Clauses contractuelles fournisseurs et clients

Vos obligations réglementaires ne s’arrêtent pas à votre périmètre technique : elles dépendent de la réactivité de vos fournisseurs. Le contrat est le seul instrument qui permette de la garantir.

Le principe de la cascade des délais

Vous devez émettre une alerte précoce sous 24 heures. Si votre fournisseur vous prévient sous 72 heures, vous êtes en infraction sans avoir rien fait de mal. Les délais contractuels amont doivent donc être strictement inférieurs aux nôtres.

Votre obligation	Délai fournisseur à exiger
Alerte précoce sous 24 h	Notification sous 8 h de toute vulnérabilité activement exploitée
Notification sous 72 h	Informations circonstanciées sous 36 h
Rapport final sous 14 j après correctif	Correctif ou contournement documenté sous 7 j

Clauses à insérer dans vos contrats d’achat

Nomenclature logicielle

• Fourniture d’un SBOM au format CycloneDX ou SPDX, dans une version minimale précisée.
• À chaque livraison de version, sans demande de votre part.
• Engagement sur la profondeur — dépendances transitives comprises — et déclaration honnête de complétude.
• Fourniture des licences en identifiants SPDX.

Sécurité et vulnérabilités

• Délais de notification selon la cascade ci-dessus.
• Délais de correction par niveau de criticité, avec pénalités.
• Fourniture des VEX ou d’une position motivée sur les vulnérabilités non corrigées.
• Accès aux avis de sécurité, dans un format lisible par machine si possible.

Cycle de vie

• Période de support au moins alignée sur celle que vous engagez envers vos clients.
• Préavis de fin de support, d’une durée permettant une migration — douze mois au minimum pour un composant central.
• Notification du changement de mainteneur ou de licence.

Conformité

• Engagement de conformité au CRA pour les composants qui sont eux-mêmes des produits au sens du règlement, et fourniture de la déclaration UE de conformité.
• Droit d’audit et accès aux résultats des tests de sécurité.
• Garantie de titularité des droits et des licences, et fourniture des informations permettant de respecter les obligations d’attribution.

Continuité

• Réversibilité et, pour les composants critiques, dépôt du code source auprès d’un tiers séquestre, avec conditions de libération incluant la cessation d’activité et l’arrêt du support.

Responsabilité

• Indemnisation en cas de non-conformité imputable au fournisseur, y compris des sanctions administratives que vous encourriez de ce fait.
• Articulation avec les plafonds de responsabilité : un plafond exprimé en pourcentage du contrat annuel est sans commune mesure avec une amende assise sur votre chiffre d’affaires mondial. Ce déséquilibre doit être identifié et arbitré, pas ignoré.

Clauses à négocier dans vos contrats de vente

• Périmètre du support : ce qui est couvert, ce qui ne l’est pas, et la date de fin de la période de support, exprimée au moins par le mois et l’année.
• Modalités de fourniture du SBOM : format, fréquence, canal, confidentialité — voir Diffusion et confidentialité.
• Canal d’information en cas de vulnérabilité, et engagement du client à maintenir des coordonnées valides — vous ne pouvez pas informer un client injoignable.
• Obligation de mise à jour du côté client : vos correctifs ne protègent que s’ils sont appliqués.
• Limitation de responsabilité cohérente avec votre exposition réglementaire.
• Traitement des versions non maintenues après la fin de la période de support.

Le cas des composants libres

Il n’y a pas de contrat, donc pas de clause. Aucune négociation n’est possible avec un projet communautaire, et lui demander un engagement de support est dépourvu de sens.

Le risque se traite donc par d’autres moyens :

1. la diligence à la sélection — voir Intégrer de l’open source ;
2. la surveillance continue de l’activité du projet et du changement de mainteneur ;
3. la capacité interne à reprendre la maintenance, forker ou remplacer ;
4. le cas échéant, le financement du projet amont, qui améliore sa viabilité sans créer d’obligation juridique à votre égard.

À dire clairement en interne. Un composant libre critique, maintenu par une seule personne, dans un produit couvert par une période de support de cinq ans, est un risque non transférable. Il ne peut être ni assuré, ni contractualisé — seulement provisionné ou supprimé.

Le clausier

Un clausier type en français et en anglais, tenu par la direction juridique, avec pour chaque clause : le texte, la justification réglementaire, le niveau de négociabilité, et la position de repli acceptable. C’est ce document qui permet aux achats de négocier sans solliciter le juridique à chaque contrat.