Article considérant 34

(34) Lorsqu’il intègre des composants obtenus auprès de tiers à des produits comportant des éléments numériques au cours de la phase de conception et de développement, le fabricant devrait, pour que les produits soient conçus, développés et produits conformément aux exigences essentielles de cybersécurité énoncées dans le présent règlement, faire preuve de diligence raisonnable concernant ces composants, y compris les composants logiciels libres et ouverts qui n’ont pas été mis à disposition sur le marché. Le niveau approprié de diligence raisonnable dépend de la nature et du niveau du risque de cybersécurité associé à un composant donné et devrait, à cette fin, tenir compte d’une ou de plusieurs des mesures suivantes: vérifier, le cas échéant, que le fabricant d’un composant a démontré se conformer au présent règlement, y compris en s’assurant que le composant porte déjà le marquage CE; vérifier qu’un composant fait régulièrement l’objet de mises à jour de sécurité, par exemple en consultant l’historique de ses mises à jour de sécurité; vérifier qu’un composant est exempt des vulnérabilités enregistrées dans la base de données européenne des vulnérabilités créée en vertu de l’article 12, paragraphe 2, de la directive (UE) 2022/2555 ou dans d’autres bases de données publiques; réaliser des essais de sécurité supplémentaires. Les obligations en matière de gestion des vulnérabilités énoncées dans le présent règlement, que le fabricant doit respecter lors de la mise sur le marché d’un produit comportant des éléments numériques puis pendant la période d’assistance, s’appliquent aux produits comportant des éléments numériques dans leur entièreté, y compris à tous les composants intégrés. Lorsque, dans l’exercice de sa diligence raisonnable, le fabricant du produit comportant des éléments numériques décèle une vulnérabilité dans un composant, y compris un composant libre et ouvert, il devrait en informer la personne ou l’entité qui fabrique le composant ou en assure l’entretien, s’attaquer et remédier à la vulnérabilité et, le cas échéant, fournir à la personne ou à l’entité le correctif de sécurité appliqué.