Mon logiciel est gratuit : suis-je quand même concerné par le CRA ?

Réponse courte : souvent oui. C'est l'un des malentendus les plus fréquents sur le Cyber Resilience Act (CRA), et il coûte cher à ceux qui s'y trompent.

Cet article suppose que votre logiciel est bien un « produit » au sens du CRA — ce qui n'est pas automatique pour un SaaS pur, sans rien d'installé chez l'utilisateur (voir notre article dédié à ce critère). Si c'est votre cas, commencez par vérifier ce point avant de vous demander si la gratuité vous exempte.

Pour un aperçu général de qui est concerné par le CRA, voir notre article Cyber Resilience Act : ce qui change pour les éditeurs de logiciels.

Ce que dit vraiment le texte

Le règlement s'applique à tout produit « fourni pour être distribué ou utilisé sur le marché de l'Union dans le cadre d'une activité commerciale, à titre onéreux ou gratuit » (article 3§22 du règlement (UE) 2024/2847).

Autrement dit : la question n'est pas « est-ce payant ? ». La question est « y a-t-il une activité commerciale derrière ? » — et un logiciel gratuit peut très bien en cacher une.

Ce qui compte vraiment : l'intention commerciale, pas le prix

D'après les considérants 15 à 19 du règlement, sont notamment considérés comme une activité commerciale — même sans paiement direct de l'utilisateur :

• un logiciel financé par la publicité
• un logiciel qui collecte et exploite des données au-delà du strict nécessaire à son fonctionnement
• une offre freemium, avec une version payante en option
• un support technique payant, même si le logiciel de base est gratuit
• l'acceptation de dons dépassant les coûts réels de développement

Si l'un de ces cas vous concerne, votre logiciel gratuit entre dans le champ du CRA, au même titre qu'un produit payant.

Ce qui sort vraiment du champ

Ce n'est pas la publication ou la diffusion du logiciel qui déclenche le CRA — c'est l'activité commerciale derrière, telle que définie à l'article 3§22 et au considérant 15 du règlement. Ces textes listent les signaux de commercialité (prix, publicité, monétisation, dons excessifs) sans jamais mentionner le fait que le logiciel soit distribué ou non — seule l'intention commerciale compte.

Le considérant 16 va plus loin et donne un raisonnement transposable à un logiciel totalement gratuit : une rétribution perçue « à la seule fin de récupérer les coûts réels » ne constitue pas, à elle seule, une activité commerciale. Si couvrir tout juste ses coûts n'est pas commercial, un logiciel entièrement gratuit — qui ne récupère même pas ces coûts — l'est a fortiori tout aussi peu, tant qu'aucun autre signal de commercialité (publicité, données, dons excessifs…) n'est présent.

Nuance pratique selon que le code est ouvert ou fermé. Le texte ne distingue pas juridiquement les deux cas — le principe s'applique aux deux. Mais dans les faits, l'absence d'intention commerciale est plus facile à démontrer pour un logiciel libre, dont le code est public et vérifiable (considérant 18), que pour un logiciel gratuit à code fermé, où cette absence repose surtout sur une déclaration de bonne foi. Un cas légalement traité de la même façon, mais probatoirement plus délicat.

Ce qui fait basculer un projet dans le champ, dans tous les cas, ce n'est pas le fait de le publier — c'est le fait d'en tirer, ou de chercher à en tirer, un bénéfice commercial sous une forme ou une autre (voir la liste ci-dessus).

Et le logiciel libre et open source ?

Nuance à part, prévue spécifiquement par le règlement (article 24) : les fondations et organismes qui maintiennent un projet open source sans le monétiser eux-mêmes bénéficient d'un régime allégé.

Mais si vous éditez et monétisez un produit basé sur du logiciel libre — support payant, service hébergé, version entreprise — vous restez soumis aux règles standards. Le code étant ouvert ne change rien à la nature commerciale de votre activité.

En résumé

• Le CRA ne regarde pas le prix affiché. Il regarde l'intention commerciale.
• Publicité, données, freemium, dons, support payant : tout ça compte comme « commercial », même sans transaction directe.
• Ce n'est pas la publication qui déclenche le CRA — c'est l'activité commerciale. Un projet public, gratuit et non monétisé peut rester hors champ.

Toujours un doute sur votre cas ?

Le CRA n'est pas le seul règlement européen à connaître — voir aussi CRA, NIS2, RGPD : quelle différence, et lequel me concerne ?

Ces règles sont plus nuancées à l'application qu'à la lecture. Le diagnostic gratuit CRA Kit pose les bonnes questions dans l'ordre, pour votre situation précise — pas un cas générique.

Cet article est fourni à titre informatif et ne constitue pas un avis juridique.