Aboutissement du trilogue sur le Cyber Resilience Act : le pire est évité, mais des flous demeurent

Mise à jour : le règlement a été adopté par le Parlement européen le 12 mars 2024

Le Cyber Resilience Act est un projet de règlement européen visant à renforcer les règles en matière de cybersécurité afin de garantir une plus grande sécurité des produits matériels et logiciels en Europe. Des communautés libristes avaient partagé leurs profondes inquiétudes quant au texte initial de la Commission européenne1. Depuis, la procédure législative a fait son chemin et ce qui devrait être le texte final a été publié et semble, dans les grandes lignes, avoir adressé les craintes portant sur le logiciel libre.

La procédure législative européenne a cela de particulier que les textes qu'elle produit sont le résultat d'un équilibre trouvé entre trois institutions : la Commission européenne qui propose des projets de directive ou de règlement, le Conseil de l'UE (réunion des représentants des gouvernements des différents États membres) et du Parlement. Après une navette législative plus ou moins longue entre ces deux dernières, les trois institutions mènent des négociations interinstitutionnelles, souvent appelées trilogues, dans l'objectif de produire un texte de consensus qui sera enfin ratifié par les parlementaires. Le trilogue relatif au Cyber Resilience Act a abouti le 20 décembre 2023, le texte est désormais en ligne (en anglais)

Stéfane Fermigier (coprésident du CNLL2) – une des personnes les plus impliquées sur ce dossier dans les communautés libristes en France – considère dans un billet publié sur LinuxFR que le « consensus des observateurs sur le document final semble être que celui-ci a "patché"3 les problèmes les plus graves qui ont été soulevés par les acteurs du logiciel libre au cours du processus législatif ».

Pour rappel, le texte initial, que l'April avait qualifié « d'épée de Damoclès » sur le logiciel libre, faisait peser une très lourde responsabilité sur toutes celles et ceux qui produisent du code et qui le diffusent, rendant de fait le développement de logiciels libres extrêmement risqué, donc économiquement intenable. Largement critiqué par les communautés libristes, et pas seulement, le texte a évolué au cours de la procédure législative. En particulier, en clarifiant la notion « d'activité commerciale » afin qu'elle intègre mieux les réalités, multiples, propres au développement de logiciels libres. Parallèlement, le texte semble mieux prendre en compte les petites et moyennes entreprises — majoritaires parmi les entreprises du libre. Nous mettrons à jour cette actu en renvoyant à des analyses détaillées de ces évolutions lorsqu'elles seront publiées.

Toutefois, comme le fait remarquer S. Fermigier, si le texte a indéniablement progressé, des flous demeurent, notamment sur la manière dont, de façon très pratique, seront mises en œuvre ces nouvelles obligations. Il partage également son interrogation sur la manière dont le texte définit le logiciel libre. S'il s'appuie sur les quatre libertés inscrites dans une licence, telles qu'elles sont définies par la FSF – ce qui est bienvenu – le projet de règlement fait potentiellement du mode de développement un critère juridique en affirmant que les logiciels sont développés, maintenus et distribués de manière ouverte 4. C'est indéniablement souhaitable, mais ce n'est pas constitutif de ce qu'est un logiciel libre. Il s'agira donc d'être vigilant sur ce point dans le futur.

Le texte doit encore être ratifié par le Parlement européen avant d'avoir force de loi et devrait entrer en application 36 mois après, à quelques exceptions près, tel que cela est stipulé à l'article 57 du texte. Ce délai est censé permettre aux acteurs, publics comme privés, de s'organiser pour répondre à leurs nouvelles obligations.

• 1. Voire notamment une lettre ouverte signée en avril 2023 par « les principales institutions de gouvernance au sein de la communauté européenne et mondiale des logiciels open source »
• 2. Union des entreprises du logiciel libre et du numérique ouvert
• 3. « Patcher » est un anglicisme commun en informatique que l'on peut traduire par « corriger »
• 4. Voir le considérant (10c) du texte. En anglais : « Free and open-source software is developed, maintained, and distributed openly, including via online platforms. »