SpadaLab/reglements-europeens huggingface dataset:
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 23
Article 23 Identification des opérateurs économiques 1. Les opérateurs économiques fournissent aux autorités de surveillance du marché, sur demande, les informations suivantes: a) le nom et l’adresse de tout opérateur économique qui lui a fourni un produit comportant des éléments numériques; b) lorsqu’il dispose de ces informations, le nom et l’adresse de tout opérateur économique auquel il a fourni un produit comportant des éléments numériques. 2. Les opérateurs économiques sont en mesure de communiquer les informations visées au paragraphe 1 pendant dix ans à compter de la date à laquelle le produit comportant des éléments numériques leur a été fourni et pendant dix ans à compter de la date à laquelle ils l’ont fourni.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 23.Tit 1
Identification des opérateurs économiques
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 24
Article 24 Obligations des intendants de logiciels ouverts 1. Les intendants de logiciels ouverts mettent en place et documentent de manière vérifiable une politique de cybersécurité afin de favoriser le développement d’un produit comportant des éléments numériques sécurisé ainsi qu’un traitement efficace des vulnérabilités par les développeurs de ce produit. Cette politique encourage également le signalement volontaire des vulnérabilités, prévu à l’article 15, par les développeurs de ce produit et tient compte de la nature spécifique de l’intendant de logiciels ouverts et des modalités juridiques et organisationnelles auxquelles il est soumis. Cette politique comprend, en particulier, des aspects liés à la documentation, au traitement et à la correction des vulnérabilités, ainsi qu’à la promotion du partage d’informations sur les vulnérabilités découvertes au sein de la communauté des logiciels ouverts. 2. Les intendants de logiciels ouverts coopèrent avec les autorités de surveillance du marché, à leur demande, en vue d’atténuer les risques de cybersécurité posés par un produit comportant des éléments numériques qui répond aux critères de logiciel libre et ouvert. Sur demande motivée d’une autorité de surveillance du marché, les intendants de logiciels ouverts fournissent à cette autorité, dans une langue aisément compréhensible par celle-ci, la documentation visée au paragraphe 1, sur support papier ou sous forme électronique. 3. Les obligations prévues à l’article 14, paragraphe 1, s’appliquent aux intendants de logiciels ouverts dès lors qu’ils participent au développement des produits comportant des éléments numériques. Les obligations prévues à l’article 14, paragraphes 3 et 8, s’appliquent aux intendants de logiciels ouverts dès lors que des incidents graves ayant des répercussions sur la sécurité des produits comportant des éléments numériques touchent les réseaux et les systèmes d’information fournis par les intendants de logiciels ouverts pour le développement de ces produits.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 24.Tit 1
Obligations des intendants de logiciels ouverts
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 25
Article 25 Attestation de sécurité des logiciels libres et ouverts Afin de faciliter le respect de l’obligation de diligence raisonnable énoncée à l’article 13, paragraphe 5, en particulier en ce qui concerne les fabricants qui intègrent des composants logiciels libres et ouverts dans leurs produits comportant des éléments numériques, la Commission est habilitée à adopter des actes délégués conformément à l’article 61 afin de compléter le présent règlement en mettant en place des programmes volontaires d’attestation de sécurité permettant aux développeurs ou aux utilisateurs de produits comportant des éléments numériques répondant aux critères de logiciel libre et ouvert ainsi qu’à d’autres tiers d’évaluer la conformité de ces produits à l’ensemble ou à une partie des exigences essentielles de cybersécurité ou d’autres obligations prévues par le présent règlement.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 25.Tit 1
Attestation de sécurité des logiciels libres et ouverts
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 26
Article 26 Orientations 1. Afin de faciliter la mise en œuvre et de veiller à sa cohérence, la Commission publie des orientations pour aider les opérateurs économiques à appliquer le présent règlement, en mettant tout particulièrement l’accent sur la nécessité de favoriser la conformité par les microentreprises et les petites et moyennes entreprises. 2. Lorsqu’elle entend fournir les orientations visées au paragraphe 1, la Commission aborde au moins les aspects suivants: a) le champ d’application du présent règlement, en particulier les solutions de traitement de données à distance et les logiciels libres et ouverts; b) l’application de périodes d’assistance pour certaines catégories particulières de produits comportant des éléments numériques; c) des orientations destinées aux fabricants soumis au présent règlement qui sont également soumis à une législation d’harmonisation de l’Union autre que le présent règlement ou à d’autres actes juridiques connexes de l’Union; d) la notion de modification substantielle. La Commission tient également à jour une liste facile d’accès des actes délégués et des actes d’exécution adoptés en vertu du présent règlement. 3. Dans le cadre de l’élaboration des orientations visées au présent article, la Commission consulte les parties intéressées.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 26.Tit 1
Orientations
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 27.Tit 1
Présomption de conformité
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 28
Article 28 Déclaration UE de conformité 1. La déclaration UE de conformité est établie par le fabricant conformément à l’article 13, paragraphe 12, et atteste que le respect des exigences essentielles de cybersécurité applicables énoncées à l’annexe I a été démontré. 2. La déclaration UE de conformité est établie selon le modèle figurant à l’annexe V et contient les éléments précisés dans les procédures d’évaluation de la conformité applicables prévues à l’annexe VIII. Cette déclaration est mise à jour en tant que de besoin. Elle est disponible dans les langues requises par l’État membre dans lequel le produit comportant des éléments numériques est mis sur le marché ou mis à disposition sur le marché. La déclaration UE de conformité simplifiée visée à l’article 13, paragraphe 20, est établie selon le modèle figurant à l’annexe VI. Elle est disponible dans les langues requises par l’État membre dans lequel le produit comportant des éléments numériques est mis sur le marché ou mis à disposition sur le marché. 3. Lorsqu’un produit comportant des éléments numériques relève de plusieurs actes juridiques de l’Union imposant une déclaration UE de conformité, une seule déclaration UE de conformité est établie pour l’ensemble de ces actes juridiques. Cette déclaration mentionne les titres des actes juridiques de l’Union concernés, ainsi que les références de leur publication. 4. En établissant la déclaration UE de conformité, le fabricant assume la responsabilité de la conformité du produit comportant des éléments numériques. 5. La Commission est habilitée à adopter des actes délégués conformément à l’article 61 pour compléter le présent règlement aux fins d’ajouter des éléments au contenu minimal de la déclaration UE de conformité prévu à l’annexe V afin de tenir compte des progrès techniques.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 28.Tit 1
Déclaration UE de conformité
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 29
Article 29 Principes généraux du marquage CE Le marquage CE est soumis aux principes généraux énoncés à l’article 30 du règlement (CE) n o 765/2008.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 29.Tit 1
Principes généraux du marquage CE
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 30
Article 30 Règles et conditions d’apposition du marquage CE 1. Le marquage CE est apposé de manière visible, lisible et indélébile sur le produit comportant des éléments numériques. Lorsque la nature du produit comportant des éléments numériques ne le permet pas ou ne le justifie pas, il est apposé sur son emballage et sur la déclaration UE de conformité mentionnée à l’article 28 qui accompagne le produit comportant des éléments numériques. Pour les produits comportant des éléments numériques qui se présentent sous la forme d’un logiciel, le marquage CE est apposé soit sur la déclaration UE de conformité mentionnée à l’article 28, soit sur le site internet qui accompagne le logiciel. Dans ce dernier cas, la section correspondante du site internet est aisément et directement accessible aux consommateurs. 2. En raison de la nature du produit comportant des éléments numériques, la hauteur du marquage CE apposé sur le produit comportant des éléments numériques peut être inférieure à 5 mm, à condition qu’il reste visible et lisible. 3. Le marquage CE est apposé avant que le produit comportant des éléments numériques ne soit mis sur le marché. Il peut être suivi d’un pictogramme ou de tout autre marquage indiquant un risque en matière de cybersécurité ou un usage particulier énoncés dans les actes d’exécution visés au paragraphe 6. 4. Le marquage CE est suivi du numéro d’identification de l’organisme notifié, lorsque cet organisme participe à la procédure d’évaluation de la conformité sur la base de l’assurance complète de la qualité (module H) visée à l’article 32. Le numéro d’identification de l’organisme notifié est apposé par l’organisme lui-même ou, sur instruction de celui-ci, par le fabricant ou le mandataire du fabricant. 5. Les États membres s’appuient sur les mécanismes existants pour assurer la bonne application du régime régissant le marquage CE et prennent les mesures nécessaires en cas d’usage abusif de ce marquage. Lorsque le produit comportant des éléments numériques relève d’une législation d’harmonisation de l’Union, autre que le présent règlement, qui prévoit aussi l’apposition du marquage CE, le marquage CE indique que le produit satisfait également aux exigences énoncées dans cette autre législation d’harmonisation de l’Union. 6. La Commission peut, par voie d’actes d’exécution, définir des spécifications techniques pour les étiquettes, les pictogrammes ou tout autre marquage en lien avec la sécurité des produits comportant des éléments numériques, leurs périodes d’assistance ainsi que des mécanismes visant à promouvoir leur utilisation et à sensibiliser le public à la sécurité des produits comportant des éléments numériques. Lors de l’élaboration des projets d’actes d’exécution, la Commission consulte les parties prenantes concernées et, s’il a déjà été établi en vertu de l’article 52, paragraphe 15, l’ADCO. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 62, paragraphe 2.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 30.Tit 1
Règles et conditions d’apposition du marquage CE
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 31
Article 31 Documentation technique 1. La documentation technique réunit l’ensemble des informations ou des précisions utiles concernant les moyens employés par le fabricant pour garantir la conformité du produit comportant des éléments numériques et des processus mis en place par le fabricant aux exigences essentielles de cybersécurité énoncées à l’annexe I. Elle contient, au minimum, les éléments énumérés à l’annexe VII. 2. La documentation technique est établie avant que le produit comportant des éléments numériques ne soit mis sur le marché et fait l’objet de mises à jour régulières, le cas échéant, au moins pendant la période d’assistance. 3. Pour les produits comportant des éléments numériques visés à l’article 12, qui relèvent aussi d’autres actes juridiques de l’Union prévoyant une documentation technique, une seule documentation technique est établie, contenant les informations visées à l’annexe VII ainsi que les informations requises en vertu de ces actes juridiques de l’Union. 4. La documentation technique et la correspondance se rapportant à toute procédure d’évaluation de la conformité sont rédigées dans une langue officielle de l’État membre dans lequel est établi l’organisme notifié ou dans une langue acceptée par celui-ci. 5. La Commission est habilitée à adopter des actes délégués conformément à l’article 61 pour compléter le présent règlement en ajoutant des éléments à inclure dans la documentation technique figurant à l’annexe VII pour tenir compte des progrès techniques ainsi que des évolutions rencontrées dans le processus de mise en œuvre du présent règlement. À cette fin, la Commission s’efforce de faire en sorte que la charge administrative pesant sur les microentreprises et les petites et moyennes entreprises soit proportionnée.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 31.Tit 1
Documentation technique
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 32.Tit 1
Procédures d’évaluation de la conformité pour les produits comportant des éléments numériques
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 33.Tit 1
Mesures de soutien pour les microentreprises et les petites et moyennes entreprises, y compris les jeunes pousses
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 34
Article 34 Accords de reconnaissance mutuelle Compte tenu du niveau de développement technique et de l’approche en matière d’évaluation de la conformité d’un pays tiers, l’Union peut conclure des accords de reconnaissance mutuelle avec des pays tiers, conformément à l’article 218 du traité sur le fonctionnement de l’Union européenne, afin de promouvoir et de faciliter le commerce international.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 34.Tit 1
Accords de reconnaissance mutuelle
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 35
Article 35 Notification 1. Les États membres notifient à la Commission et aux autres États membres les organismes autorisés à procéder à l’évaluation de la conformité conformément au présent règlement. 2. Les États membres, au plus tard le 11 décembre 2026, s’efforcent d’assurer la disponibilité, en nombre suffisant, d’organismes notifiés dans l’Union pour effectuer des évaluations de la conformité, afin d’éviter les goulets d’étranglement et les obstacles à l’entrée sur le marché.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 35.Tit 1
Notification
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 36
Article 36 Autorités notifiantes 1. Chaque État membre désigne une autorité notifiante responsable de la mise en place et de l’application des procédures nécessaires à l’évaluation, à la désignation et à la notification des organismes d’évaluation de la conformité ainsi qu’à leur contrôle, y compris le respect de l’article 41. 2. Les États membres peuvent décider que l’évaluation et le contrôle visés au paragraphe 1 sont effectués par un organisme d’accréditation national au sens du règlement (CE) n o 765/2008 et conformément à ses dispositions. 3. Lorsque l’autorité notifiante délègue ou confie d’une autre façon l’évaluation, la notification ou le contrôle visés au paragraphe 1 du présent article à un organisme qui n’appartient pas au secteur public, cet organisme est une personne morale et se conforme mutatis mutandis aux dispositions de l’article 37. En outre, cet organisme prend ses dispositions pour assumer les responsabilités qui découlent de ses activités. 4. L’autorité notifiante assume la pleine responsabilité des tâches accomplies par l’organisme visé au paragraphe 3.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 36.Tit 1
Autorités notifiantes
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 37
Article 37 Exigences concernant les autorités notifiantes 1. Une autorité notifiante est établie de manière à éviter tout conflit d’intérêts avec les organismes d’évaluation de la conformité. 2. Une autorité notifiante est organisée et fonctionne de façon à garantir l’objectivité et l’impartialité de ses activités. 3. Une autorité notifiante est organisée de telle sorte que chaque décision concernant la notification d’un organisme d’évaluation de la conformité est prise par des personnes compétentes différentes de celles qui ont réalisé l’évaluation. 4. Une autorité notifiante ne propose ni ne fournit aucune des activités réalisées par les organismes d’évaluation de la conformité, ni aucun service de conseil sur une base commerciale ou concurrentielle. 5. Une autorité notifiante garantit la confidentialité des informations qu’elle obtient. 6. Une autorité notifiante dispose d’un personnel compétent en nombre suffisant pour la bonne exécution de ses tâches.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 37.Tit 1
Exigences concernant les autorités notifiantes
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 38
Article 38 Obligation des autorités notifiantes en matière d’information 1. Les États membres informent la Commission de leurs procédures concernant l’évaluation et la notification des organismes d’évaluation de la conformité ainsi que le contrôle des organismes notifiés, et de toute modification en la matière. 2. La Commission rend publiques les informations visées au paragraphe 1.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 38.Tit 1
Obligation des autorités notifiantes en matière d’information
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 39.Tit 1
Exigences relatives aux organismes notifiés
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 40
Article 40 Présomption de conformité des organismes notifiés Lorsqu’un organisme d’évaluation de la conformité démontre sa conformité avec les critères fixés dans les normes harmonisées concernées, ou dans des parties de ces normes, dont les références ont été publiées au Journal officiel de l’Union européenne , il est présumé répondre aux exigences énoncées à l’article 39 dans la mesure où les normes harmonisées applicables couvrent ces exigences.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 40.Tit 1
Présomption de conformité des organismes notifiés
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 41
Article 41 Filiales et sous-traitants des organismes notifiés 1. Lorsqu’un organisme notifié sous-traite des tâches spécifiques dans le cadre de l’évaluation de la conformité ou a recours à une filiale, il s’assure que le sous-traitant ou la filiale répond aux exigences énoncées à l’article 39 et informe l’autorité notifiante en conséquence. 2. Les organismes notifiés assument l’entière responsabilité des tâches accomplies par les sous-traitants ou filiales, quel que soit leur lieu d’établissement. 3. Des activités ne peuvent être sous-traitées ou réalisées par une filiale qu’avec l’accord du fabricant. 4. Les organismes notifiés tiennent à la disposition de l’autorité notifiante les documents pertinents concernant l’évaluation des qualifications du sous-traitant ou de la filiale et le travail exécuté par celui-ci ou celle-ci en vertu du présent règlement.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 41.Tit 1
Filiales et sous-traitants des organismes notifiés
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 42
Article 42 Demande de notification 1. Un organisme d’évaluation de la conformité soumet une demande de notification à l’autorité notifiante de l’État membre dans lequel il est établi. 2. Cette demande est accompagnée d’une description des activités d’évaluation de la conformité, de la ou des procédures d’évaluation de la conformité et du ou des produits comportant des éléments numériques pour lesquels cet organisme se déclare compétent, ainsi que, le cas échéant, d’un certificat d’accréditation délivré par un organisme national d’accréditation, qui atteste que l’organisme d’évaluation de la conformité remplit les exigences prévues à l’article 39. 3. Lorsque l’organisme d’évaluation de la conformité ne peut produire le certificat d’accréditation, il présente à l’autorité notifiante toutes les preuves documentaires nécessaires à la vérification, à la reconnaissance et au contrôle régulier de sa conformité avec les exigences prévues à l’article 39.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 42.Tit 1
Demande de notification
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 43
Article 43 Procédure de notification 1. Les autorités notifiantes ne notifient que les organismes d’évaluation de la conformité qui satisfont aux exigences prévues à l’article 39. 2. L’autorité notifiante notifie la Commission et les autres États membres à l’aide du système d’information New Approach Notified and Designated Organisations mis en place et géré par la Commission. 3. La notification comprend des informations complètes sur les activités d’évaluation de la conformité, le ou les modules d’évaluation de la conformité et le ou les produits comportant des éléments numériques concernés, ainsi que l’attestation de compétence correspondante. 4. Lorsqu’une notification n’est pas fondée sur le certificat d’accréditation visé à l’article 42, paragraphe 2, l’autorité notifiante fournit à la Commission et aux autres États membres les preuves documentaires qui attestent de la compétence de l’organisme d’évaluation de la conformité et des dispositions en place pour garantir que cet organisme sera régulièrement contrôlé et continuera à satisfaire aux exigences prévues à l’article 39. 5. L’organisme concerné ne peut effectuer les activités propres à un organisme notifié que si aucune objection n’est émise par la Commission ou les autres États membres dans un délai de deux semaines à compter d’une notification dans laquelle il est fait usage d’un certificat d’accréditation, ou dans un délai de deux mois, s’il n’en est pas fait usage. Seul un tel organisme est considéré comme un organisme notifié aux fins du présent règlement. 6. La Commission et les autres États membres sont avertis de toute modification pertinente apportée ultérieurement à la notification.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 43.Tit 1
Procédure de notification
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 44
Article 44 Numéros d’identification et liste des organismes notifiés 1. La Commission attribue un numéro d’identification à chaque organisme notifié. Elle attribue un seul numéro, même si l’organisme est notifié au titre de plusieurs actes juridiques de l’Union. 2. La Commission rend publique la liste des organismes notifiés au titre du présent règlement et y mentionne les numéros d’identification qui leur ont été attribués et les activités pour lesquelles ils ont été notifiés. La Commission veille à ce que cette liste soit tenue à jour.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 44.Tit 1
Numéros d’identification et liste des organismes notifiés
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 45
Article 45 Modifications apportées à la notification 1. Lorsqu’une autorité notifiante a établi ou a été informée qu’un organisme notifié ne répond plus aux exigences prévues à l’article 39, ou qu’il ne s’acquitte pas de ses obligations, elle soumet la notification à des restrictions, la suspend ou la retire, selon le cas, en fonction de la gravité du non-respect de ces exigences ou du non-acquittement de ces obligations. Elle en informe immédiatement la Commission et les autres États membres. 2. En cas de restriction, de suspension ou de retrait d’une notification, ou lorsque l’organisme notifié a cessé ses activités, l’État membre notifiant prend les mesures qui s’imposent pour faire en sorte que les dossiers dudit organisme soient traités par un autre organisme notifié ou tenus à la disposition des autorités notifiantes et des autorités de surveillance du marché compétentes qui en font la demande.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 45.Tit 1
Modifications apportées à la notification
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 46
Article 46 Contestation de la compétence des organismes notifiés 1. La Commission enquête sur tous les cas dans lesquels elle nourrit des doutes ou est avertie de doutes quant à la compétence d’un organisme notifié pour remplir les exigences qui lui sont applicables et s’acquitter des responsabilités qui lui incombent, ou quant au fait qu’il continue à remplir ces exigences et à s’acquitter de ces responsabilités. 2. L’État membre notifiant communique à la Commission, sur demande, toutes les informations relatives au fondement de la notification ou au maintien de la compétence de l’organisme concerné. 3. La Commission s’assure que toutes les informations sensibles obtenues au cours de ses enquêtes soient traitées de manière confidentielle. 4. Lorsque la Commission établit qu’un organisme notifié ne répond pas ou ne répond plus aux exigences relatives à sa notification, elle en informe l’État membre notifiant et l’invite à prendre les mesures correctives qui s’imposent, y compris la dénotification si nécessaire.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 46.Tit 1
Contestation de la compétence des organismes notifiés
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 47
Article 47 Obligations opérationnelles des organismes notifiés 1. Les organismes notifiés réalisent les évaluations de la conformité dans le respect des procédures d’évaluation de la conformité prévues à l’article 32 et à l’annexe VIII. 2. Les évaluations de la conformité sont effectuées de manière proportionnée, en évitant d’imposer des charges inutiles aux opérateurs économiques. Les organismes d’évaluation de la conformité accomplissent leurs activités en tenant dûment compte de la taille des entreprises, en particulier en ce qui concerne les microentreprises et les petites et moyennes entreprises, du secteur dans lequel elles exercent leurs activités, de leur structure, de leur degré de complexité, du niveau du risque pour la cybersécurité des produits comportant des éléments numériques et de la technologie en question et de la nature en masse, ou série, du processus de production. 3. Les organismes notifiés respectent toutefois le degré de rigueur et le niveau de protection requis pour la conformité des produits comportant des éléments numériques avec le présent règlement. 4. Lorsqu’un organisme notifié constate que les exigences énoncées à l’annexe I ou dans les normes harmonisées correspondantes ou les spécifications communes telles que visées à l’article 27 n’ont pas été remplies par un fabricant, il invite celui-ci à prendre les mesures correctives appropriées et ne délivre pas de certificat de conformité. 5. Lorsque, au cours du contrôle de la conformité faisant suite à la délivrance d’un certificat de conformité, un organisme notifié constate qu’un produit comportant des éléments numériques ne respecte plus les exigences prévues par le présent règlement, il exige du fabricant qu’il prenne les mesures correctives appropriées et suspend ou retire le certificat si nécessaire. 6. Lorsque des mesures correctives ne sont pas prises ou n’ont pas l’effet requis, l’organisme notifié soumet le certificat à des restrictions, le suspend ou le retire, selon le cas.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 47.Tit 1
Obligations opérationnelles des organismes notifiés
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 48
Article 48 Recours contre les décisions des organismes notifiés Les États membres veillent à ce que les décisions des organismes notifiés soient susceptibles de recours.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 48.Tit 1
Recours contre les décisions des organismes notifiés
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 49
Article 49 Obligation des organismes notifiés en matière d’information 1. Les organismes notifiés communiquent à l’autorité notifiante les éléments suivants: a) tout refus, restriction, suspension ou retrait d’un certificat; b) toute circonstance ayant une incidence sur la portée et les conditions de la notification; c) toute demande d’information reçue des autorités de surveillance du marché concernant des activités d’évaluation de la conformité; d) sur demande, les activités d’évaluation de la conformité réalisées dans le cadre de leur notification et toute autre activité réalisée, y compris les activités transfrontières et sous-traitées. 2. Les organismes notifiés fournissent aux autres organismes notifiés au titre du présent règlement qui effectuent des activités similaires d’évaluation de la conformité couvrant les mêmes produits comportant des éléments numériques des informations pertinentes sur les questions relatives aux résultats négatifs de l’évaluation de la conformité et, sur demande, aux résultats positifs.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 49.Tit 1
Obligation des organismes notifiés en matière d’information
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 50
Article 50 Partage d’expérience La Commission veille à l’organisation du partage d’expérience entre les autorités nationales des États membres responsables de la politique de notification.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 50.Tit 1
Partage d’expérience
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 51
Article 51 Coordination des organismes notifiés 1. La Commission assure la mise en place et le bon fonctionnement d’une coordination et d’une coopération appropriées des organismes notifiés sous la forme d’un groupe transsectoriel d’organismes notifiés. 2. Les États membres veillent à ce que les organismes qu’ils ont notifiés participent aux travaux de ce groupe, directement ou par l’intermédiaire de représentants désignés.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 51.Tit 1
Coordination des organismes notifiés
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 52.Tit 1
Surveillance du marché et contrôle des produits comportant des éléments numériques sur le marché de l’Union
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 53
Article 53 Accès aux données et à la documentation Lorsque cela est nécessaire pour évaluer la conformité des produits comportant des éléments numériques et des processus mis en place par leurs fabricants aux exigences essentielles de cybersécurité énoncées à l’annexe I, les autorités de surveillance du marché, sur demande motivée, ont accès, dans une langue qu’elles comprennent facilement, aux données requises pour évaluer la conception, le développement, la production et le traitement des vulnérabilités de ces produits, y compris la documentation interne correspondante de l’opérateur économique concerné.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 53.Tit 1
Accès aux données et à la documentation
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 54.Tit 1
Procédure au niveau national concernant les produits comportant des éléments numériques qui présentent un risque de cybersécurité important
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 55
Article 55 Procédure de sauvegarde de l’Union 1. Lorsque, dans un délai de trois mois suivant la réception de la notification visée à l’article 54, paragraphe 5, un État membre soulève des objections à l’encontre d’une mesure prise par un autre État membre ou que la Commission considère que la mesure est contraire à la législation de l’Union, la Commission entame sans retard des consultations avec l’État membre et le ou les opérateurs économiques concernés et procède à l’évaluation de la mesure nationale. En fonction des résultats de cette évaluation, la Commission décide si la mesure nationale est justifiée ou non dans un délai de neuf mois suivant la notification visée à l’article 54, paragraphe 5, et communique cette décision à l’État membre concerné. 2. Si la mesure nationale est jugée justifiée, tous les États membres prennent les mesures nécessaires pour s’assurer du retrait du produit comportant des éléments numériques non conforme de leur marché et ils en informent la Commission. Si la mesure nationale n’est pas jugée justifiée, l’État membre concerné la retire. 3. Lorsque la mesure nationale est jugée justifiée et que la non-conformité du produit comportant des éléments numériques est imputée à des lacunes dans les normes harmonisées, la Commission applique la procédure prévue à l’article 11 du règlement (UE) n o 1025/2012. 4. Lorsque la mesure nationale est jugée justifiée et que la non-conformité du produit comportant des éléments numériques est imputée à des lacunes dans un schéma européen de certification de cybersécurité visé à l’article 27, la Commission examine s’il y a lieu de modifier ou d’abroger l’acte délégué adopté conformément à l’article 27, paragraphe 9, qui précise la présomption de conformité concernant ce schéma de certification. 5. Lorsque la mesure nationale est jugée justifiée et que la non-conformité du produit comportant des éléments numériques est imputée à des lacunes dans les spécifications communes visées à l’article 27, la Commission examine s’il y a lieu de modifier ou d’abroger tout acte d’exécution adopté en vertu de l’article 27, paragraphe 2, qui établit ces spécifications communes.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 55.Tit 1
Procédure de sauvegarde de l’Union
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 56.Tit 1
Procédure au niveau de l’Union concernant les produits comportant des éléments numériques qui présentent un risque de cybersécurité important
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 57.Tit 1
Produits conformes comportant des éléments numériques qui présentent un risque de cybersécurité important
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 58
Article 58 Non-conformité formelle 1. Lorsque l’autorité de surveillance du marché d’un État membre fait l’une des constatations ci-après, elle invite le fabricant concerné à mettre un terme à la non-conformité en question: a) le marquage CE a été apposé en violation de l’article 29 ou 30; b) le marquage CE n’a pas été apposé; c) la déclaration UE de conformité n’a pas été établie; d) la déclaration UE de conformité n’a pas été établie correctement; e) le numéro d’identification de l’organisme notifié, qui participe à la procédure d’évaluation de la conformité, le cas échéant, n’a pas été apposé; f) la documentation technique n’est pas disponible ou n’est pas complète. 2. Si la non-conformité visée au paragraphe 1 persiste, l’État membre concerné prend toutes les mesures appropriées pour restreindre ou interdire la mise à disposition du produit comportant des éléments numériques sur le marché ou pour faire en sorte que le produit soit rappelé ou retiré du marché.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 58.Tit 1
Non-conformité formelle
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 59
Article 59 Activités conjointes des autorités de surveillance du marché 1. Les autorités de surveillance du marché peuvent convenir avec d’autres autorités compétentes de mener des activités conjointes visant à garantir la cybersécurité et la protection des consommateurs en ce qui concerne des produits spécifiques comportant des éléments numériques mis sur le marché ou mis à disposition sur le marché, en particulier des produits comportant des éléments numériques dont il est souvent constaté qu’ils présentent des risques de cybersécurité. 2. La Commission ou l’ENISA proposent des activités conjointes de contrôle du respect du présent règlement à mener par les autorités de surveillance du marché sur la base d’indications ou d’informations relatives à une non-conformité potentielle, dans plusieurs États membres, de produits comportant des éléments numériques qui relèvent du champ d’application du présent règlement, aux exigences prévues par le présent règlement. 3. Les autorités de surveillance du marché et, le cas échéant, la Commission, veillent à ce que l’accord portant sur la réalisation d’activités conjointes n’engendre pas de concurrence déloyale entre les opérateurs économiques et n’influe pas négativement sur l’objectivité, l’indépendance et l’impartialité des parties à l’accord. 4. Une autorité de surveillance du marché peut utiliser toutes les informations obtenues à la suite des activités conjointes menées dans le cadre des enquêtes qu’elle entreprend. 5. L’autorité de surveillance du marché concernée et, le cas échéant, la Commission, mettent à la disposition du public l’accord sur les activités conjointes, y compris le nom des parties concernées.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 59.Tit 1
Activités conjointes des autorités de surveillance du marché
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 60
Article 60 Opérations «coup de balai» 1. Les autorités de surveillance du marché mènent des actions de contrôle coordonnées et simultanées (ci-après dénommées «opérations “coup de balai”») concernant certains produits ou catégories de produits comportant des éléments numériques afin de vérifier le respect du présent règlement ou de détecter des infractions à celui-ci. Ces opérations «coup de balai» peuvent comprendre des inspections des produits comportant des éléments numériques acquis sous une fausse identité. 2. Sauf accord contraire des autorités de surveillance du marché participantes, les opérations «coup de balai» sont coordonnées par la Commission. Le coordinateur de l’opération «coup de balai» met, s’il y a lieu, les résultats agrégés de l’opération à la disposition du public. 3. Lorsque, dans l’exécution de ses tâches, y compris sur la base des notifications reçues en vertu de l’article 14, paragraphes 1 et 3, l’ENISA identifie des catégories de produits comportant des éléments numériques pour lesquelles des opérations «coup de balai» peuvent être organisées, elle soumet une proposition d’opération «coup de balai» au coordinateur visé au paragraphe 2 du présent article pour examen par les autorités de surveillance du marché. 4. Lorsqu’elles mènent des opérations «coup de balai», les autorités de surveillance du marché participantes peuvent faire usage des pouvoirs d’enquête prévus aux articles 52 à 58, ainsi que des autres pouvoirs qui leur sont conférés par le droit national. 5. Les autorités de surveillance du marché peuvent inviter des fonctionnaires de la Commission et d’autres personnes les accompagnant habilitées par la Commission à participer aux opérations «coup de balai».
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 60.Tit 1
Opérations «coup de balai»
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 61
Article 61 Exercice de la délégation 1. Le pouvoir d’adopter des actes délégués conféré à la Commission est soumis aux conditions prévues au présent article. 2. Le pouvoir d’adopter des actes délégués visé à l’article 2, paragraphe 5, deuxième alinéa, à l’article 7, paragraphe 3, à l’article 8, paragraphes 1 et 2, à l’article 13, paragraphe 8, quatrième alinéa, à l’article 14, paragraphe 9, à l’article 25, à l’article 27, paragraphe 9, à l’article 28, paragraphe 5, et à l’article 31, paragraphe 5, est conféré à la Commission pour une période de cinq ans à compter du 10 décembre 2024. La Commission élabore un rapport relatif à la délégation de pouvoir au plus tard neuf mois avant la fin de la période de cinq ans. La délégation de pouvoir est tacitement prorogée pour des périodes d’une durée identique, sauf si le Parlement européen ou le Conseil s’oppose à cette prorogation trois mois au plus tard avant la fin de chaque période. 3. La délégation de pouvoir visée à l’article 2, paragraphe 5, deuxième alinéa, à l’article 7, paragraphe 3, à l’article 8, paragraphes 1 et 2, à l’article 13, paragraphe 8, quatrième alinéa, à l’article 14, paragraphe 9, à l’article 25, à l’article 27, paragraphe 9, à l’article 28, paragraphe 5, et à l’article 31, paragraphe 5, peut être révoquée à tout moment par le Parlement européen ou le Conseil. La décision de révocation met fin à la délégation de pouvoir qui y est précisée. La révocation prend effet le jour suivant celui de la publication de ladite décision au Journal officiel de l’Union européenne ou à une date ultérieure qui est précisée dans ladite décision. Elle ne porte pas atteinte à la validité des actes délégués déjà en vigueur. 4. Avant l’adoption d’un acte délégué, la Commission consulte les experts désignés par chaque État membre, conformément aux principes définis dans l’accord interinstitutionnel du 13 avril 2016«Mieux légiférer». 5. Aussitôt qu’elle adopte un acte délégué, la Commission le notifie simultanément au Parlement européen et au Conseil. 6. Un acte délégué adopté en vertu de l’article 2, paragraphe 5, deuxième alinéa, de l’article 7, paragraphe 3, de l’article 8, paragraphe 1 ou 2, de l’article 13, paragraphe 8, quatrième alinéa, de l’article 14, paragraphe 9, de l’article 25, de l’article 27, paragraphe 9, de l’article 28, paragraphe 5, ou de l’article 31, paragraphe 5, n’entre en vigueur que si le Parlement européen ou le Conseil n’a pas exprimé d’objections dans un délai de deux mois à compter de la notification de cet acte au Parlement européen et au Conseil, ou si, avant l’expiration de ce délai, le Parlement européen et le Conseil ont tous deux informé la Commission de leur intention de ne pas exprimer d’objections. Ce délai est prolongé de deux mois à l’initiative du Parlement européen ou du Conseil.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 61.Tit 1
Exercice de la délégation
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 62
Article 62 Comité 1. La Commission est assistée par un comité. Ledit comité est un comité au sens du règlement (UE) n o 182/2011. 2. Lorsqu’il est fait référence au présent paragraphe, l’article 5 du règlement (UE) n o 182/2011 s’applique. 3. Lorsque l’avis du comité doit être obtenu par procédure écrite, ladite procédure est close sans résultat lorsque, dans le délai pour émettre un avis, le président du comité le décide ou un membre du comité le demande.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 62.Tit 1
Comité
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 63
Article 63 Confidentialité 1. Toutes les parties intervenant dans l’application du présent règlement respectent la confidentialité des informations et des données obtenues dans l’exécution de leurs tâches et activités de manière à protéger, en particulier: a) les droits de propriété intellectuelle et les informations confidentielles de nature commerciale ou les secrets d’affaires des personnes physiques ou morales, y compris le code source, à l’exception des cas visés à l’article 5 de la directive (UE) 2016/943 du Parlement européen et du Conseil ( 37 ) ; b) l’application effective du présent règlement, notamment en ce qui concerne les inspections, les investigations ou les audits; c) les intérêts en matière de sécurité nationale et publique; d) l’intégrité des procédures pénales ou administratives. 2. Sans préjudice du paragraphe 1, les informations échangées à titre confidentiel entre les autorités de surveillance du marché et entre celles-ci, d’une part, et la Commission, d’autre part, ne sont pas divulguées sans l’accord préalable de l’autorité de surveillance du marché dont elles émanent. 3. Les paragraphes 1 et 2 sont sans effet sur les droits et obligations de la Commission, des États membres et des organismes notifiés en matière d’échange d’informations et de diffusion de mises en garde et sur les obligations d’information incombant aux personnes concernées en vertu du droit pénal des États membres. 4. La Commission et les États membres peuvent échanger, si nécessaire, des informations sensibles avec les autorités compétentes de pays tiers avec lesquels ils ont conclu des accords bilatéraux ou multilatéraux en matière de confidentialité garantissant un niveau de protection approprié.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 63.Tit 1
Confidentialité
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 64.Tit 1
Sanctions
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 65
Article 65 Actions représentatives La directive (UE) 2020/1828 est applicable aux actions représentatives intentées en raison des infractions commises par des opérateurs économiques aux dispositions du présent règlement qui portent atteinte ou risquent de porter atteinte aux intérêts collectifs des consommateurs.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 65.Tit 1
Actions représentatives
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 66
Article 66 Modification du règlement (UE) 2019/1020 À l’annexe I du règlement (UE) 2019/1020, le point suivant est ajouté: «72. Règlement (UE) 2024/2847 du Parlement européen et du Conseil ( *1 ) .
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 66.Tit 1
Modification du règlement (UE) 2019/1020
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 67
Article 67 Modification de la directive (UE) 2020/1828 À l’annexe I de la directive (UE) 2020/1828, le point suivant est ajouté: «69) Règlement (UE) 2024/2847 du Parlement européen et du Conseil ( *2 ) .
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 67.Tit 1
Modification de la directive (UE) 2020/1828
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 68
Article 68 Modification du règlement (UE) n o 168/2013 Dans la partie C1, dans le tableau, de l’annexe II du règlement (UE) n o 168/2013 du Parlement européen et du Conseil ( 38 ) , l’entrée suivante est ajoutée: « 16 18 Protection du véhicule contre les cyberattaques x x x x x x x x x x x x x x »
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 68.Tit 1
Modification du règlement (UE) n o 168/2013
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 69
Article 69 Dispositions transitoires 1. Les attestations d’examen UE de type et les décisions d’approbation délivrées en ce qui concerne les exigences de cybersécurité applicables aux produits comportant des éléments numériques qui sont soumis à d’autres législations d’harmonisation de l’Union restent valables jusqu’au 11 juin 2028, à moins qu’elles n’expirent avant cette date, ou sauf disposition contraire dans toute autre législation d’harmonisation de l’Union, auquel cas elles restent valables conformément à cette législation. 2. Les produits comportant des éléments numériques qui ont été mis sur le marché avant le 11 décembre 2027 ne sont soumis aux exigences énoncées dans le présent règlement que si, à compter de cette date, ces produits font l’objet d’une modification substantielle. 3. Par dérogation au paragraphe 2 du présent article, les obligations prévues à l’article 14 s’appliquent à tous les produits comportant des éléments numériques relevant du champ d’application du présent règlement qui ont été mis sur le marché le 11 décembre 2027.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 69.Tit 1
Dispositions transitoires
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 70
Article 70 Évaluation et réexamen 1. Au plus tard le 11 décembre 2030 et tous les quatre ans par la suite, la Commission présente un rapport sur l’évaluation et le réexamen du présent règlement au Parlement européen et au Conseil. Ces rapports sont rendus publics. 2. Au plus tard le 11 septembre 2028, la Commission, après consultation de l’ENISA et du réseau des CSIRT, présente au Parlement européen et au Conseil un rapport pour évaluer l’efficacité de la plateforme unique de signalement prévue à l’article 16, ainsi que les répercussions de l’application des motifs liés à la cybersécurité visés à l’article 16, paragraphe 2, par les CSIRT désignés comme coordinateurs sur l’efficacité de la plateforme unique de signalement en ce qui concerne la diffusion en temps utile des notifications reçues à d’autres CSIRT concernés.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 70.Tit 1
Évaluation et réexamen
Cyber Resilience Act — Règlement (UE) 2024/2847 > Article 71
Article 71 Entrée en vigueur et application 1. Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne . 2. Le présent règlement est applicable à partir du 11 décembre 2027. Toutefois, l’article 14 est applicable à partir du 11 septembre 2026 et le chapitre IV (articles 35 à 51) à partir du 11 juin 2026.
Cyber Resilience Act — Règlement (UE) 2024/2847 > Art 71.Tit 1
Entrée en vigueur et application