Je suis tombé sur le génie du jour qui s'est vite empressé de me bloquer avant que je lui réponde... C'est dommage hein ?.... non je plaisante, je vais le faire ici Je disais donc que oui, un l'éditeur d'un logiciel porte des responsabilités (et je ne parle pas de 3js et un bout de php sur github)... Voici les textes qui encadrent leurs responsabilités cher @pink_adder 1. Le socle général : obligation de sécurité par défaut Code civil : art. 1245 et suivants (responsabilité du fait des produits défectueux) La directive 85/374/CEE transposée aux articles 1245 à 1245-17 du Code civil s'applique aux logiciels depuis l'arrêt CJUE Krone-Verlag du 10 juin 2021 et est confirmée par la directive (UE) 2024/2853 du 23 octobre 2024 sur la responsabilité du fait des produits défectueux, qui inclut explicitement les logiciels (transposition due en France au plus tard le 9 décembre 2026). Un logiciel qui n'offre pas "la sécurité à laquelle on peut légitimement s'attendre" est défectueux,donc engage la responsabilité civile de l'éditeur sans faute à prouver. Code civil : art. 1641 (garantie des vices cachés) et art. 1147 (obligation contractuelle) Tout contrat de licence/SaaS implique une obligation de moyens renforcée sur la sécurité. Une faille critique non patchée peut constituer un vice caché ou un manquement contractuel. 2. Données personnelles : la sécurité comme obligation légale stricte RGPD : art. 32 + Loi Informatique et Libertés (loi n° 78-17, art. 121) L'article 32 du RGPD impose des "mesures techniques et organisationnelles appropriées" au regard de l'état de l'art. Quand un éditeur édite un logiciel qui traite des données personnelles (donc 95 % des cas), il est soit responsable de traitement, soit sous-traitant (art. 28). Dans les deux cas, la sécurité est une obligation légale et non plus seulement contractuelle, sanctionnable jusqu'à 20 M€ ou 4 % du CA mondial. Article 226-17 du Code pénal Punit de 5 ans d'emprisonnement et 300 000 € d'amende le fait de traiter des données personnelles "sans mettre en œuvre les mesures prescrites par l'article 121 de la loi du 6 janvier 1978". C'est l'obligation de sécurité… avec sanction pénale. 3. La Loi de Programmation Militaire 2024-2030 : l'obligation spécifique aux éditeurs C'est le texte le plus récent et le plus direct. La loi n° 2023-703 du 1er août 2023, dans son article 66, crée une obligation inédite : les éditeurs doivent notifier aux utilisateurs du logiciel tout incident ou vulnérabilité significatif, dans un délai fixé par l'ANSSI. À défaut, l'ANSSI peut enjoindre l'éditeur d'informer les utilisateurs, informer elle-même les utilisateurs de la vulnérabilité ou rendre publiques les vulnérabilités logiciels ainsi que l'injonction émise. L'Agence pour la protection des programmes Concrètement, codifié aux articles L. 2321-4-1 et suivants du Code de la défense : Notification à l'ANSSI de toute vulnérabilité significative découverte Notification aux utilisateurs dans un délai défini par l'ANSSI Pouvoir de name & shame par l'ANSSI en cas de manquement 4. NIS2 transposée : le nouveau régime structurant La directive européenne NIS2 (2022/2555) remplace NIS de 2016 et élargit massivement le périmètre des entreprises soumises à des obligations de cybersécurité. Transposée en France via la loi du 30 juillet 2025 et complétée par décret en novembre 2025, elle s'applique pleinement depuis 2026. Le véhicule est la loi "Résilience" qui transpose conjointement NIS2, DORA et REC. Weesec 5. Le Cyber Resilience Act (pour 2027) Le règlement (UE) 2024/2847 du 23 octobre 2024 (CRA) impose à tout produit comportant des éléments numériques mis sur le marché européen : Security by design et by default Gestion des vulnérabilités sur toute la durée de support Fourniture d'un SBOM (Software Bill of Materials) Marquage CE conditionné à la conformité cyber Notification des vulnérabilités activement exploitées sous 24h à l'ENISA Application générale au 11 décembre 2027, notification obligatoire dès 11 septembre 2026. Sanctions jusqu'à 15 M€ ou 2,5 % du CA mondial. Et je vous épargne les textes et règlements sectoriels, type DORA, AI Act ou SECNUM Cloud.