La Directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux introduit des obligations de contrôle continu qui concernent directement les développeurs ou distributeurs de logiciels et de services connexes. Pour les fabricants, démontrer que le produit est surveillé et mis à jour au fil du temps n’est plus une simple bonne pratique : c’est une exigence assortie de conséquences juridiques. L’évaluation des vulnérabilités (vulnerability assessment) est l’un des outils les plus efficaces pour construire et documenter cette preuve.

Cet article fait partie du mini-guide sur la Directive (UE) 2024/2853. Pour une vue d’ensemble, consultez le hub dédié à la directive sur la responsabilité des produits et l’analyse approfondie sur les produits numériques et logiciels connexes.

Contrôle après-vente : ce que la directive exige du fabricant

La Directive 2024/2853 établit que le fabricant est tenu de surveiller le produit pendant toute la période où il est en mesure de fournir des mises à jour. Si un défaut dépend de l’absence de mises à jour ou d’améliorations logicielles nécessaires à la sécurité, la responsabilité incombe au fabricant même après la vente. L’omission de mises à jour visant à corriger des vulnérabilités de cybersécurité n’exonère pas le producteur de sa responsabilité civile.

Dans ce contexte, l’évaluation des vulnérabilités joue un rôle concret : elle permet d’identifier les vulnérabilités présentes dans le produit, de les classer par priorité et d’initier un processus structuré de remédiation. La périodicité des scans et la gestion du backlog des corrections deviennent des éléments documentables, utiles pour prouver que le contrôle continu a été effectivement exercé.

Backlog de remédiation et gestion des mises à jour

L’un des aspects les plus pertinents pour les fabricants de logiciels est la gestion du backlog des vulnérabilités identifiées. Il ne suffit pas de détecter les problèmes : il faut tracer les décisions prises pour chaque vulnérabilité, les délais d’intervention et les justifications des éventuels reports. Un processus d’évaluation des vulnérabilités bien documenté produit des rapports périodiques qui peuvent être utilisés comme preuve en cas de contestation ou de divulgation.

La directive ne prescrit pas d’outils spécifiques, mais le lien avec le Cyber Resilience Act — également mentionné par la Loi de délégation européenne 2025 (Loi 36/2026) — introduit des exigences techniques précises pour les produits comportant des éléments numériques. Le non-respect de ces normes entraîne, au civil, une présomption automatique de défectuosité du produit. Disposer d’un processus d’évaluation des vulnérabilités traçable est donc également pertinent pour la défense en justice.

Dommages indemnisables et impact sur les données

La Directive 2024/2853 élargit les dommages indemnisables en incluant, pour la première fois, la destruction ou la corruption de données non utilisées à des fins professionnelles. Une évaluation des vulnérabilités efficace réduit le risque d’incidents compromettant les données ou les bases de données des utilisateurs finaux. La prévention de tels événements diminue la probabilité de devoir supporter à la fois les coûts matériels de restauration et les conséquences juridiques découlant de la défectuosité du produit.

Pour approfondir les implications spécifiques pour le logiciel, consultez l’article sur la responsabilité du logiciel dans la directive UE. Pour comprendre comment le test d’intrusion s’intègre à l’évaluation des vulnérabilités dans la gestion des preuves, lisez l’analyse sur le test d’intrusion et la responsabilité du fabricant.

FAQ : Directive (UE) 2024/2853 et évaluation des vulnérabilités

• L’évaluation des vulnérabilités est-elle obligatoire par la loi en vertu de la Directive 2024/2853 ?
• La directive ne nomme pas explicitement l’évaluation des vulnérabilités, mais impose au fabricant de surveiller le produit et de publier des mises à jour de sécurité. L’évaluation des vulnérabilités est l’un des outils les plus adaptés pour satisfaire cette obligation de manière documentable et vérifiable.
• Quand l’obligation de contrôle continu entre-t-elle en vigueur ?
• La Directive 2024/2853 sera pleinement applicable à partir du 9 décembre 2026. Les fabricants opérant sur le marché de l’UE ont tout intérêt à entamer leurs processus de conformité suffisamment à l’avance.
• Que se passe-t-il si une vulnérabilité est identifiée mais non corrigée dans des délais raisonnables ?
• Si le dommage est imputable à une vulnérabilité connue et non corrigée, le fabricant peut être tenu pour responsable. La documentation du backlog de remédiation — avec les décisions prises et les justifications des reports — est un élément pertinent pour la défense en cas de contestation.
• Le Cyber Resilience Act s’applique-t-il aux mêmes entreprises ?
• Le Cyber Resilience Act s’applique aux produits comportant des éléments numériques mis sur le marché de l’UE et introduit des exigences techniques spécifiques, y compris celles relatives à la gestion des vulnérabilités. La Loi 36/2026 lie les deux instruments normatifs dans l’ordre juridique italien.

[Callforaction-VA-Footer]