COMMISSION EUROPÉENNE Bruxelles, le 15.9.2022 COM(2022) 454 final 2022/0272(COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL concernant des exigences horizontales en matière de cybersécurité pour les produits comportant des éléments numériques et modifiant le règlement (UE) 2019/1020 (Texte présentant de l’intérêt pour l’EEE) {SEC(2022) 321 final} - {SWD(2022) 282 final} - {SWD(2022) 283 final}



EXPOSÉ DES MOTIFS 1.CONTEXTE DE LA PROPOSITION •Justification et objectifs de la proposition Les produits matériels et logiciels font de plus en plus l’objet de cyberattaques qui atteignent leur but, ce qui s’est traduit, en 2021, par un coût annuel mondial de la cybercriminalité estimé à 5 500 milliards d’EUR. Ces produits présentent deux problèmes majeurs qui représentent des coûts supplémentaires pour les utilisateurs et la société: 1) le niveau de cybersécurité des produits comportant des éléments numériques est faible, comme en témoignent les vulnérabilités généralisées et le manque de mises à jour de sécurité déployées de manière cohérente pour y remédier, et 2) les utilisateurs n'ont pas suffisamment accès aux informations et ne les comprennent pas bien, ce qui les empêche de choisir des produits dotés de propriétés de cybersécurité adéquates ou de les utiliser de manière sécurisée. Dans un environnement connecté, le moindre incident de cybersécurité dans un produit peut affecter toute une organisation ou toute une chaîne d’approvisionnement, en se propageant souvent au-delà des frontières du marché intérieur en quelques minutes à peine. Cela peut occasionner de graves perturbations des activités économiques et sociales, voire mettre des vies en danger. La cybersécurité des produits comportant des éléments numériques revêt une forte dimension transfrontière, étant donné que les produits fabriqués dans un pays sont souvent utilisés dans l’ensemble du marché intérieur. En outre, les incidents affectant initialement une seule entité ou un seul État membre se propagent souvent en quelques minutes à l’ensemble du marché intérieur. Si la législation en vigueur dans le marché intérieur s’applique à certains produits comportant des éléments numériques, la cybersécurité de la plupart des produits matériels et logiciels n’est actuellement couverte par aucune législation de l’Union. Plus particulièrement, le cadre juridique actuel de l’UE ne traite pas de la cybersécurité des logiciels non intégrés, même si les attaques de cybersécurité ciblent de plus en plus les vulnérabilités de ces produits, ce qui entraîne des coûts sociétaux et économiques importants. Il existe de nombreux exemples de cyberattaques notables résultant d’une sécurité de produit perfectible, tels que le ver rançongiciel WannaCry, qui exploitait une vulnérabilité de Windows et qui, en 2017, a touché 200 000 ordinateurs dans 150 pays et causé des dommages s’élevant à plusieurs milliards de dollars américains; l’attaque de la chaîne d’approvisionnement Kaseya VSA, qui a ciblé plus de 1 000 entreprises via le logiciel d’administration de réseau de Kaseya et a forcé une chaîne de supermarchés suédoise à fermer l’ensemble de ses 500 magasins dans le pays; ou les nombreux incidents dans lesquels des applications bancaires sont piratées pour voler de l’argent à des consommateurs qui ne se doutent de rien. Deux objectifs principaux ont été recensés en vue de garantir le bon fonctionnement du marché intérieur: 1) créer les conditions nécessaires au développement de produits comportant des éléments numériques sécurisés, en veillant à ce que les produits matériels et logiciels mis sur le marché présentent moins de vulnérabilités et à ce que les fabricants prennent la sécurité au sérieux tout au long du cycle de vie d’un produit; et 2) créer des conditions permettant aux utilisateurs de prendre en considération la cybersécurité lorsqu’ils sélectionnent et utilisent des produits comportant des éléments numériques. Quatre objectifs spécifiques ont été définis: i) faire en sorte que les fabricants améliorent la sécurité des produits comportant des éléments numériques dès la phase de conception et de développement et tout au long du cycle de vie; ii) assurer un cadre cohérent en matière de cybersécurité, en facilitant la mise en conformité pour les producteurs de matériel et de logiciels; iii) améliorer la transparence des propriétés de sécurité des produits comportant des éléments numériques; et iv) permettre aux entreprises et aux consommateurs d’utiliser les produits comportant des éléments numériques en toute sécurité. La nature fortement transfrontière de la cybersécurité et le nombre croissant d’incidents ayant des répercussions transfrontières, intersectorielles et sur d’autres produits signifient que les objectifs ne peuvent pas être atteints efficacement par les seuls États membres. Compte tenu du caractère mondial des marchés de produits comportant des éléments numériques, les États membres sont confrontés, sur leur territoire, aux mêmes risques pour un même produit. L’apparition d’un cadre fragmenté de règles nationales potentiellement divergentes risque d’entraver la création d’un marché unique ouvert et concurrentiel pour les produits comportant des éléments numériques. Une action commune au niveau de l’UE est donc nécessaire pour accroître le niveau de confiance parmi les utilisateurs et renforcer l’attractivité des produits européens comportant des éléments numériques. Cela profiterait également au marché intérieur en créant une sécurité juridique et en instaurant des conditions de concurrence équitables pour les fournisseurs de produits comportant des éléments numériques, comme le souligne également le rapport final de la conférence sur l’avenir de l’Europe, dans lequel les citoyens appellent à un renforcement du rôle de l’UE dans la lutte contre les menaces en matière de cybersécurité. •Interaction avec les dispositions existantes dans le domaine d’action Le cadre de l’UE comprend plusieurs actes législatifs horizontaux qui couvrent certains aspects liés à la cybersécurité sous différents angles (produits, services, gestion des crises et criminalité). La directive relative aux attaques contre les systèmes d’information, qui visait à harmoniser la criminalisation et les sanctions applicables à un certain nombre d’infractions dirigées contre les systèmes d’information, est entrée en vigueur en 2013. En août 2016, la directive (UE) 2016/1148 relative à la sécurité des réseaux et des systèmes d’information (directive SRI) est entrée en vigueur. Il s’agissait du premier acte législatif adopté à l’échelle de l’Union européenne dans le domaine de la cybersécurité. Sa révision, qui a abouti à la directive [directive XXX/XXXX (SRI 2)], relève le niveau commun d’ambition de l’UE. Le règlement de l’Union sur la cybersécurité, entré en vigueur en 2019, vise à renforcer la sécurité des produits, services et processus TIC en introduisant un cadre européen volontaire de certification en matière de cybersécurité. La cybersécurité de l’ensemble de la chaîne d’approvisionnement n’est assurée que si tous ses éléments sont protégés contre les cybermenaces. La législation de l’UE susmentionnée présente toutefois des lacunes importantes à cet égard, car elle ne prévoit pas d’exigences contraignantes en matière de sécurité des produits comportant des éléments numériques. Si la proposition de législation sur la cyberrésilience couvre les produits comportant des éléments numériques mis sur le marché, la directive [directive XXX/XXX (SRI 2)] vise à assurer un niveau élevé de cybersécurité des services fournis par des entités essentielles et importantes. La directive [directive XXX/XXXX (SRI 2)] exige des États membres qu’ils veillent à ce que les entités essentielles et importantes relevant du champ d’application, telles que les prestataires de soins de santé ou de services en nuage et les entités de l’administration publique, prennent des mesures de cybersécurité techniques, opérationnelles et organisationnelles appropriées et proportionnées. Parmi celles-ci figure notamment une exigence visant à assurer la sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information, y compris le traitement et la divulgation des vulnérabilités. La directive [directive XXX/XXXX (SRI 2)] impose à la Commission d’adopter des actes d’exécution établissant les exigences techniques et méthodologiques de ces mesures dans un délai de 21 mois à compter de la date d’entrée en vigueur de cette directive pour certains types d’entités, telles que les fournisseurs de services d’informatique en nuage. Pour toutes les autres entités, la Commission peut adopter un acte d’exécution établissant les exigences techniques et méthodologiques ainsi que les exigences sectorielles. Ce cadre garantira que des spécifications techniques et des mesures similaires aux exigences essentielles de cybersécurité de la législation sur la cyberrésilience sont également mises en œuvre pour la conception, le développement et le traitement des vulnérabilités des logiciels fournis en tant que service (Software-as-a-Service). Par exemple, cela pourrait être un moyen d’assurer un niveau élevé de cybersécurité dans des cas tels que celui des systèmes médicaux électroniques (DME), y compris lorsque ceux-ci sont fournis sous la forme de logiciel en tant que service (SaaS) ou développés au sein des établissements de santé (en interne), conformément à la proposition de [règlement sur l’Espace européen des données de santé]. •Interaction avec les autres politiques de l’Union Comme indiqué dans la communication intitulée «Façonner l’avenir numérique de l’Europe», il est essentiel que l’UE exploite pleinement les avantages de l’ère numérique et renforce sa capacité industrielle et d’innovation dans les limites imposées par la sécurité et les valeurs éthiques. La stratégie européenne pour les données définit quatre piliers – la protection des données, les droits fondamentaux, la sûreté et la cybersécurité – comme des conditions préalables essentielles pour une société à laquelle les données confèrent les moyens dont elle a besoin. Le cadre actuel de l’UE applicable aux produits susceptibles de comporter des éléments numériques comprend plusieurs actes législatifs, tels que la législation de l’Union sur des produits spécifiques concernant les aspects liés à la sécurité et la législation générale sur la responsabilité des produits. La proposition est cohérente avec le cadre réglementaire actuel de l’UE relatif aux produits, ainsi qu’avec des propositions législatives récentes telles que la proposition de règlement de la Commission [règlement sur l’intelligence artificielle (IA)]. Le règlement proposé s’appliquerait à tous les équipements radioélectriques relevant du champ d’application du règlement délégué (UE) 2022/30 de la Commission. En outre, les exigences établies par le présent règlement comprennent tous les éléments des exigences essentielles visées à l’article 3, paragraphe 3, points d), e) et f), de la directive 2014/53/UE, y compris les principaux éléments énoncés dans la [décision d’exécution XXX/2022 de la Commission relative à une demande de normalisation adressée aux organisations européennes de normalisation] émise sur la base dudit règlement délégué. Afin d’éviter un chevauchement des réglementations, il est envisagé que la Commission abroge ou modifie le règlement délégué relatif aux équipements radioélectriques couverts par la proposition de règlement, de sorte que ce dernier soit applicable à ces équipements, une fois en vigueur. En outre, afin d’éviter une duplication des travaux, il est envisagé que la Commission et les organisations européennes de normalisation tiennent compte des travaux de normalisation menés dans le contexte de la décision d’exécution C(2022)5637 de la Commission relative à une demande de normalisation du règlement délégué RED [règlement (UE) 2022/30] lors de la préparation et de l’élaboration de normes harmonisées visant à faciliter la mise en œuvre du règlement. 2.BASE JURIDIQUE, SUBSIDIARITÉ ET PROPORTIONNALITÉ •Base juridique

La base juridique de la présente proposition est l’article 114 du traité sur le fonctionnement de l’Union européenne (TFUE), qui prévoit l’adoption de mesures destinées à assurer l’établissement et le fonctionnement du marché intérieur. L’objectif de la proposition est d’harmoniser les exigences en matière de cybersécurité pour les produits comportant des éléments numériques dans tous les États membres et d’éliminer les obstacles à la libre circulation des biens. L’article 114 du TFUE peut être utilisé comme base juridique pour prévenir l’apparition des obstacles résultant de divergences entre les législations et approches nationales quant à la manière de remédier aux incertitudes et lacunes juridiques dans les cadres juridiques existants. En outre, la Cour de justice a reconnu que la mise en œuvre d’exigences techniques hétérogènes pouvait constituer un motif valable pour déclencher l’application de l’article 114 du TFUE. Le cadre législatif actuel de l’Union applicable aux produits comportant des éléments numériques est fondé sur l’article 114 du TFUE et comprend plusieurs actes législatifs, portant notamment sur des produits spécifiques et des aspects liés à la sécurité ou une législation générale sur la responsabilité du fait des produits. Cependant, elle ne couvre que certains aspects relatifs à la cybersécurité des produits numériques matériels et, le cas échéant, des logiciels intégrés dans ces produits. Au niveau national, les États membres commencent à prendre des mesures exigeant des fournisseurs de produits numériques qu’ils renforcent leur cybersécurité. Dans le même temps, la cybersécurité des produits numériques revêt une dimension transfrontière particulièrement importante, étant donné que les produits fabriqués dans un pays sont souvent utilisés par des organisations et consommateurs dans l’ensemble du marché intérieur. Les incidents qui concernent initialement une seule entité ou un seul État membre se propagent souvent en quelques minutes entre organisations, secteurs et États membres. Les divers actes et initiatives adoptés à ce jour aux niveaux européen et national ne traitent qu’en partie les problèmes recensés et risquent de créer une mosaïque législative dans le marché intérieur, ce qui aurait pour effet d’accroître l’insécurité juridique tant pour les fournisseurs que pour les utilisateurs de ces produits et d’alourdir inutilement la charge imposée aux entreprises pour se conformer à un certain nombre d’exigences pour des types de produits similaires. Le règlement proposé harmoniserait et rationaliserait le paysage réglementaire de l’UE en introduisant des exigences en matière de cybersécurité pour les produits comportant des éléments numériques et éviterait le chevauchement d’exigences découlant de différents actes législatifs. Cela créerait une plus grande sécurité juridique pour les opérateurs et les utilisateurs dans l’ensemble de l’Union, ainsi qu’une meilleure harmonisation du marché unique européen, en créant des conditions plus viables pour les opérateurs désireux de pénétrer sur le marché de l’Union. •Subsidiarité (en cas de compétence non exclusive) La nature fortement transfrontière de la cybersécurité en général et le nombre croissant de risques et d’incidents ayant des répercussions transfrontières, intersectorielles et sur d’autres produits signifient que les objectifs de la présente intervention ne peuvent pas être atteints efficacement par les seuls États membres. Les approches nationales pour faire face aux problèmes, et en particulier les approches introduisant des exigences contraignantes, sont de nature à créer une insécurité juridique et des obstacles juridiques supplémentaires. Les entreprises risqueraient de ne pas pouvoir étendre leurs activités de manière fluide à d’autres États membres, privant les utilisateurs du bénéfice de leurs produits. Une action commune au niveau de l’UE est donc nécessaire pour établir un niveau élevé de confiance parmi les utilisateurs, en augmentant l’attractivité des produits de l’UE comportant des éléments numériques. Elle profiterait également au marché unique numérique et au marché intérieur en général en assurant la sécurité juridique et en créant des conditions de concurrence équitables pour les fabricants de produits comportant des éléments numériques. Enfin, les conclusions du Conseil du 23 mai 2022 sur la mise en place d’une posture cyber de l’Union européenne invitent la Commission à proposer, d’ici à la fin 2022, des exigences communes en matière de cybersécurité pour les dispositifs connectés. •Proportionnalité S’agissant de la proportionnalité de la proposition de règlement, les mesures prévues dans les options envisagées n’excéderaient pas ce qui est nécessaire pour atteindre les objectifs généraux et spécifiques et n’entraîneraient pas de coûts disproportionnés. Plus précisément, l’intervention envisagée garantirait que les produits comportant des éléments numériques soient sécurisés tout au long de leur cycle de vie et proportionnellement aux risques encourus grâce à des exigences axées sur les objectifs et technologiquement neutres qui restent raisonnables et correspondent généralement à l’intérêt des entités concernées. Les exigences essentielles de la proposition en matière de cybersécurité s’appuient sur des normes largement utilisées, et le processus de normalisation qui suivra tiendra compte des spécificités techniques des produits. Cela signifie que les contrôles de sécurité seraient adaptés lorsque cela se révélerait nécessaire pour un niveau de risque donné. En outre, les règles horizontales envisagées ne prévoiraient une évaluation par un tiers que pour les produits critiques. Celle-ci ne concernerait donc qu’une part restreinte du marché des produits comportant des éléments numériques. L’incidence sur les PME dépendrait de leur présence sur le marché de ces catégories de produits spécifiques. S’agissant de la proportionnalité des coûts pour l’évaluation de la conformité, les organismes notifiés chargés des évaluations par des tiers tiendraient compte de la taille de l’entreprise lors de la fixation de leurs redevances. Une période de transition raisonnable de 24 mois serait également prévue pour préparer la mise en œuvre, de manière à donner le temps aux marchés concernés de se préparer, tout en fournissant une orientation claire pour les investissements en R&D. Tous les coûts de conformité pour les entreprises seraient compensés par les avantages apportés par un niveau plus élevé de sécurité des produits comportant des éléments numériques et, en fin de compte, par une confiance plus grande des utilisateurs dans ces produits. •Choix de l’instrument Une intervention réglementaire supposerait l’adoption d’un règlement et non d’une directive. En effet, pour ce type particulier de législation sur les produits, un règlement permettrait de gérer les problèmes recensés et d’atteindre les objectifs formulés plus efficacement, étant donné qu’il s’agit d’une intervention qui conditionne la mise sur le marché intérieur d’une très large catégorie de produits. Dans le cas d’une directive, le processus de transposition pourrait laisser trop de marge de manœuvre au niveau national, ce qui pourrait conduire à un manque d’uniformité de certaines exigences essentielles en matière de cybersécurité, à une insécurité juridique, à une fragmentation accrue ou même à des situations transfrontières discriminatoires, d’autant plus que les produits couverts pourraient avoir de multiples finalités ou usages et que les fabricants peuvent produire de multiples catégories de tels produits. 3.RÉSULTATS DES ÉVALUATIONS EX POST, DES CONSULTATIONS DES PARTIES INTÉRESSÉES ET DES ANALYSES D’IMPACT •Consultation des parties intéressées La Commission a consulté un large éventail de parties intéressées. Les États membres et les parties intéressées ont été invités à participer à la consultation publique ouverte et aux enquêtes et ateliers organisés dans le cadre d’une étude menée par un consortium formé du cabinet Wavestone, du Centre for European Policy Studies (CEPS) et de l’organisme de recherche politique ICF qui a appuyé les travaux préparatoires de la Commission en vue de l’analyse d’impact. Les parties intéressées consultées incluaient les autorités nationales de surveillance du marché, les organismes de l’Union chargés de la cybersécurité, les fabricants de matériel et de logiciels, les importateurs et distributeurs de matériel et de logiciels, les associations professionnelles, les organisations de consommateurs et les utilisateurs de produits comportant des éléments numériques, des citoyens, chercheurs et universitaires, les organismes notifiés et les organismes d’accréditation, ainsi que les professionnels du secteur de la cybersécurité. La consultation comprenait les activités suivantes: ·une première étude réalisée par un consortium composé d’ICF, Wavestone, Carsa et le CEPS, qui a été publiée en décembre 2021. Cette étude a mis au jour plusieurs défaillances du marché et évalué les interventions réglementaires possibles;

·une consultation publique ouverte ciblant les citoyens, les parties prenantes et les experts en cybersécurité. 176 réponses ont été reçues. Celles-ci ont contribué à la collecte d’avis et d’expériences diverses auprès de tous les groupes d’intervenants; ·des ateliers organisés dans le cadre de l’étude visant à étayer les travaux préparatoires de la Commission en vue de l’adoption d’une législation sur la cyberrésilience, qui ont rassemblé une centaine de représentants de diverses parties prenantes venus des 27 États membres de l’Union; ·des entretiens d’experts menés afin de mieux comprendre les défis actuels en matière de cybersécurité liés aux produits comportant des éléments numériques et de discuter des options stratégiques pour une éventuelle intervention réglementaire; ·des discussions bilatérales avec les autorités nationales chargées de la cybersécurité, le secteur privé et les organisations de consommateurs; ·des activités de sensibilisation ciblées menées auprès des principales parties prenantes des PME. •Obtention et utilisation d’expertise Les activités de consultation visaient à recueillir des contributions sur les cinq principaux critères d’évaluation fondés sur les lignes directrices de l’UE pour une meilleure réglementation (efficacité, efficience, pertinence, cohérence, valeur ajoutée de l’UE) ainsi que sur les incidences potentielles des options possibles pour l’avenir. Le contractant a non seulement contacté les parties prenantes directement concernées par la proposition de règlement, mais a également consulté un large éventail d’experts dans le domaine de la cybersécurité. •Analyse d’impact La Commission a réalisé une analyse d’impact pour la présente proposition, qui a été examinée par le comité d’examen de la réglementation de la Commission. Une réunion avec le comité a eu lieu le 6 juillet 2022 et a été suivie d’un avis positif. L’analyse d’impact a été ajustée afin de tenir compte des recommandations et observations du comité. La Commission a examiné différentes options stratégiques pour atteindre les objectifs généraux de la proposition. ·Approche non contraignante et mesures volontaires (option nº 1): cette option ne suit pas la voie d’une intervention réglementaire contraignante. Au lieu de cela, la Commission publierait des communications, des orientations, des recommandations et éventuellement des codes de conduite pour encourager les mesures volontaires. Des régimes nationaux, volontaires ou contraignants, continueraient à être développés pour pallier l’absence de règles horizontales de l’UE. ·Intervention réglementaire ad-hoc pour la cybersécurité des produits matériels comportant des éléments numériques et de leurs logiciels intégrés (option nº 2): cette option supposerait une intervention réglementaire ad hoc spécifique au produit qui se limiterait à l’ajout et/ou à la modification des exigences en matière de cybersécurité dans la législation existante ou à l’introduction d’une nouvelle législation à mesure que de nouveaux risques apparaissent, y compris potentiellement pour les logiciels non intégrés. Les options nºs 3 et 4 supposent une intervention réglementaire horizontale de portée variable, suivant en grande partie le nouveau cadre législatif (NCL). Ce cadre fixe des exigences essentielles comme condition à la mise de certains produits sur le marché intérieur. En plus, le NCL prévoit généralement une évaluation de la conformité, processus mené par le fabricant pour démontrer que les exigences spécifiées relatives à un produit ont été satisfaites. ·Approche mixte, comprenant des règles horizontales contraignantes pour la cybersécurité des produits matériels comportant des éléments numériques et leurs logiciels intégrés et une approche graduelle pour les logiciels non intégrés (option nº 3): cette option reposerait sur un règlement introduisant des exigences horizontales de cybersécurité pour tous les produits matériels comportant des éléments numériques et les logiciels qui y sont intégrés, comme condition de mise sur le marché, et comprendrait deux sous-options avec et sans évaluation obligatoire par un tiers (3i et 3ii). Les logiciels non intégrés ne seraient pas réglementés. ·Une intervention réglementaire horizontale instaurant des exigences en matière de cybersécurité pour une vaste gamme de produits matériels et immatériels comportant des éléments numériques, y compris les logiciels non intégrés (option nº 4): cette option est semblable à l’option nº 3, hormis son champ d’application. En effet, dans le cadre de l’option nº4, le champ d’application de l’éventuel règlement s’étendrait aux logiciels non intégrés [avec deux sous-options englobant, respectivement, uniquement les logiciels critiques (4a) ou tous les logiciels (4b)]. Pour chaque sous-option, des alternatives identiques à celles de l’option nº 3 seraient envisagées concernant l’évaluation de la conformité. L’option nº 4 (avec des sous-options couvrant tous les logiciels et requérant une évaluation de la conformité par un tiers pour les produits critiques) est apparue comme la voie à privilégier, à la lumière de l’évaluation de l’efficacité par rapport aux objectifs spécifiques recherchés et de l’efficacité coûts-bénéfices. Cette option garantirait la définition d’exigences horizontales spécifiques en matière de cybersécurité pour tous les produits comportant des éléments numériques mis à disposition ou mis sur le marché intérieur. Elle serait en outre la seule à couvrir l’ensemble de la chaîne d’approvisionnement numérique. Les logiciels non intégrés, souvent exposés à des vulnérabilités, seraient également concernés par une telle intervention réglementaire, ce qui garantirait une approche cohérente à l’égard de tous les produits comportant des éléments numériques, avec une répartition claire des responsabilités entre les différents opérateurs économiques. Cette option apporte en outre une valeur ajoutée, car elle couvre les aspects du devoir de diligence et du cycle de vie complet après la mise sur le marché des produits comportant des éléments numériques. Il devient ainsi possible de garantir, entre autres, des informations appropriées sur l’assistance en matière de sécurité et la fourniture de mises à jour de sécurité. Cette option viendrait également compléter plus efficacement la récente révision du cadre SRI, en mettant en place les conditions préalables à un renforcement de la sécurité de la chaîne d’approvisionnement. L’option privilégiée présenterait des avantages significatifs pour les différentes parties prenantes. Du point de vue des entreprises, elle éviterait l’application de règles de sécurité divergentes aux produits comportant des éléments numériques et réduirait les coûts de conformité à la législation en matière de cybersécurité. Elle ferait diminuer le nombre de cyberincidents, les coûts liés à la gestion de ces incidents et les atteintes à la réputation des entreprises. Pour l’ensemble de l’UE, on estime qu’elle se traduirait par une réduction de quelque 180 à 290 milliards d’EUR par an des coûts liés aux incidents affectant les entreprises. Cette option entraînerait une hausse du chiffre d’affaires des entreprises, résultant de l’augmentation de la demande en produits comportant des éléments numériques. Elle améliorerait la réputation mondiale des entreprises, avec, à la clé, un accroissement de la demande en dehors de l’UE. Du point de vue des utilisateurs, l’option privilégiée améliorerait la transparence des propriétés de sécurité des produits et faciliterait l’utilisation de produits comportant des éléments numériques. Les consommateurs et les citoyens bénéficieraient également d’une meilleure protection de leurs droits fondamentaux, tels que la vie privée et la protection des données. Interrogés sur l’efficacité des interventions envisagées, les répondants à la consultation publique se sont accordés à dire que l’option nº 4 serait la plus efficace (4,08 sur une échelle de 1 à 5). Parmi ces répondants figuraient des organisations de consommateurs (5,00), des personnes se présentant comme utilisateurs (4,22), des organismes notifiés (4,17), des autorités de surveillance du marché (5,00) et des fabricants de produits comportant des éléments numériques (3,85), dont des PME (4,05). •Réglementation affûtée et simplification

Cette proposition établit des exigences qui s’appliqueront aux fabricants de logiciels et de matériel. Il est nécessaire de garantir la sécurité juridique et d’éviter une nouvelle fragmentation, sur le marché intérieur, des exigences en matière de cybersécurité. Cette nécessité a été démontrée par le large soutien des diverses parties prenantes en faveur d’une intervention horizontale. La proposition réduira au minimum la charge réglementaire imposée aux fabricants par la multiplication des actes législatifs relatifs à la sécurité des produits. L’alignement sur le NCL sera synonyme d’un meilleur fonctionnement de l’intervention et de son application. La proposition simplifie le processus des procédures de sauvegarde en y associant les fabricants et les États membres avant la notification à la Commission. Une grande partie des fabricants visés par la proposition connaissent déjà le fonctionnement du NCL, ce qui facilitera sa compréhension et sa mise en œuvre. Du point de vue des consommateurs et des entreprises, la proposition renforcera la confiance dans les produits comportant des éléments numériques. •Droits fondamentaux Toutes les options politiques envisagées devraient renforcer dans une certaine mesure la protection des libertés et droits fondamentaux tels que la vie privée, la protection des données à caractère personnel, la liberté d’entreprise et la protection des biens ou de la dignité et de l’intégrité des personnes. En particulier, l’option nº 4 privilégiée, qui consisterait en des interventions réglementaires horizontales ayant une vaste portée politique, serait la plus efficace à cet égard, car elle serait mieux à même de réduire le nombre et la gravité des incidents, y compris les violations de données à caractère personnel. Elle renforcerait également la sécurité juridique et créerait des conditions de concurrence équitables pour les opérateurs économiques, et elle renforcerait la confiance des utilisateurs et l’attractivité des produits de l’UE comportant des éléments numériques dans leur ensemble, protégeant ainsi la propriété et améliorant les conditions d’activité des opérateurs économiques. Les exigences horizontales en matière de cybersécurité contribueraient à la sécurité des données à caractère personnel en protégeant la confidentialité, l’intégrité et la disponibilité des informations contenues dans les produits comportant des éléments numériques. Le respect de ces exigences facilitera le respect de l’exigence de sécurité du traitement des données à caractère personnel en vertu du règlement (UE) 2016/679 relatif à la protection des données (RGPD). La proposition améliorerait la transparence et l’information des utilisateurs, y compris ceux dont les compétences en cybersécurité pourraient être moindres. Les utilisateurs seraient également mieux informés des risques, des capacités et des limites des produits comportant des éléments numériques, ce qui les placerait dans une meilleure position pour prendre les mesures de prévention et d’atténuation nécessaires en vue de réduire les risques résiduels. 4.INCIDENCE BUDGÉTAIRE Afin de s’acquitter des tâches qui lui sont dévolues en vertu du présent règlement, l’Agence de l’Union européenne pour la cybersécurité (ENISA) devra réaffecter des ressources à hauteur d’environ 4,5 ETP. La Commission devrait allouer 7 ETP pour s’acquitter de ses responsabilités en matière d’application du présent règlement. Une vue d’ensemble détaillée des coûts engendrés est présentée dans la «fiche financière» qui accompagne la présente proposition. 5.AUTRES ÉLÉMENTS •Plans de mise en œuvre et modalités de suivi, d’évaluation et d’information La Commission suivra la mise en œuvre, l’application et le respect de ces nouvelles dispositions pour évaluer leur efficacité. Le règlement prévoira une évaluation et un réexamen par la Commission et la présentation d’un rapport public à cet égard au Parlement européen et au Conseil au plus tard 36 mois après la date d’entrée en vigueur du présent règlement et tous les quatre ans par la suite. •Explication détaillée des dispositions spécifiques de la proposition Dispositions générales (chapitre I) La présente proposition de règlement établit a) des règles pour la mise sur le marché de produits comportant des éléments numériques afin de garantir la cybersécurité de ces produits; b) les exigences essentielles relatives à la conception, au développement et à la fabrication de produits comportant des éléments numériques ainsi que les obligations incombant aux opérateurs économiques en ce qui concerne ces produits en matière de cybersécurité; c) les exigences essentielles relatives aux processus de gestion de la vulnérabilité mis en place par les fabricants afin de garantir la cybersécurité des produits comportant des éléments numériques tout au long de leur cycle de vie, et les obligations incombant aux opérateurs économiques en ce qui concerne ces processus; d) les règles relatives à la surveillance du marché et à l’application des règles et exigences susmentionnées. Le règlement proposé s’appliquera à tous les produits comportant des éléments numériques dont l’utilisation prévue et raisonnablement prévisible comprend une connexion logique ou physique directe ou indirecte à un appareil ou à un réseau. Le règlement proposé ne s’appliquera pas aux produits comportant des éléments numériques relevant du champ d’application du règlement (UE) 2017/745 [dispositifs médicaux à usage humain et accessoires pour ces dispositifs] et du règlement (UE) 2017/746 [dispositifs médicaux de diagnostic in vitro à usage humain et accessoires pour ces dispositifs], étant donné que ces deux règlements contiennent des exigences concernant les dispositifs, y compris les logiciels et les obligations générales des fabricants, couvrant l’ensemble du cycle de vie des produits, ainsi que des procédures d’évaluation de la conformité. Le présent règlement ne s’appliquera pas aux produits comportant des éléments numériques qui ont été certifiés conformément au règlement (UE) 2018/1139 [niveau uniforme élevé de sécurité de l’aviation civile], ni aux produits auxquels s’applique le règlement (UE) 2019/2144 [concernant les prescriptions applicables à la réception par type des véhicules à moteur et de leurs remorques, ainsi que des systèmes, composants et entités techniques destinés à ces véhicules]. Les produits critiques comportant des éléments numériques sont soumis à des procédures spécifiques d’évaluation de la conformité et sont divisés en classes I et II, comme indiqué à l’annexe III, en fonction de leur niveau de risque de cybersécurité, la classe II représentant un risque plus élevé. Un produit comportant des éléments numériques est considéré comme critique et figure donc à l’annexe III compte tenu de l’incidence des vulnérabilités potentielles en matière de cybersécurité qu’il présente. La fonctionnalité liée à la cybersécurité du produit comportant des éléments numériques et son utilisation prévue dans des environnements sensibles tels qu’un environnement industriel, entre autres, sont prises en considération dans la détermination du risque de cybersécurité. La Commission est également habilitée à adopter des actes délégués pour compléter le présent règlement en précisant des catégories de produits hautement critiques comportant des éléments numériques pour lesquels les fabricants sont tenus d’obtenir un certificat européen de cybersécurité dans le cadre d’un schéma européen de certification de cybersécurité afin de démontrer la conformité aux exigences essentielles énoncées à l’annexe I, ou à certaines de celles-ci. Lorsqu’elle établit ces catégories de produits hautement critiques comportant des éléments numériques, la Commission tient compte du niveau de risque de cybersécurité lié à la catégorie de produits en question, à la lumière d’un ou de plusieurs des critères pris en considération pour l’inscription des produits critiques comportant des éléments numériques à l’annexe III, ainsi que de l’évaluation visant à déterminer si les entités essentielles du type visé à l’annexe [annexe I] de la directive [directive XXX/ XXXX (SRI 2)] utilisent cette catégorie de produits ou en dépendent ou si cette catégorie de produits aura une potentielle importance à l’avenir pour les activités de ces entités, ou est pertinente pour la résilience de l’ensemble de la chaîne d’approvisionnement des produits comportant des éléments numériques face à des événements perturbateurs. Obligations des opérateurs économiques (chapitre II) La proposition intègre des obligations pour les fabricants, les importateurs et les distributeurs qui s’appuient sur les dispositions de référence prévues dans la décision nº 768/2008/CE. En vertu des exigences et obligations essentielles en matière de cybersécurité, tous les produits comportant des éléments numériques ne peuvent être mis à disposition sur le marché que si, lorsqu’ils sont dûment fournis, correctement installés, entretenus et utilisés conformément à leur utilisation prévue ou dans des conditions raisonnablement prévisibles, ils satisfont aux exigences essentielles en matière de cybersécurité énoncées dans le présent règlement.

Les exigences et obligations essentielles contraindraient les fabricants à tenir compte de la cybersécurité dans la conception, le développement et la fabrication des produits comportant des éléments numériques, à exercer une diligence raisonnable sur les aspects de sécurité lors de la conception et du développement de leurs produits, à être transparents sur les aspects de cybersécurité qui doivent être portés à la connaissance des clients, à assurer une assistance en matière de sécurité (sous forme de mises à jour) de manière proportionnée et à se conformer aux exigences en matière de gestion des vulnérabilités. Des obligations seraient mises en place pour les opérateurs économiques, depuis les fabricants jusqu’aux distributeurs et aux importateurs, en ce qui concerne la mise sur le marché de produits comportant des éléments numériques, en fonction de leur rôle et de leurs responsabilités dans la chaîne d’approvisionnement. Conformité du produit comportant des éléments numériques (chapitre III) Le produit comportant des éléments numériques, conforme à des normes harmonisées ou à des parties de celles-ci dont les références ont été publiées au Journal officiel de l’Union européenne, est présumé conforme aux exigences essentielles couvertes par la présente proposition de règlement. En l’absence de normes harmonisées, ou si celles-ci sont insuffisantes, si la procédure de normalisation accuse des retards indus ou si la demande de la Commission n’a pas été acceptée par les organisations européennes de normalisation, la Commission peut, au moyen d’actes d’exécution, adopter des spécifications communes. En outre, les produits comportant des éléments numériques qui ont été certifiés ou pour lesquels une déclaration UE de conformité ou un certificat ont été délivrés au titre d’un schéma européen de certification de cybersécurité conformément au règlement (UE) 2019/881, et pour lesquels la Commission a précisé par voie d’acte d’exécution que ce document pouvait fournir une présomption de conformité aux fins du présent règlement, sont présumés conformes aux exigences essentielles du présent règlement, ou à des parties de celui-ci, dans la mesure où la déclaration UE de conformité ou le certificat de cybersécurité, ou des parties de ceux-ci, couvrent ces exigences. De plus, afin d’éviter une charge administrative excessive pour les fabricants, le cas échéant, la Commission devrait préciser si un certificat de cybersécurité délivré dans le cadre d’un tel schéma européen de certification de cybersécurité élimine l’obligation, pour les fabricants, de faire procéder à une évaluation de conformité par un tiers conformément au présent règlement pour les exigences correspondantes. Le fabricant doit procéder à une évaluation de la conformité du produit comportant des éléments numériques et des processus de traitement des vulnérabilités qu’il a mis en place afin de démontrer leur conformité aux exigences essentielles énoncées à l’annexe I en suivant l’une des procédures énoncées à l’annexe VI. Les fabricants de produits critiques des classes I et II doivent utiliser les modules respectifs nécessaires à la conformité. Les fabricants de produits critiques de classe II doivent associer un tiers à leur évaluation de la conformité. Notification des organismes d’évaluation de la conformité (chapitre IV) Le bon fonctionnement des organismes notifiés est essentiel pour assurer un niveau élevé de cybersécurité et pour la confiance de toutes les parties intéressées dans le système de la nouvelle approche. Par conséquent, conformément à la décision 768/2008/CE, la proposition définit des exigences pour les autorités nationales responsables des organismes d’évaluation de la conformité (organismes notifiés). Elle confie aux États membres la responsabilité ultime de la désignation et de la surveillance des organismes notifiés. Les États membres désignent une autorité notifiante responsable de la mise en place et de l’application des procédures nécessaires à l’évaluation et à la notification des organismes d’évaluation de la conformité ainsi qu’au contrôle des organismes notifiés. Surveillance du marché et contrôle de l’application de la législation (chapitre V) Conformément au règlement (UE) 2019/1020, les autorités nationales de surveillance du marché assurent la surveillance du marché sur le territoire de l’État membre concerné. Les États membres peuvent choisir de désigner toute autorité existante ou nouvelle pour agir en qualité d’autorité de surveillance du marché, y compris les autorités nationales compétentes établies conformément à l’article [article X] de la directive [directive XXX/XXXX (SRI 2)] ou les autorités nationales de certification de cybersécurité désignées conformément à l’article 58 du règlement (UE) 2019/881. Les opérateurs économiques sont invités à coopérer pleinement avec les autorités de surveillance du marché et les autres autorités compétentes. Pouvoirs délégués et procédure de comité (chapitre VI) Afin de garantir que le cadre réglementaire puisse être adapté si nécessaire, le pouvoir d’adopter des actes conformément à l’article 290 du TFUE est délégué à la Commission pour lui permettre de mettre à jour la liste des produits critiques des classes I et II et de préciser les définitions de ces produits; de préciser si une limitation ou une exclusion est nécessaire pour les produits comportant des éléments numériques couverts par d’autres règles de l’Union qui établissent des exigences assurant le même niveau de protection que le présent règlement; de rendre obligatoire la certification de certains produits hautement critiques comportant des éléments numériques sur la base des critères énoncés dans le présent règlement; de spécifier le contenu minimal de la déclaration UE de conformité et de compléter les éléments à inclure dans la documentation technique. La Commission est également habilitée à adopter des actes d’exécution pour: préciser le format ou les éléments des obligations de signalement et de la nomenclature des logiciels; préciser les schémas européens de certification de cybersécurité qui peuvent être utilisés pour démontrer la conformité aux exigences essentielles énoncées dans le présent règlement ou à une partie de celles-ci; adopter des spécifications communes; fixer les spécifications techniques relatives à l’apposition du marquage CE; adopter des mesures correctives ou restrictives au niveau de l’Union dans des circonstances exceptionnelles justifiant une intervention immédiate afin de préserver le bon fonctionnement du marché intérieur. Confidentialité et sanctions (chapitre VII) Toutes les parties qui appliquent le présent règlement respectent la confidentialité des informations et données obtenues dans l’accomplissement de leurs tâches et activités. Afin de garantir une application efficace des obligations prévues par le présent règlement, chaque autorité de surveillance du marché devrait avoir le pouvoir d’imposer ou de demander l’imposition d’amendes administratives. Dans le même ordre d’idées, le présent règlement fixe des montants maximaux pour les amendes administratives qui devraient être prévues dans les législations nationales en cas de non-respect des obligations énoncées dans le présent règlement. Dispositions transitoires et finales (chapitre VIII) Afin de laisser aux fabricants, aux organismes notifiés et aux États membres le temps de s’adapter aux nouvelles exigences, le règlement proposé deviendra applicable [24 mois] après son entrée en vigueur, à l’exception de l’obligation de signalement pour les fabricants, qui s’appliquera [12 mois] après la date d’entrée en vigueur.





2022/0272 (COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL concernant des exigences horizontales en matière de cybersécurité pour les produits comportant des éléments numériques et modifiant le règlement (UE) 2019/1020 (Texte présentant de l’intérêt pour l’EEE) LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE, vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 114, vu la proposition de la Commission européenne, après transmission du projet d’acte législatif aux parlements nationaux, vu l’avis du Comité économique et social européen, vu l’avis du Comité des régions, statuant conformément à la procédure législative ordinaire, considérant ce qui suit: (1)Il est nécessaire d’améliorer le fonctionnement du marché intérieur en établissant un cadre juridique uniforme concernant les exigences essentielles en matière de cybersécurité aux fins de la mise sur le marché de l’Union de produits comportant des éléments numériques. Deux problèmes majeurs représentant des coûts supplémentaires pour les utilisateurs et la société devraient être réglés: d’une part, le niveau de cybersécurité des produits comportant des éléments numériques est faible, comme en témoignent les vulnérabilités généralisées et le manque de mises à jour de sécurité déployées de manière cohérente pour y remédier, et, d’autre part, les utilisateurs n'ont pas suffisamment accès aux informations et ne les comprennent pas bien, ce qui les empêche de choisir des produits dotés de propriétés de cybersécurité adéquates ou de les utiliser de manière sécurisée. (2)Le présent règlement vise à définir les conditions aux limites pour le développement de produits comportant des éléments numériques sécurisés en faisant en sorte que les produits matériels et logiciels mis sur le marché présentent moins de vulnérabilités et que les fabricants prennent la sécurité au sérieux tout au long du cycle de vie d’un produit. Il a également pour but de créer des conditions permettant aux utilisateurs de prendre en considération la cybersécurité lorsqu’ils sélectionnent et utilisent des produits comportant des éléments numériques. (3)La législation pertinente de l’Union actuellement en vigueur comprend plusieurs ensembles de règles horizontales qui traitent de certains aspects liés à la cybersécurité sous différents angles, y compris des mesures destinées à améliorer la sécurité de la chaîne d’approvisionnement numérique. Toutefois, la législation existante de l’Union relative à la cybersécurité, dont la [directive XXX/XXXX (SRI 2)] et le règlement (UE) 2019/881 du Parlement européen et du Conseil, ne couvre pas directement les exigences contraignantes en matière de sécurité des produits comportant des éléments numériques. (4)Bien que la législation de l’Union en vigueur s’applique à certains produits comportant des éléments numériques, il n’existe pas de cadre réglementaire horizontal de l’Union établissant des exigences complètes en matière de cybersécurité pour tous les produits comportant des éléments numériques. Les différents actes et initiatives adoptés à ce jour aux niveaux européen et national n'abordent qu’en partie les problèmes et risques recensés concernant la cybersécurité, ce qui a pour effet de créer une mosaïque législative au sein du marché intérieur et d’accroître l’insécurité juridique tant pour les fabricants que pour les utilisateurs de ces produits et d’alourdir inutilement la charge imposée aux entreprises pour se conformer à un certain nombre d’exigences pour des types de produits similaires. La cybersécurité de ces produits revêt une dimension transfrontière particulièrement forte, étant donné que les produits fabriqués dans un pays sont souvent utilisés par des organisations et des consommateurs dans l’ensemble du marché intérieur. Il est donc nécessaire de réglementer cette question au niveau de l’Union. Le paysage réglementaire de l’Union devrait être harmonisé en introduisant des exigences en matière de cybersécurité pour les produits comportant des éléments numériques. Il convient en outre de garantir la sécurité des opérateurs et des utilisateurs dans l’ensemble de l’Union, ainsi que de renforcer l’harmonisation du marché unique, en créant des conditions plus viables pour les opérateurs désireux de pénétrer sur le marché de l’Union. (5)Au niveau de l’Union, divers documents programmatiques et politiques, tels que la stratégie de cybersécurité de l’Union pour la décennie numérique, les conclusions du Conseil du 2 décembre 2020 et du 23 mai 2022 ou encore la résolution du Parlement européen du 10 juin 2021, appelaient à l’adoption par l’Union d’exigences spécifiques en matière de cybersécurité pour les produits numériques ou connectés, étant donné que plusieurs pays à travers le monde introduisaient des mesures pour réglementer cette question de leur propre initiative. Dans le rapport final de la conférence sur l’avenir de l’Europe, les citoyens ont préconisé de «renforcer le rôle de l’Union dans la lutte contre les menaces de cybersécurité». (6)Pour accroître le niveau global de cybersécurité de tous les produits comportant des éléments numériques mis sur le marché intérieur, il est nécessaire d’introduire des exigences de cybersécurité essentielles, axées sur l'objectif et technologiquement neutres pour ces produits, qui s’appliquent horizontalement. (7)Dans certaines conditions, tous les produits comportant des éléments numériques intégrés ou connectés à un système d’information électronique plus vaste peuvent servir de vecteur d’attaque pour des acteurs malveillants. En conséquence, même le matériel et les logiciels considérés comme moins critiques peuvent faciliter une première compromission d’un appareil ou d’un réseau, permettant à des acteurs malveillants d’obtenir un accès privilégié à un système ou de se déplacer latéralement entre différents systèmes. Les fabricants devraient donc veiller à ce que tous les produits connectables comportant des éléments numériques soient conçus et développés conformément aux exigences essentielles énoncées dans le présent règlement. Cela comprend à la fois les produits qui peuvent être connectés physiquement via des interfaces matérielles et les produits qui sont connectés logiquement, notamment par des connecteurs logiciels, tuyauteries, fichiers, interfaces de programmation d’application ou tout autre type d’interface logicielle. Étant donné que les menaces de cybersécurité peuvent se propager via divers produits comportant des éléments numériques avant d’atteindre une cible donnée, par exemple en enchaînant plusieurs exploits de vulnérabilité, les fabricants devraient également assurer la cybersécurité des produits qui ne sont connectés qu’indirectement à d’autres dispositifs ou réseaux.

(8)La définition d’exigences en matière de cybersécurité des produits comportant des éléments numériques aux fins de leur mise sur le marché renforcera la cybersécurité de ces produits, tant pour les consommateurs que pour les entreprises. Parmi ces exigences figurent également des exigences de mise sur le marché applicables aux produits de consommation destinés aux consommateurs vulnérables, tels que les jouets et les moniteurs pour bébés. (9)Le présent règlement garantit un niveau élevé de cybersécurité des produits comportant des éléments numériques. Il ne réglemente pas les services, tels que le logiciel en tant que service (SaaS), à l’exception des solutions de traitement de données à distance relatives à un produit comportant des éléments numériques, par lesquelles on entend tout traitement de données à distance pour lequel le logiciel est conçu et développé par le fabricant du produit concerné ou sous la responsabilité de celui-ci, et dont l’absence empêcherait ledit produit d'exécuter l’une de ses fonctions. La [directive XXX/XXXX (SRI 2)] met en place des exigences en matière de cybersécurité et de signalement des incidents pour les entités essentielles et importantes, telles que les infrastructures critiques, en vue d’accroître la résilience des services qu’elles fournissent. La [directive XXX/XXXX (SRI 2)] s’applique aux services d’informatique en nuage et aux modèles de services en nuage, tels que le SaaS. Toutes les entités fournissant des services d’informatique en nuage dans l’Union, qui atteignent ou dépassent le seuil fixé pour les entreprises de taille moyenne relèvent du champ d’application de cette directive. (10)Afin de ne pas entraver l’innovation ou la recherche, les logiciels libres et ouverts développés ou fournis en dehors du cadre d’une activité commerciale ne devraient pas être couverts par le présent règlement. C’est notamment le cas des logiciels, y compris leurs codes sources et versions modifiées, qui sont librement partagés et accessibles, utilisables, modifiables et redistribuables. En ce qui concerne le logiciel, l’activité commerciale peut être caractérisée non seulement par le prix facturé pour un produit, mais également par le prix des services d’assistance technique, par la fourniture d’une plate-forme logicielle par l’intermédiaire de laquelle le fabricant monétise d’autres services, ou par l’utilisation de données à caractère personnel pour des raisons autres qu’aux seules fins d’améliorer la sécurité, la compatibilité ou l’interopérabilité du logiciel. (11)Un internet sécurisé est indispensable au fonctionnement des infrastructures critiques et à la société dans son ensemble. La [directive XXX/XXXX (SRI 2)] vise à garantir un niveau élevé de cybersécurité des services fournis par des entités essentielles et importantes, y compris les fournisseurs d’infrastructures numériques qui soutiennent les fonctions essentielles de l’internet ouvert, assurent l’accès à l’internet et les services internet. Il est donc important que les produits comportant des éléments numériques dont les fournisseurs d’infrastructures numériques ont besoin pour assurer le fonctionnement de l’internet soient développés de manière sécurisée et qu’ils respectent les normes de sécurité de l’internet bien établies. Le présent règlement, qui s’applique à tous les matériels et logiciels connectables, vise également à faciliter le respect, par les fournisseurs d’infrastructures numériques, des exigences de la chaîne d’approvisionnement en vertu de la [directive XXX/XXXX (SRI 2)], en veillant à ce que les produits comportant des éléments numériques qu’ils utilisent pour la fourniture de leurs services soient développés de manière sécurisée et à ce qu’ils aient accès à des mises à jour de sécurité en temps utile pour ces produits. (12)Le règlement (UE) 2017/745 du Parlement européen et du Conseil établit des règles relatives aux dispositifs médicaux et le règlement (UE) 2017/746 du Parlement européen et du Conseil définit des règles relatives aux dispositifs médicaux de diagnostic in vitro. Ces deux règlements traitent des risques de cybersécurité et suivent des approches particulières qui sont également abordées dans le présent règlement. Plus précisément, les règlements (UE) 2017/745 et (UE) 2017/746 établissent des exigences essentielles pour les dispositifs médicaux qui fonctionnent au moyen d’un système électronique ou sont eux-mêmes des logiciels. Certains logiciels non intégrés et l’approche du cycle de vie complet relèvent également du champ d'application de ces règlements. Ces exigences obligent les fabricants à développer et à fabriquer leurs produits en appliquant des principes de gestion des risques et en définissant des exigences concernant les mesures de sécurité informatique, ainsi que les procédures d’évaluation de la conformité correspondantes. En outre, des orientations spécifiques sur la cybersécurité des dispositifs médicaux sont en place depuis décembre 2019. Elles fournissent aux fabricants de dispositifs médicaux, notamment de dispositifs de diagnostic in vitro, des orientations quant à la manière de satisfaire à toutes les exigences essentielles pertinentes énoncées à l’annexe I de ces règlements en ce qui concerne la cybersécurité. Les produits comportant des éléments numériques relevant de l’un ou l’autre de ces règlements ne devraient donc pas être soumis au présent règlement. (13)Le règlement (UE) 2019/2144 du Parlement européen et du Conseil établit des exigences pour la réception par type des véhicules, ainsi que de leurs systèmes et composants, et introduit certaines exigences en matière de cybersécurité, notamment concernant le fonctionnement d’un système de gestion de cybersécurité certifié et les mises à jour logicielles. Il couvre entre autres les politiques et processus des organisations en matière de cyber-risques liés à l’ensemble du cycle de vie des véhicules, des équipements et des services, conformément aux réglementations des Nations unies applicables en matière de spécifications techniques et de cybersécurité, et prévoit des procédures spécifiques d’évaluation de la conformité. Dans le domaine de l’aviation, l’objectif principal du règlement (UE) 2018/1139 du Parlement européen et du Conseil est d’établir et de maintenir un niveau uniforme élevé de sécurité dans l’aviation civile dans l’Union. Ce règlement crée un cadre pour les exigences essentielles en matière de navigabilité des produits, pièces et équipements aéronautiques, y compris les logiciels, qui tiennent compte des obligations de protection contre les menaces relatives à la sécurité de l’information. Les produits comportant des éléments numériques auxquels s’applique le règlement (UE) 2019/2144 et les produits certifiés conformément au règlement (UE) 2018/1139 ne sont donc pas soumis aux exigences essentielles et aux procédures d’évaluation de la conformité énoncées dans le présent règlement. Le processus de certification prévu par le règlement (UE) 2018/1139 garantit le niveau d’assurance visé par le présent règlement. (14)Le présent règlement établit des règles horizontales de cybersécurité qui ne sont pas spécifiques aux secteurs ou à certains produits comportant des éléments numériques. Néanmoins, des règles sectorielles ou spécifiques aux produits pourraient être introduites au niveau de l’Union, établissant des exigences qui couvrent tout ou partie des risques auxquels s'appliquent les exigences essentielles établies par le présent règlement. Dans de tels cas, l’application du présent règlement aux produits comportant des éléments numériques relevant d’autres règles de l’Union établissant des exigences qui couvrent tout ou partie des risques auxquels s'appliquent les exigences essentielles énoncées à l’annexe I du présent règlement peut être limitée ou exclue lorsque cette limitation ou exclusion est compatible avec le cadre réglementaire global applicable à ces produits et lorsque les règles sectorielles permettent d'atteindre un niveau de protection identique à celui prévu par le présent règlement. La Commission est habilitée à adopter des actes délégués pour modifier le présent règlement en identifiant de tels produits et règles. S’agissant de la législation de l’Union en vigueur à laquelle ces limitations ou exclusions devraient s’appliquer, le présent règlement contient des dispositions spécifiques visant à clarifier sa relation avec cette législation de l’Union. (15)Le règlement délégué (UE) 2022/30 précise que les exigences essentielles énoncées à l’article 3, paragraphe 3, point d) (dommages au réseau et mauvaise utilisation des ressources du réseau), point e) (données à caractère personnel et vie privée) et point f) (fraude), de la directive 2014/53/UE s’appliquent à certains équipements radio. La [décision d’exécution (UE) XXX/2022 de la Commission relative à une demande de normalisation adressée aux organisations européennes de normalisation] fixe des exigences pour l’élaboration de normes spécifiques précisant la manière dont ces trois exigences essentielles doivent être traitées. Les exigences essentielles établies par le présent règlement comprennent tous les éléments des exigences essentielles visées à l’article 3, paragraphe 3, points d), e) et f), de la directive 2014/53/UE. En outre, les exigences essentielles énoncées dans le présent règlement sont alignées sur les objectifs des exigences relatives à des normes spécifiques incluses dans cette demande de normalisation. Par conséquent, si la Commission abroge ou modifie le règlement délégué (UE) 2022/30 de sorte qu’il cesse de s’appliquer à certains produits soumis au présent règlement, la Commission et les organisations européennes de normalisation devraient tenir compte des travaux de normalisation menés dans le cadre de la décision d’exécution C(2022)5637 de la Commission relative à une demande de normalisation du règlement délégué RED [règlement (UE) 2022/30] lors de l’élaboration et du développement de normes harmonisées visant à faciliter la mise en œuvre du présent règlement. (16)La directive 85/374/CEE complète le présent règlement. Cette directive établit des règles en matière de responsabilité du fait des produits défectueux afin que les victimes puissent demander réparation lorsqu’un dommage a été causé par de tels produits. Elle établit le principe selon lequel le fabricant d’un produit est responsable des dommages causés par un défaut de sécurité de son produit, indépendamment de la faute («responsabilité objective»). Lorsqu’un tel défaut de sécurité consiste en un manque de mises à jour de sécurité après la mise sur le marché du produit, et qu’il en résulte des dommages, la responsabilité du fabricant pourrait être engagée. Le présent règlement devrait faire obligation aux fabricants de fournir de telles mises à jour de sécurité. (17)Le présent règlement devrait s’appliquer sans préjudice du règlement (UE) 2016/679 du Parlement européen et du Conseil, et notamment de ses dispositions en vue de la mise en place de mécanismes de certification ainsi que de labels et de marques en matière de protection des données aux fins de démontrer que les opérations de traitement effectuées par les responsables du traitement et les sous-traitants respectent ledit règlement. De telles opérations pourraient être intégrées dans un produit comportant des éléments numériques. La protection des données dès la conception et par défaut ainsi que la cybersécurité en général sont des éléments clés du règlement (UE) 2016/679. En protégeant les consommateurs et les organisations contre les risques de cybersécurité, les exigences essentielles en matière de cybersécurité énoncées dans le présent règlement doivent également contribuer à renforcer la protection des données à caractère personnel et de la vie privée des personnes. Des synergies en matière de normalisation et de certification sur les aspects de la cybersécurité devraient être envisagées dans le cadre de la coopération entre la Commission, les organisations européennes de normalisation, l’Agence de l’Union européenne pour la cybersécurité (ENISA), le comité européen de la protection des données institué par le règlement (UE) 2016/679 et les autorités nationales de contrôle de la protection des données. Il convient également de créer des synergies entre le présent règlement et la législation de l’Union en matière de protection des données dans le domaine de la surveillance du marché et du contrôle de l'application. À cette fin, les autorités nationales de surveillance du marché désignées en vertu du présent règlement devraient coopérer avec les autorités chargées de surveiller l'application de la législation de l’Union en matière de protection des données. Ces dernières devraient également avoir accès aux informations nécessaires à l’accomplissement de leurs tâches. (18)Dans la mesure où leurs produits relèvent du champ d’application du présent règlement, les émetteurs de portefeuilles européens d’identité numérique visés à l’article [article 6 bis, paragraphe 2, du règlement (UE) nº 910/2014, tel que modifié par la proposition de règlement modifiant le règlement (UE) nº 910/2014 en ce qui concerne l’établissement d’un cadre européen relatif à une identité numérique] devraient se conformer à la fois aux exigences essentielles horizontales établies par le présent règlement et aux exigences de sécurité spécifiques établies par l’article [article 6 bis du règlement (UE) nº 910/2014, tel que modifié par la proposition de règlement modifiant le règlement (UE) nº 910/2014 en ce qui concerne l’établissement d’un cadre européen pour une identité numérique]. Afin de faciliter la conformité, les émetteurs de portefeuilles devraient pouvoir démontrer la conformité des portefeuilles européens d’identité numérique aux exigences énoncées respectivement dans les deux actes en certifiant leurs produits dans le cadre d’un schéma européen de certification de cybersécurité établi en vertu du règlement (UE) 2019/881 et pour lequel la Commission a établi, par acte d’exécution, une présomption de conformité pour le présent règlement, dans la mesure où le certificat, ou des parties de celui-ci, couvre ces exigences. (19)Certaines tâches prévues par le présent règlement devraient être exécutées par l’ENISA, conformément à l’article 3, paragraphe 2, du règlement (UE) 2019/881. L’ENISA devrait notamment recevoir des notifications des fabricants concernant les vulnérabilités activement exploitées des produits comportant des éléments numériques ainsi que les incidents ayant une incidence sur la sécurité de ces produits. L’ENISA devrait également transmettre ces notifications aux centres de réponse aux incidents de sécurité informatique (CSIRT) concernés ou, respectivement, aux points de contact uniques pertinents des États membres désignés conformément à l’article [article X] de la directive [directive XXX/XXXX (SRI 2)], et informer les autorités de surveillance du marché concernées de la vulnérabilité notifiée. Sur la base des informations qu’elle recueille, l’ENISA devrait préparer un rapport technique bisannuel sur les tendances émergentes concernant les risques de cybersécurité dans les produits comportant des éléments numériques et le soumettre au groupe de coopération visé dans la directive [directive XXX/XXXX (SRI 2)]. En outre, eu égard à son expertise et à son mandat, l’ENISA devrait être en mesure de soutenir le processus de mise en œuvre du présent règlement. Elle devrait notamment pouvoir proposer des activités conjointes à mener par les autorités de surveillance du marché sur la base d’indications ou d’informations concernant une non-conformité potentielle au présent règlement, dans plusieurs États membres, de produits comportant des éléments numériques ou recenser les catégories de produits pour lesquelles des actions de contrôle coordonnées simultanées devraient être organisées. Dans des circonstances exceptionnelles, à la demande de la Commission, l’ENISA devrait être en mesure de procéder à des évaluations portant sur des produits comportant des éléments numériques spécifiques qui présentent un risque de cybersécurité important, lorsqu’une intervention immédiate est nécessaire pour préserver le bon fonctionnement du marché intérieur. (20)Le marquage CE devrait être apposé sur les produits comportant des éléments numériques pour indiquer leur conformité avec le présent règlement, afin qu’ils puissent circuler librement dans le marché intérieur. Les États membres devraient s’abstenir de créer des entraves injustifiées à la mise sur le marché de produits comportant des éléments numériques qui satisfont aux exigences fixées dans le présent règlement et portent le marquage CE. (21)Afin de garantir que les fabricants puissent mettre à disposition des logiciels à des fins d’essai avant de soumettre leurs produits à une évaluation de la conformité, les États membres ne devraient pas empêcher la mise à disposition de logiciels inachevés, tels que des versions alpha, des versions beta ou des versions candidates à la diffusion, pour autant que la version en question ne soit mise à disposition que pendant le temps nécessaire pour la tester et recueillir des commentaires. Les fabricants devraient veiller à ce que les logiciels mis à disposition dans ces conditions ne soient diffusés qu’après une évaluation des risques et soient conformes, dans la mesure du possible, aux exigences de sécurité relatives aux propriétés des produits comportant des éléments numériques imposées par le présent règlement. Les fabricants devraient également mettre en œuvre les exigences de gestion des vulnérabilités dans la mesure du possible. Les fabricants ne devraient pas forcer les utilisateurs à passer à des versions uniquement diffusées à des fins d'essais. (22)Afin de garantir que les produits comportant des éléments numériques, lorsqu’ils sont mis sur le marché, ne présentent pas de risques de cybersécurité pour les personnes et les organisations, il convient de fixer des exigences essentielles pour ces produits. Lorsque ces produits sont modifiés ultérieurement, par des moyens physiques ou numériques, d’une manière qui n’est pas prévue par le fabricant et qui peut impliquer qu’ils ne satisfont plus aux exigences essentielles pertinentes, la modification devrait être considérée comme substantielle. Par exemple, les mises à jour de logiciels ou les réparations pourraient être assimilées à des opérations d’entretien pour autant qu’elles ne modifient pas un produit déjà mis sur le marché d'une manière qui soit susceptible d'en compromettre la conformité aux exigences applicables ou de modifier l'utilisation prévue pour laquelle le produit a été évalué. Comme c’est le cas pour les réparations ou modifications physiques, un produit comportant des éléments numériques doit être considéré comme substantiellement modifié par une modification logicielle lorsque la mise à jour du logiciel modifie les fonctions, le type ou les performances initialement prévues du produit et que ces modifications n’ont pas été prévues dans l’évaluation initiale des risques, ou lorsque la nature du danger a changé ou que le niveau de risque a augmenté en raison de la mise à jour du logiciel. (23)Conformément à la notion généralement établie de modification substantielle pour les produits régis par la législation d’harmonisation de l’Union, chaque fois que se produit une modification substantielle de nature à affecter la conformité d’un produit au présent règlement ou lorsque l'utilisation prévue de ce produit change, il convient de vérifier la conformité du produit comportant des éléments numériques et, le cas échéant, de le soumettre à une nouvelle évaluation de la conformité. Le cas échéant, si le fabricant a recours à une évaluation de la conformité faisant intervenir un tiers, les modifications susceptibles d’entraîner des modifications substantielles devraient être notifiées à ce dernier. (24)La remise à neuf, l’entretien et la réparation d’un produit comportant des éléments numériques, tels que définis dans le règlement [règlement sur l’écoconception], n’entraînent pas nécessairement une modification substantielle du produit, par exemple si l’utilisation et les fonctionnalités prévues ne sont pas modifiées et que le niveau de risque demeure inchangé. Toutefois, la mise à niveau d’un produit par le fabricant pourrait entraîner des modifications dans la conception et le développement du produit et donc avoir une incidence sur son utilisation prévue et sa conformité aux exigences énoncées dans le présent règlement. (25)Les produits comportant des éléments numériques devraient être considérés comme critiques si l’exploitation de vulnérabilités potentielles de cybersécurité dans ces produits peut avoir de graves répercussions en raison, entre autres, de la fonctionnalité liée à la cybersécurité ou de l’utilisation prévue. En particulier, les vulnérabilités de produits comportant des éléments numériques qui ont une fonctionnalité liée à la cybersécurité, tels que les éléments sécurisés, peuvent provoquer une propagation des problèmes de sécurité tout au long de la chaîne d’approvisionnement. La gravité des effets d’un incident de cybersécurité peut également augmenter selon l'utilisation prévue du produit, par exemple s’il est employé dans un cadre industriel ou dans le contexte d’une entité essentielle du type visé à l’annexe [annexe I] de la directive [directive XXX/XXXX (SRI 2)], ou pour l’exécution de fonctions critiques ou sensibles, telles que le traitement de données à caractère personnel. (26)Les produits critiques comportant des éléments numériques devraient être soumis à des procédures d’évaluation de la conformité plus strictes, tout en conservant une approche proportionnée. À cette fin, les produits critiques comportant des éléments numériques devraient être divisés en deux catégories, reflétant le niveau de risque de cybersécurité lié à ces catégories de produits. Un cyberincident potentiel impliquant des produits de classe II pourrait avoir des conséquences négatives plus importantes qu’un incident impliquant des produits de classe I, par exemple en raison de la nature de leur fonction liée à la cybersécurité ou de leur utilisation prévue dans des environnements sensibles, et ces produits devraient donc faire l’objet d’une procédure d’évaluation de la conformité plus stricte. (27)Les catégories de produits critiques comportant des éléments numériques figurant à l’annexe III du présent règlement devraient être considérées comme regroupant les produits possédant les fonctionnalités essentielles du type figurant à l’annexe III du présent règlement. Par exemple, l’annexe III du présent règlement énumère les produits qui sont définis par leur fonctionnalité de base comme des microprocesseurs à usage général de classe II. Par conséquent, les microprocesseurs à usage général sont soumis à une évaluation de conformité obligatoire par un tiers. Ce n’est pas le cas pour d’autres produits qui ne sont pas explicitement mentionnés à l’annexe III du présent règlement et qui peuvent intégrer un microprocesseur à usage général. La Commission devrait adopter des actes délégués [au plus tard douze mois après l’entrée en vigueur du présent règlement] pour préciser les définitions des catégories de produits relevant des classes I et II, telles qu’elles figurent à l’annexe III.

(28)Le présent règlement aborde les risques de cybersécurité de manière ciblée. Les produits comportant des éléments numériques peuvent toutefois présenter d’autres risques pour la sécurité qui ne sont pas liés à la cybersécurité. Ces risques devraient continuer à être réglementés par d’autres actes législatifs pertinents de l’Union relatifs aux produits. Si aucune autre législation d’harmonisation de l’Union ne leur est applicable, ils devraient être soumis au règlement [règlement relatif à la sécurité générale des produits]. Par conséquent, compte tenu du caractère ciblé du présent règlement, par dérogation à l’article 2, paragraphe 1, troisième alinéa, point b), du règlement [règlement relatif à la sécurité générale des produits], le chapitre III, section 1, les chapitres V et VII, et les chapitres IX à XI du règlement [règlement relatif à la sécurité générale des produits] devraient s’appliquer aux produits comportant des éléments numériques en ce qui concerne les risques pour la sécurité qui ne sont pas couverts par le présent règlement, si ces produits ne sont pas soumis à des exigences spécifiques imposées par une autre législation d’harmonisation de l’Union au sens de l’[article 3, point 25), du règlement relatif à la sécurité générale des produits]. (29)Les produits comportant des éléments numériques classés comme systèmes d’IA à haut risque conformément à l’article 6 du règlement [règlement sur l’IA] qui relèvent du champ d’application du présent règlement devraient satisfaire aux exigences essentielles énoncées dans celui-ci. Lorsque ces systèmes d’IA à haut risque satisfont aux exigences essentielles du présent règlement, ils devraient être réputés conformes aux exigences en matière de cybersécurité énoncées à l’article [article 15] du règlement [règlement sur l’IA], dans la mesure où ces exigences sont couvertes par la déclaration UE de conformité, ou par certaines parties de celle-ci, délivrée en vertu du présent règlement. S’agissant des procédures d’évaluation de la conformité relatives aux exigences essentielles de cybersécurité d’un produit comportant des éléments numériques couvert par le présent règlement et classé comme système d’IA à haut risque, les dispositions pertinentes de l’article 43 du règlement [règlement sur l’IA] devraient de manière générale s’appliquer en lieu et place des dispositions correspondantes du présent règlement. Toutefois, l'application de cette règle ne devrait pas entraîner de réduction du niveau d’assurance nécessaire pour les produits critiques comportant des éléments numériques couverts par le présent règlement. Par conséquent, par dérogation à cette règle, les systèmes d’IA à haut risque qui relèvent du champ d’application du règlement [règlement sur l’IA] et sont également considérés comme des produits critiques comportant des éléments numériques en vertu du présent règlement et auxquels s’applique la procédure d’évaluation de la conformité fondée sur le contrôle interne visée à l’annexe VI du règlement [règlement sur l’IA] devraient être soumis aux dispositions du présent règlement relatives à l’évaluation de la conformité en ce qui concerne les exigences essentielles énoncées dans celui-ci. Dans ce cas, pour tous les autres aspects couverts par le règlement [règlement sur l’IA], les dispositions correspondantes relatives à l’évaluation de la conformité fondée sur le contrôle interne énoncées à l’annexe VI du règlement [règlement sur IA] devraient s’appliquer. (30)Les machines et produits connexes relevant du champ d’application du règlement [proposition de règlement sur les machines et produits connexes] qui sont des produits comportant des éléments numériques au sens du présent règlement et pour lesquelles une déclaration de conformité a été délivrée sur la base du présent règlement devraient être considérés comme conformes aux exigences essentielles de santé et de sécurité énoncées à l’[annexe III, sections 1.1.9 et 1.2.1] du règlement [proposition de règlement sur les machines], en ce qui concerne la protection contre la corruption ainsi que la sécurité et la fiabilité des systèmes de contrôle, pour autant que la conformité à ces exigences soit démontrée par la déclaration UE de conformité délivrée au titre du présent règlement. (31)Le règlement [proposition de règlement relatif à l’espace européen des données de santé] complète les exigences essentielles énoncées dans le présent règlement. Les systèmes de dossiers médicaux électroniques («systèmes DME») relevant du champ d’application du règlement [proposition de règlement relatif à l’espace européen des données de santé] qui sont des produits comportant des éléments numériques au sens du présent règlement devraient donc également satisfaire aux exigences essentielles énoncées dans le présent règlement. Leurs fabricants devraient démontrer la conformité comme l’exige le règlement [proposition de règlement relatif à l’espace européen des données de santé]. Pour faciliter la mise en conformité, les fabricants peuvent établir une documentation technique unique contenant les éléments requis par les deux actes législatifs. Étant donné que le présent règlement ne couvre pas le SaaS en tant que tel, les systèmes DME proposés par l’intermédiaire du modèle de licence et de livraison du SaaS ne relèvent pas du champ d’application du présent règlement. De même, les systèmes DME mis au point et utilisés en interne ne relèvent pas du champ d’application du présent règlement, car ils ne sont pas mis sur le marché. (32)Afin de garantir la sécurité des produits comportant des éléments numériques au moment de leur mise sur le marché et tout au long de leur cycle de vie, il est nécessaire de définir des exigences essentielles en matière de gestion de la vulnérabilité et des exigences essentielles en matière de cybersécurité concernant les propriétés des produits comportant des éléments numériques. Les fabricants devraient se conformer à toutes les exigences essentielles liées à la gestion des vulnérabilités et veiller à ce que tous leurs produits soient livrés sans aucune vulnérabilité exploitable connue, mais ils devraient en outre déterminer les autres exigences essentielles liées aux propriétés du produit pertinentes pour le type de produit concerné. À cette fin, les fabricants devraient entreprendre une évaluation des risques de cybersécurité associés à un produit comportant des éléments numériques afin de recenser les risques et les exigences essentielles pertinents et d’appliquer de manière appropriée des normes harmonisées ou des spécifications communes appropriées. (33)Afin d’améliorer la sécurité des produits comportant des éléments numériques mis sur le marché intérieur, il est nécessaire d'établir des exigences essentielles. Ces exigences essentielles ne devraient pas porter atteinte aux évaluations coordonnées des risques de l’Union portant sur les chaînes d’approvisionnement critiques et établies par l’[article X] de la [directive XXX/XXXX (SRI 2)], qui tiennent compte à la fois des facteurs de risque techniques et, le cas échéant, non techniques, tels que l’influence indue d’un pays tiers sur les fournisseurs. En outre, elles devraient s’exercer sans préjudice des prérogatives des États membres d’établir des exigences supplémentaires qui tiennent compte de facteurs non techniques afin de garantir un niveau élevé de résilience, y compris celles définies dans la recommandation (UE) 2019/534, dans l’évaluation coordonnée des risques de la sécurité des réseaux 5G à l’échelle de l’Union et dans la boîte à outils de l’UE sur la cybersécurité 5G convenue par le groupe de coopération SRI conformément à la [directive XXX/XXXX (SRI 2)]. (34)Afin de garantir que les CSIRT nationaux et le guichet unique désigné conformément à l’article [article X] de la directive [directive XX/XXXX (SRI 2)] reçoivent les informations nécessaires à l’accomplissement de leurs tâches et à l’élévation du niveau global de cybersécurité des entités essentielles et importantes, et afin de garantir le fonctionnement efficace des autorités de surveillance du marché, les fabricants de produits comportant des éléments numériques devraient notifier à l’ENISA les vulnérabilités activement exploitées. Étant donné que la plupart des produits comportant des éléments numériques sont commercialisés sur l’ensemble du marché intérieur, toute vulnérabilité exploitée dans un de ces produits devrait être considérée comme une menace pour le fonctionnement du marché intérieur. Les fabricants devraient également envisager de communiquer les vulnérabilités fixes à la base de données européenne sur les vulnérabilités établie en vertu de la directive [directive XX/XXXX (SRI 2)] et gérée par l’ENISA ou à toute autre base de données sur les vulnérabilités accessible au public. (35)Les fabricants devraient également signaler à l’ENISA tout incident ayant des répercussions sur la sécurité du produit comportant des éléments numériques. Nonobstant les obligations de signalement d’incidents prévues par la directive [directive XXX/XXXX (SRI 2)] pour les entités essentielles et importantes, il est essentiel que l’ENISA, les guichets uniques désignés par les États membres conformément à l’article [article X] de la directive [directive XXX/XXXX (SRI 2)] et les autorités de surveillance du marché reçoivent des informations des fabricants de produits comportant des éléments numériques leur permettant d’évaluer la sécurité de ces produits. Afin de garantir que les utilisateurs puissent réagir rapidement aux incidents ayant un impact sur la sécurité de leurs produits comportant des éléments numériques, les fabricants devraient également informer leurs utilisateurs de tout incident de ce type et, le cas échéant, de toute mesure corrective que les utilisateurs peuvent mettre en œuvre pour atténuer l’impact de l’incident, par exemple en publiant des informations pertinentes sur leur site internet ou, lorsque le fabricant est en mesure de contacter les utilisateurs et lorsque les risques le justifient, en contactant directement les utilisateurs. (36)Les fabricants de produits comportant des éléments numériques devraient mettre en place des politiques de divulgation coordonnée des vulnérabilités afin de faciliter le signalement desdites vulnérabilités par des personnes ou des entités. Toute politique de divulgation coordonnée des vulnérabilités devrait définir un processus structuré dans lequel les vulnérabilités sont signalées à un fabricant de manière à lui donner la possibilité de diagnostiquer la vulnérabilité et d’y remédier avant que des informations détaillées à ce sujet soient divulguées à des tiers ou au public. Étant donné que les informations sur les vulnérabilités exploitables dans les produits comportant des éléments numériques largement utilisés peuvent être vendues à des prix élevés sur le marché noir, les fabricants de ces produits devraient pouvoir utiliser, dans le cadre de leurs politiques de divulgation coordonnée des vulnérabilités, des programmes visant à encourager le signalement des vulnérabilités en veillant à ce que les personnes ou les entités soient reconnues et récompensées pour leurs efforts (dans le cadre de programmes dits de «prime aux bogues»). (37)Afin de faciliter l’analyse de la vulnérabilité, les fabricants devraient répertorier et documenter les composants contenus dans les produits comportant des éléments numériques, notamment en établissant une nomenclature des logiciels. Une nomenclature des logiciels peut fournir à ceux qui fabriquent, achètent et exploitent des logiciels des informations de nature à améliorer leur compréhension de la chaîne d’approvisionnement, ce qui présente de multiples avantages. Elle peut plus particulièrement aider les fabricants et les utilisateurs à suivre les vulnérabilités et les risques émergents nouvellement apparus. Il est particulièrement important pour les fabricants de s’assurer que leurs produits ne contiennent pas de composants vulnérables développés par des tiers. (38)Afin de faciliter l’évaluation de la conformité aux exigences établies par le présent règlement, il convient de prévoir une présomption de conformité pour les produits dont les éléments numériques sont conformes à des normes harmonisées, qui traduisent les exigences essentielles du présent règlement en spécifications techniques détaillées et sont adoptées conformément au règlement (UE) nº 1025/2012 du Parlement européen et du Conseil. Le règlement (UE) nº 1025/2012 prévoit une procédure pour la formulation d’objections à l’encontre de normes harmonisées lorsque celles-ci ne satisfont pas pleinement aux exigences du présent règlement. (39)Le règlement (UE) 2019/881 établit un cadre européen de certification volontaire de cybersécurité pour les produits, processus et services TIC. Les schémas européens de certification de cybersécurité peuvent couvrir des produits comportant des éléments numériques relevant du présent règlement. Le présent règlement devrait créer des synergies avec le règlement (UE) 2019/881. Afin de faciliter l’évaluation de la conformité aux exigences énoncées dans le présent règlement, les produits comportant des éléments numériques qui sont certifiés ou pour lesquels une déclaration de conformité a été délivrée dans le cadre d’un schéma de cybersécurité conformément au règlement (UE) 2019/881 et qui ont été désignés par la Commission dans un acte d’exécution sont présumés conformes aux exigences essentielles du présent règlement pour autant que le certificat ou la déclaration de conformité ou des parties de ceux-ci couvrent ces exigences. La nécessité de nouveaux schémas européens de certification de cybersécurité pour les produits comportant des éléments numériques devrait être évaluée à la lumière du présent règlement. Ces futurs schémas européens de certification de cybersécurité, destinés à couvrir les produits comportant des éléments numériques, devraient tenir compte des exigences essentielles énoncées dans le présent règlement et faciliter le respect de celui-ci. Il convient d’habiliter la Commission à préciser, au moyen d’actes d’exécution, les schémas européens de certification de cybersécurité qui peuvent être utilisés pour démontrer la conformité aux exigences essentielles énoncées dans le présent règlement. En outre, afin d’éviter une charge administrative excessive pour les fabricants, le cas échéant, la Commission devrait préciser si un certificat de cybersécurité délivré dans le cadre de ces schémas européens de certification élimine l’obligation pour les fabricants de faire procéder à une évaluation de conformité par un tiers conformément au présent règlement pour les exigences correspondantes. (40)Dès l’entrée en vigueur de l’acte d’exécution établissant le [règlement d’exécution (UE)°.../... de la Commission du XXX relatif au schéma européen de certification de cybersécurité fondé sur des critères communs] (CCUE) portant sur les produits matériels couverts par le présent règlement, tels que les modules de sécurité matériels et les microprocesseurs, la Commission peut préciser, au moyen d’un acte d’exécution, comment la certification CCUE crée une présomption de conformité aux exigences essentielles visées à l’annexe I du présent règlement ou à certaines de ses parties. En outre, cet acte d’exécution peut définir comment un certificat délivré au titre de la CCUE élimine l’obligation pour les fabricants d’avoir recours à une évaluation par un tiers, comme l'exige le présent règlement, pour les exigences correspondantes. (41)En l’absence de normes harmonisées ou lorsque les normes harmonisées ne répondent pas suffisamment aux exigences essentielles du présent règlement, la Commission devrait pouvoir adopter des spécifications communes au moyen d’actes d’exécution. Les raisons de l’élaboration de telles spécifications communes, en lieu et place de normes harmonisées, pourraient inclure un refus de la demande de normalisation par l’une des organisations européennes de normalisation, des retards indus dans la mise en place de normes harmonisées appropriées ou un non-respect des exigences du présent règlement ou d’une demande de la Commission. Afin de faciliter l’évaluation de la conformité aux exigences essentielles prévues par le présent règlement, il convient d’établir une présomption de conformité pour les produits comportant des éléments numériques répondant aux spécifications communes adoptées par la Commission en vertu du présent règlement, aux fins de l’expression de spécifications techniques détaillées sur la base de ces exigences. (42)Il y a lieu que les fabricants établissent une déclaration UE de conformité afin de fournir les informations requises par le présent règlement concernant la conformité des produits comportant des éléments numériques aux exigences prévues par le présent règlement et, le cas échéant, par d’autres législations d’harmonisation de l’Union applicables. Les fabricants peuvent également être tenus d’établir une déclaration UE de conformité en vertu d’une autre législation de l’Union. Pour garantir un accès effectif aux informations à des fins de surveillance du marché, une déclaration UE de conformité unique attestant le respect de tous les actes de l’Union devrait être établie. Pour réduire la charge administrative pesant sur les opérateurs économiques, cette déclaration UE de conformité unique devrait pouvoir être un dossier composé des différentes déclarations de conformité pertinentes. (43)Le marquage CE, qui matérialise la conformité d’un produit, est le résultat visible de tout un processus englobant l’évaluation de conformité au sens large. Le règlement (CE) nº 765/2008 du Parlement européen et du Conseil établit les principes généraux régissant le marquage CE. Les règles régissant l’apposition du marquage CE sur les produits comportant des éléments numériques devraient être définies par le présent règlement. Le marquage CE devrait être le seul marquage garantissant la conformité d’un produit comportant des éléments numériques aux exigences du présent règlement. (44)Afin de permettre aux opérateurs économiques de démontrer qu'ils respectent les exigences essentielles énoncées dans le présent règlement et aux autorités de surveillance du marché de s’assurer que les produits comportant des éléments numériques mis à disposition sur le marché sont conformes à ces exigences, il est nécessaire de prévoir des procédures d’évaluation de la conformité. La décision nº 768/2008/CE du Parlement européen et du Conseil établit des modules pour l’évaluation de la conformité, dont les procédures sont proportionnées au risque encouru et au niveau de sécurité requis. Afin d’assurer la cohérence entre les secteurs et d’éviter une multiplication de variantes ad hoc, des procédures adéquates ont été fondées sur ces modules afin de vérifier la conformité des produits comportant des éléments numériques aux exigences essentielles énoncées dans le présent règlement. Les procédures d’évaluation de la conformité devraient examiner et vérifier les exigences relatives aux produits et aux processus couvrant l’ensemble du cycle de vie des produits comportant des éléments numériques, y compris la planification, la conception, le développement ou la production, les essais et l’entretien du produit. (45)En règle générale, l’évaluation de la conformité des produits comportant des éléments numériques devrait être effectuée par le fabricant sous sa propre responsabilité, conformément à la procédure fondée sur le module A de la décision 768/2008/CE. Le fabricant devrait conserver la possibilité de choisir une procédure d’évaluation de la conformité plus stricte faisant intervenir un tiers. Si le produit est classé comme produit critique de classe I, une assurance supplémentaire est requise pour démontrer la conformité aux exigences essentielles énoncées dans le présent règlement. Le fabricant devrait appliquer des normes harmonisées, des spécifications communes ou des schémas de certification de cybersécurité au titre du règlement (UE) 2019/881, répertoriés par la Commission dans un acte d’exécution, s’il souhaite effectuer l’évaluation de la conformité sous sa propre responsabilité (module A). Si le fabricant n’applique pas ces normes harmonisées, spécifications communes ou schémas de certification de cybersécurité, il devrait se soumettre à une évaluation de la conformité par un tiers. Compte tenu de la charge administrative pesant sur les fabricants et du fait que la cybersécurité joue un rôle important dans la phase de conception et de développement des produits matériels et immatériels comportant des éléments numériques, les procédures d’évaluation de la conformité fondées respectivement sur les modules B+C ou H de la décision 768/2008/CE ont été retenues comme étant les plus appropriées pour évaluer de manière proportionnée et efficace la conformité des produits critiques comportant des éléments numériques. Le fabricant qui fait procéder à l’évaluation de conformité par un tiers peut choisir la procédure qui convient le mieux à son processus de conception et de production. Compte tenu du risque de cybersécurité encore plus grand lié à l’utilisation de produits classés comme produits critiques de classe II, l’évaluation de la conformité de ces produits devrait toujours prévoir l’intervention d’un tiers. (46)Si la création de produits matériels comportant des éléments numériques nécessite généralement des efforts substantiels de la part des fabricants tout au long des phases de conception, de développement et de production, la création de produits comportant des éléments numériques sous la forme de logiciels se concentre presque exclusivement sur la conception et le développement, tandis que la phase de production joue un rôle mineur. Néanmoins, dans de nombreux cas, les produits logiciels doivent encore être compilés, construits, conditionnés, mis à disposition pour téléchargement ou copiés sur des supports physiques avant leur mise sur le marché. Ces activités devraient être assimilées à des activités de production lors de l’application des modules d’évaluation pertinents pour vérifier la conformité du produit aux exigences essentielles du présent règlement au cours des phases de conception, de développement et de production. (47)Afin de permettre la réalisation d’une évaluation de la conformité par un tiers pour des produits comportant des éléments numériques, les autorités nationales notifiantes devraient notifier les organismes d’évaluation de la conformité à la Commission et aux autres États membres, pour autant qu’ils respectent un ensemble d’exigences, notamment en matière d’indépendance, de compétence et d’absence de conflits d’intérêts.

(48)Afin d’assurer un niveau de qualité homogène des évaluations de la conformité de produits comportant des éléments numériques, il est également nécessaire de définir les exigences auxquelles doivent satisfaire les autorités notifiantes et les autres organismes qui participent à l’évaluation, à la notification et à la surveillance des organismes notifiés. Le système défini dans le présent règlement devrait être complété par le système d’accréditation prévu dans le règlement (CE) nº 765/2008. Dans la mesure où l’accréditation constitue un moyen essentiel pour vérifier la compétence des organismes d’évaluation de la conformité, il y a lieu d’y avoir également recours aux fins de la notification. (49)L’accréditation organisée de manière transparente, ainsi que le prévoit le règlement (CE) nº 765/2