui font l’objet des procédures d’évaluation de la conformité prévues par l’article 32, paragraphe 2, points a) et b), et l’article 32, paragraphe 3, du présent règlement ainsi que les produits critiques comportant des éléments numériques énumérés à l’annexe IV du présent règlement qui doivent obtenir un certificat de cybersécurité européen au titre de l’article 8, paragraphe 1, du présent règlement ou, à défaut, qui font l’objet des procédures d’évaluation de la conformité prévues par l’article 32, paragraphe 3, du présent règlement, et qui sont également classés comme systèmes d’IA à haut risque au titre de l’article 6 du règlement (UE) 2024/1689, et auxquels s’applique la procédure d’évaluation de la conformité fondée sur le contrôle interne prévue à l’annexe VI du règlement (UE) 2024/1689, sont soumis aux procédures d’évaluation de la conformité prévues par le présent règlement en ce qui concerne les exigences essentielles de cybersécurité énoncées dans le présent règlement. 4. Les fabricants de produits comportant des éléments numériques tels que visés au paragraphe 1 du présent article peuvent participer aux sas réglementaires en matière d’IA visés à l’article 57 du règlement (UE) 2024/1689.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 12.Tit 1
Systèmes d’IA à haut risque
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 13.Tit 1
Obligations incombant aux fabricants
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 14.Tit 1
Obligations en matière de communication d’informations incombant aux fabricants
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 15
Article 15 Signalement volontaire 1. Les fabricants mais aussi d’autres personnes physiques ou morales peuvent notifier toute vulnérabilité contenue dans un produit comportant des éléments numériques ainsi que les cybermenaces susceptibles d’affecter le profil de risque d’un produit comportant des éléments numériques, de manière volontaire, à un CSIRT désigné comme coordinateur ou à l’ENISA. 2. Les fabricants ainsi que d’autres personnes physiques ou morales peuvent notifier tout incident ayant des répercussions sur la sécurité du produit comportant des éléments numériques ainsi que des incidents évités qui auraient pu entraîner un tel incident, de manière volontaire, à un CSIRT désigné comme coordinateur ou à l’ENISA. 3. Le CSIRT désigné comme coordinateur ou l’ENISA traite les notifications visées au paragraphes 1 et 2 du présent article conformément à la procédure prévue à l’article 16. Le CSIRT désigné comme coordinateur peut accorder la priorité au traitement des notifications obligatoires par rapport aux notifications volontaires. 4. Lorsqu’une personne physique ou morale autre que le fabricant notifie une vulnérabilité activement exploitée ou un incident grave ayant des répercussions sur la sécurité d’un produit comportant des éléments numériques conformément au paragraphe 1 ou 2, le CSIRT désigné comme coordinateur en informe le fabricant sans retard injustifié. 5. Les CSIRT désignés comme coordinateurs ainsi que l’ENISA garantissent la confidentialité et une protection appropriée des informations fournies par la personne physique ou morale à l’origine de la notification. Sans préjudice de la prévention et de la détection d’infractions pénales et des enquêtes et poursuites en la matière, un signalement volontaire n’a pas pour effet d’imposer à la personne physique ou morale à l’origine de la notification des obligations supplémentaires auxquelles elle n’aurait pas été soumise si elle n’avait pas fait la notification.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 15.Tit 1
Signalement volontaire
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 16.Tit 1
Mise en place d’une plateforme unique de signalement
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 17
Article 17 Autres dispositions liées au signalement 1. L’ENISA peut soumettre au réseau européen d’organisations de liaison en cas de crises de cybersécurité (UE-CyCLONe) institué par l’article 16 de la directive (UE) 2022/2555 les informations notifiées conformément à l’article 14, paragraphes 1 et 3, et à l’article 15, paragraphes 1 et 2, du présent règlement, si elles sont pertinentes pour la gestion coordonnée au niveau opérationnel des incidents et crises de cybersécurité majeurs. Afin de déterminer cette pertinence, l’ENISA peut prendre en considération les analyses techniques effectuées par le réseau des CSIRT, lorsqu’elles existent. 2. Lorsque la sensibilisation du public est nécessaire pour prévenir ou atténuer un incident grave ayant des répercussions sur la sécurité du produit comportant des éléments numériques ou pour traiter un incident en cours, ou lorsque la divulgation de l’incident est par ailleurs dans l’intérêt public, le CSIRT désigné comme coordinateur de l’État membre concerné peut, après consultation du fabricant concerné et, le cas échéant, en coopération avec l’ENISA, informer le public de l’incident ou exiger du fabricant qu’il le fasse. 3. Sur la base des notifications reçues conformément à l’article 14, paragraphes 1 et 3, et à l’article 15, paragraphes 1 et 2, du présent règlement, l’ENISA élabore tous les 24 mois un rapport technique sur les tendances émergentes en ce qui concerne les risques de cybersécurité dans les produits comportant des éléments numériques et le soumet au groupe de coopération institué en vertu de l’article 14 de la directive (UE) 2022/2555. Le premier rapport de ce type est présenté dans les 24 mois suivant le début de l’application des obligations prévues à l’article 14, paragraphes 1 et 3. L’ENISA inclut les informations pertinentes de ses rapports techniques dans son rapport sur l’état de la cybersécurité dans l’Union établi conformément à l’article 18 de la directive (UE) 2022/2555. 4. Le simple acte de notification conformément à l’article 14, paragraphes 1 et 3, ou à l’article 15, paragraphes 1 et 2, ne soumet pas la personne physique ou morale à l’origine de la notification à une responsabilité accrue. 5. Après qu’une mise à jour de sécurité ou une autre forme de mesure corrective ou d’atténuation est mise à disposition, l’ENISA ajoute, en accord avec le fabricant du produit comportant des éléments numériques concerné, la vulnérabilité connue du public notifiée conformément à l’article 14, paragraphe 1, ou à l’article 15, paragraphe 1, du présent règlement à la base de données européenne des vulnérabilités établie en vertu de l’article 12, paragraphe 2, de la directive (UE) 2022/2555. 6. Les CSIRT désignés comme coordinateurs fournissent aux fabricants, et en particulier aux fabricants qui peuvent être considérés comme des microentreprises ou des petites ou moyennes entreprises, un service d’assistance en ce qui concerne les obligations de signalement énoncées à l’article 14.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 17.Tit 1
Autres dispositions liées au signalement
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 18
Article 18 Mandataires 1. Un fabricant peut, par mandat écrit, désigner un mandataire. 2. Les obligations énoncées à l’article 13, paragraphes 1 à 11, à l’article 13, paragraphe 12, premier alinéa, et à l’article 13, paragraphe 14, ne font pas partie du mandat confié au mandataire. 3. Le mandataire exécute les tâches spécifiées dans le mandat qu’il reçoit du fabricant. Le mandataire fournit une copie du mandat aux autorités de surveillance du marché à leur demande. Le mandat autorise au minimum le mandataire: a) à tenir à la disposition des autorités de surveillance du marché la déclaration UE de conformité mentionnée à l’article 28 et la documentation technique mentionnée à l’article 31 pendant au moins dix ans à partir de la mise sur le marché du produit comportant des éléments numériques ou pendant la période d’assistance, la période la plus longue étant retenue; b) sur requête motivée d’une autorité de surveillance du marché, à communiquer à cette dernière toutes les informations et tous les documents nécessaires pour démontrer la conformité du produit comportant des éléments numériques; c) à coopérer avec les autorités de surveillance du marché, à leur demande, concernant toute mesure adoptée pour éliminer les risques présentés par un produit comportant des éléments numériques relevant du mandat confié au mandataire.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 18.Tit 1
Mandataires
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 19.Tit 1
Obligations incombant aux importateurs
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 20.Tit 1
Obligations des distributeurs
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 21
Article 21 Cas dans lesquels les obligations des fabricants s’appliquent aux importateurs et aux distributeurs Un importateur ou un distributeur est considéré comme un fabricant aux fins du présent règlement et est soumis au respect de l’article 13 et de l’article 14 lorsque cet importateur ou ce distributeur met un produit comportant des éléments numériques sur le marché sous son propre nom ou sa propre marque, ou lorsqu’il apporte une modification substantielle à un produit comportant des éléments numériques déjà mis sur le marché.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 21.Tit 1
Cas dans lesquels les obligations des fabricants s’appliquent aux importateurs et aux distributeurs
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 22
Article 22 Autres cas dans lesquels les obligations des fabricants s’appliquent 1. Une personne physique ou morale, autre que le fabricant, l’importateur ou le distributeur, qui apporte une modification substantielle à un produit comportant des éléments numériques et met ce produit à disposition sur le marché est considérée comme un fabricant aux fins du présent règlement. 2. La personne visée au paragraphe 1 du présent article est soumise aux obligations énoncées à l’article 13 et à l’article 14 en ce qui concerne la partie du produit comportant des éléments numériques sur laquelle porte la modification substantielle, ou en ce qui concerne l’ensemble du produit si la modification substantielle a des répercussions sur la cybersécurité du produit comportant des éléments numériques dans son ensemble.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 22.Tit 1
Autres cas dans lesquels les obligations des fabricants s’appliquent