Les 11 et 12 septembre, de nouvelles obligations au titre du Cyber Resilience Act et du Data Act sont entrées en vigueur. Que change exactement ?
Ceux qui suivent de près la législation européenne ont eu du pain sur la planche ces derniers jours. Les 11 et 12 septembre, de nouvelles obligations pour les entreprises informatiques sont entrées en vigueur sous différents cadres législatifs. Il s’agit concrètement du Cyber Resilience Act (CRA) et du Data Act. Ces législations ont pour objectif global d’accroître la sécurité des logiciels et de parvenir à un échange de données équitable entre les fournisseurs de services numériques et leurs clients.
Vous n’êtes pas encore au fait des nouvelles règles européennes entrées en vigueur ? Voici un aperçu pour y voir plus clair.
CRA : obligation de signalement
Le Cyber Resilience Act européen a été élaboré par l’Union européenne en 2023, puis formellement adopté un an plus tard. Pourtant, les principales obligations de la législation ne sont entrées en vigueur que maintenant. Le CRA exige désormais que les fabricants de produits comportant des « éléments numériques », ce qui inclut tant le matériel que les logiciels, signalent les vulnérabilités de leurs produits, de préférence avant qu’elles ne soient exploitées.
L’obligation de signalement prend effet dès que le fabricant constate une vulnérabilité grave ou un incident concret sur ses produits. Par « grave », le CRA entend que la capacité à sécuriser les données sensibles ou personnelles des utilisateurs est compromise, ou qu’il est question d’injection de code malveillant. Un premier signalement doit être effectué dans les 24 heures et un rapport détaillé dans les 72 heures.
Une attention particulière pour l’open source
Bien que le CRA ait pour objectif d’inciter les fabricants à prendre la sécurité au sérieux, des inquiétudes se sont initialement manifestées dans le monde de l’open source concernant cette législation. Celles-ci découlaient du fait que, contrairement aux logiciels commerciaux, il est plus difficile de désigner une seule partie comme responsable final. Cela risquerait de compliquer le lancement de nouveaux projets, comme nous l’avons entendu lors des précédentes éditions de la conférence KubeCon.
La Commission européenne y a partiellement répondu. Seuls les logiciels open source proposés pour un usage commercial tombent sous le coup du CRA. Pour les logiciels non commerciaux, des « stewards » seront désormais désignés pour soutenir le développement des logiciels libres.
Data Act : un Patriot Act européen ?
Le Data Act est plus récent, avec une « date de naissance » en janvier 2024. Un an après la première vague de règles, de nouvelles obligations s’appliquent depuis le 12 septembre. Le Data Act doit donner aux citoyens et aux clients des fournisseurs de logiciels et de cloud plus de contrôle sur leurs données ; il a été élaboré en partie grâce à un intense lobbying des organisations sectorielles.
Les nouvelles obligations s’appliquent principalement aux fabricants d’appareils IoT, c’est-à-dire tous les « produits connectés », qui doivent donc également se conformer au CRA. Ils doivent désormais donner aux utilisateurs un accès direct à leurs données. Initialement, les fabricants étaient tenus de les fournir sur demande, mais ce détour ne sera plus autorisé. Cela inclut également les métadonnées nécessaires à l’interprétation des données.
La législation changera également beaucoup de choses pour les fournisseurs de cloud. Le Data Act veut offrir aux clients une « voie de sortie » des environnements cloud. Les fournisseurs de cloud ne peuvent plus faire obstacle à la libération des données des clients et/ou facturer des frais supplémentaires pour cela. Ces « conditions contractuelles équitables » n’entreront formellement en vigueur que l’année prochaine, le 12 septembre 2027.
Le Data Act prévoit toutefois aussi un mécanisme par lequel les autorités peuvent, en cas d’urgence, obliger les entreprises à divulguer des données spécifiques. On pourrait y voir la variante européenne du Patriot Act américain. C’est de cette législation qu’est issu le très controversé Cloud Act, qui constitue le terreau du débat sur la souveraineté en Europe.
« Législation fourre-tout »
Christoph Balduck, CTO de l’entreprise belge de conformité des données et de l’IA Data Trust Associates, qualifie le Data Act de « législation fourre-tout ». Le Data Act est un assemblage d’éléments issus de législations plus restreintes, regroupés en un cadre global unique. Selon Balduck, les grandes lignes directrices sont utiles pour les citoyens et les entreprises, mais seule une petite partie d’entre eux en est informée.
« Le Data Act offre aux entreprises belges de nombreux avantages en matière de données et de plateformes cloud, de conditions contractuelles, de positionnement face aux grands fournisseurs de cloud, de facilité d’échange de données et d’accès à de nombreuses données utiles. Cela ouvre la porte à de nouvelles start-ups et à de meilleurs services », souligne Balduck dans une réaction.
« Le fait de pouvoir enfin collecter de manière largement automatique les données des appareils intelligents de votre maison ou de votre bureau vous offre beaucoup plus de possibilités. Il faut seulement veiller à qui vous confiez ces données. Toutes les parties n’ont pas votre intérêt à cœur et les régies publicitaires sont impatientes de mettre la main dessus », ajoute-t-il.
Le Data Act offre aux entreprises belges de nombreux avantages dans leur position face aux grands fournisseurs de cloud.
Christoph Balduck, CTO & Managing Partner Data Trust Associates