La Commission européenne porte un projet de règlement visant à renforcer les règles en matière de cybersécurité afin de garantir une plus grande sécurité des produits matériels et logiciels, le Cyber Resilience Act. Comme malheureusement trop souvent, l'approche de la Commission semble traduire une vision strictement industrielle, fondée sur le modèle verticalisé et centralisé des grandes entreprises éditrices d'une informatique privatrice. Ce projet représente une menace très sérieuse pour le logiciel libre, comme en témoigne notamment une lettre ouverte cosignée par un ensemble d'organisations actrices de l'écosystème du logiciel libre à l'échelle européenne.

La sécurité informatique, dès lors qu'elle est un outil au service des utilisatrices et utilisateurs, maîtrisée par elles et eux, est une condition importante de l'exercice des libertés informatiques dans leur ensemble. Les différentes méthodes de développement propres au logiciel libre, fondées notamment sur la transparence, la reproductibilité et la collaboration, qui s'apparentent le plus, en ce sens, à la méthode scientifique, sont bien davantage vectrices de sécurité qu'un modèle basé sur une approche verticale et opaque. Quoi qu'il en soit, la sécurité ne peut-être un prétexte suffisant par lui-même pour justifier la réduction des libertés fondamentales. Toute mesure de « sécurité » se doit de répondre aux principes de proportionnalité et de stricte nécessité, c'est vrai pour l'informatique comme partout ailleurs.

Agir pour une meilleure sécurité informatique est un objectif louable et, en tout état de cause, un levier politique que la Commission européenne a pleine légitimité à vouloir actionner. Toutefois, cela ne peut se faire de manière décorrélée de la réalité des pratiques et sans concertation. Dans une lettre ouverte adressée aux membres du Parlement européen et du Conseil de l’Union Européenne, aux représentants au Conseil de l'Union européenne, des organisations actrices de l'écosystème du logiciel libre à l'échelle européenne ont exprimé leur vive inquiétude et ont pointé l'absence de consultation des communautés du logiciel libre, alors même que « les logiciels libres représentent en Europe plus de 70 % des logiciels présents dans les produits contenant des éléments numériques ».

La Commission veut donc imposer de manière verticale une méthodologie basée sur un système de « norme CE », adossée à une très forte responsabilité de celles et ceux qui produisent du code et de celles et ceux qui le diffusent. Toute personne produisant ou diffusant du code serait ainsi individuellement responsable de la sécurité de ce code, dans le cadre des obligations découlant du règlement. Or, la plupart des logiciels libres sont développés avec des moyens dérisoires, par des bénévoles ou de petites structures, et n’ont pas la capacité financière et humaine de mettre en œuvre les processus lourds et complexes qu’induirait le projet de règlement, notamment en termes de certification.

Position d'autant plus paradoxale que la Commission européenne semble pourtant reconnaître l'importance des logiciels libres dans le socle technologique qui sous-tend Internet, notamment du point de vue des enjeux de sécurité. Elle avait ainsi mené des projets visant justement à soutenir la sécurité des logiciels libres critiques, notamment l'initiative EU-FOSSA, European Union Free and Open Source Software Auditing, qui accordait des primes pour la détection de failles de sécurité dans des logiciels libres utilisés par les institutions européennes1. Pourtant, le Cyber Resilience Act disqualifierait ce socle critique en Europe au lieu de participer à sa sécurisation. Dans le même temps, ce socle technologique continuera à être utilisé et développé dans le reste du monde. Par effet de bord, la Commission va sérieusement démunir et handicaper l’industrie européenne.

Les organisations signataires de la lettre ouverte et notamment le CNLL (l'Union des entreprises du numérique ouvert) dans son communiqué, s'alarment du risque que fait porter le Cyber Resilience Act sur la filière européenne du logiciel libre, qui représente, rappelle le CNLL, « 30 milliards d’euros de chiffre d’affaires direct et environ 100 milliards d’euros d’impact économique total ». En forçant une responsabilité lourde sur les éditeurs de logiciels libres – sans considération de possible relation contractuelle avec les utilisateurs et utilisatrices –, ce projet semble témoigner d'une méconnaissance profonde des logiciels libres, des méthodes de développement qui leur sont propres, ainsi que des communautés qui les font vivre. On rappellera, par exemple, que les acteurs et actrices du logiciel libre n'ont pas attendu la Commission pour proposer des contrats de maintenance et/ou d'assurance, distincts du développement du code.

Dans son projet de règlement, la Commission cherche visiblement à donner des gages vis-à-vis des logiciels libres. Mais, loin de convaincre, celle-ci témoigne, ici encore, d'une méconnaissance importante. Ainsi, dans un des considérants de principe – et non pas dans un article à part entière – le règlement prévoit une exception pour les logiciels libres développés et distribués dans le cadre d'activités non commerciales. Ces activités non commerciales sont définies de manière très restrictive, ce qui rend presque inopérante l'exception2. À titre d'exemple, elle ferait, entre autres, tomber sous le coup des lourdes obligations prévues par le texte les codes publiés sur les plateformes type GitHub et GitLab puisque celles-ci proposent, par ailleurs, des services payants à leurs utilisateurs et utilisatrices.

Le Cyber Resilience Act risquerait d'avoir un effet dissuasif délétère sur le développement et l'utilisation des logiciels libres en Europe et sans doute, par répercussion, à une échelle plus globale. On imagine ainsi aisément que des entreprises puissent d'elles-mêmes exclure le recours à des composants libres, tiers, de leurs propres solutions au profit de logiciels privateurs, préférant laisser à l'éditeur le soin de se conformer aux obligations du règlement, plutôt que de se charger elles-mêmes d'une maintenance pro-active de ces composants tiers.

L'April rappelle la Commission européenne à ses prises de positions passées sur le logiciel libre 3, qui se voulaient, selon elle, ambitieuses, alors que la proposition de Cyber Resilience Act traduit plutôt une perception verticale et centralisée de l'informatique. Si elle ne veut pas porter un grave coup à l'ensemble des vertus du logiciel libre qu'elle prétend elle-même défendre (ouverture, souveraineté, innovation, etc.), elle se doit d'écouter très attentivement les actrices et acteurs concernés et amender en profondeur son projet.

• 1. En janvier 2019, l'Union européenne ouvre la chasse aux failles dans les logiciels libres
• 2. Voir, par exemple l'analyse de l'OFE, Open Forum Europe (en anglais)
• 3. Lire le communiqué de l'April sur la stratégie de la Commission sur « l'octroi de licences open source et la réutilisation des logiciels de la Commission ».

Le décret d'application de la loi du 2 septembre 2022 « visant à renforcer le contrôle parental » a été publié au journal officiel le 13 juillet 2023. L'April s'était mobilisée, avec succès, sur cette loi pour obtenir de meilleures garanties pour les libertés informatiques des personnes souhaitant acquérir des équipements vendus sans système d'exploitation. Malheureusement le décret, en remplaçant un mot, prévoit des garanties inférieures à celles inscrites dans la loi en ce qui concerne la faculté de désinstaller le dispositif de contrôle parental, et cela, malgré notre signalement.

L'article L34-9-3 du code des postes et des communications électroniques, crée par la loi du 2 septembre 2022, impose aux vendeurs d'équipements informatiques vendus avec un système d'exploitation la présence d'un dispositif de contrôle parental pré-installé et activable par les personnes l'acquérant. Il dispose que « l'activation, l'utilisation et, le cas échéant, la désinstallation de ce dispositif sont permises sans surcoût pour l'utilisateur. ».

Suite à la promulgation de la loi, une consultation a été conduite dans le cadre de l'élaboration du projet de décret d'application. L'April y a contribué, notamment pour signaler ce qui apparaît comme une erreur : là où la loi prévoit le droit pour les personnes utilisatrices de désinstaller le logiciel de contrôle parental pré-installé sur leur équipement, le décret se contente de ne prévoir qu'une désactivation du dispositif.

Malheureusement, malgré notre signalement, répété, le terme « désactivation » est resté dans le décret officiellement publié le 13 juillet, en contradiction donc avec la loi. La distinction entre « désinstallation » et « désactivation » est évidemment loin d'être anodine, les parlementaires ayant voté pour une protection plus forte des droits des utilisateurs et utilisatrices, leur garantissant le droit de ne pas se voir imposer la présence d'un logiciel qu'ils et elles ne souhaitent pas sur leur machine.

La loi reste bien sûr de valeur supérieure au décret, qui ne correspond qu'à sa traduction plus opérationnelle par le pouvoir administratif. Toutefois, le décret correspond à la manière dont sera mise en œuvre la loi. Cette erreur d'adaptation des dispositions de la loi nous interpelle, et il conviendra d'être vigilant sur la manière dont sera appliquée cette nouvelle obligation par les fabricants et contrôlée par les services administratifs en charge de son exécution.

Le décret doit entrer en vigueur 12 mois après sa publication, soit en juillet 2024.

Le Cyber Resilience Act est un projet de règlement européen visant à renforcer les règles en matière de cybersécurité afin de garantir une plus grande sécurité des produits matériels et logiciels en Europe. Projet, tel que présenté par la Commission européenne, que l'April avait qualifié d'épée de Damoclès sur le logiciel libre puisque il faisait peser une très lourde responsabilité sur toutes celles et ceux qui produisent du code et qui le diffusent. L'April a également relayé une lettre ouverte cosignée par un ensemble d'organisations actrices de l'écosystème du logiciel libre à l'échelle européenne. Point d'étape alors que le Parlement et le Conseil de l'Union européenne ont avancé sur le sujet et que les négociations interinstitutionnelles auront, semble-t-il, lieu à l'automne.

La procédure législative européenne a cela de particulier que les textes qu'elle produit sont le résultat d'un équilibre trouvé entre trois institutions : la Commission européenne qui propose des projets de directive ou de règlement, le Conseil de l'UE (réunion des représentants des gouvernements des différents États-membres) et du Parlement. Après une navette législative plus ou moins longue entre ces deux dernières, les trois institutions mènent des négociations interinstitutionnelles, souvent appelées trilogues, dans l'objectif de produire un texte de consensus qui sera enfin ratifié par les parlementaires.

Depuis que l'April a qualifié le Cyber Resilience Act d'« épée de Damoclès », la procédure législative a suivi son cours.

Au Parlement, c'est la commission ITRE (Commission de l'industrie, de la recherche et de l'énergie) qui a été saisie au fond. Elle a donc la responsabilité de la conduite des travaux sur ce texte pour le Parlement, notamment dans le cadre du trilogue à venir. Le 19 juillet, cette commission a voté sa version amendée du texte. Malheureusement, ses amendements ne contribuent aucunement à clarifier la situation pour les logiciels libres. Plus précisément, elle a adopté deux nouveaux considérants – 10a et 10b – qui, d'une part, apportent de la confusion en prenant deux extrêmes en exemple : le cas d'une communauté de développement complètement décentralisée sans qu'aucune entreprise n'ait de pouvoir de décision et celui d'un logiciel libre développé majoritairement par une entreprise qui, elle seule, dégage des revenus. Il reste beaucoup d'incertitudes pour tout l'entre-deux existant, en particulier pour les petites et moyennes entreprises du Libre. D'autre part, les donations récurrentes par des entités commerciales seraient de nature à qualifier une activité commerciale… 1
Lire le texte de la commission ITRE (en anglais).

Particularité supplémentaire : là où, habituellement, le texte issu de la commission au fond devrait être débattu et voté en séance plénière, avant de poursuivre la navette législative, ITRE a simultanément voté, conformément à l'article 71 du règlement intérieur du Parlement, que le texte qu'elle a voté servirait directement de base aux négociations interinstitutionnelles. Cette entrée directement en négociation devra toutefois être adoptée par le Parlement qui siégera à nouveau à compter du 11 septembre 2023.

Il convient justement de noter que parallèlement à cela la commission IMCO (Commission du marché intérieur et de la protection des consommateurs), saisie pour avis, a également voté sa position sur le projet de règlement. Le texte voté semblerait constituer une sortie de crise intéressante, clarifiant les termes, particulièrement la notion « d'activité commerciale », et les responsabilités, notamment en les faisant avant tout reposer sur le fabricant d'un « produit final » incluant des composantes logicielles. Le texte d'IMCO a également le mérite d'amender non seulement le considérant 10, mais aussi l'article 2 sur le champ d'application du projet de règlement. Il serait donc regrettable que le Parlement ne puisse débattre et voter à la lumière de cette position divergente. Espérons que l'avis de la commission IMCO sera lu avec attention et qu'il éclairera utilement les travaux du trilogue le cas échéant. Lire le texte de la commission IMCO.

Du côté du Conseil de l'UE, la situation semble meilleure. Adopté le 13 juillet 2023, son texte reprend en profondeur le considérant 10 de la proposition de la Commission, afin de le rendre plus clair et didactique. Il pose en principe de base que c'est l'activité commerciale qui fait tomber sous le coup du règlement, il pose plus clairement ce qui caractérise une activité commerciale et il définit les logiciels libres tout en réaffirmant que ce n'est que s'ils sont fournis dans le cadre d'une activité commerciale qu'ils sont concernés. Le texte exclut par ailleurs explicitement les « gestionnaires de paquets », « hébergeurs de code » ou les « plateformes de collaboration » agissant en dehors d'activités commerciales. Le texte du Conseil n'amende en revanche pas l'article 2 sur le champ d'application. Lire le texte du Conseil (en anglais).

Il semble trop tôt pour dire que l'épée de Damoclès n'est plus suspendue au-dessus du logiciel libre, néanmoins ces réactions institutionnelles nous confirment à minima que les craintes de « l'écosystème du logiciel libre » ont été, si ce n'est écoutées, du moins entendues. Reste à voir sur quelles bases le Parlement participera au trilogue, et ce qui en ressortira… L'étape du trilogue étant, par ailleurs, notamment connue pour son faible niveau de transparence.

• 1. Pour un point de vue plus détaillé sur les problèmes posés par le texte de la commission ITRE, vous pouvez lire le billet de Stéfane Fermigier sur LinuxFR.