Logiciels cryptographiques : comprendre les formalités d’importation et d’exportation auprès de l’ANSSI

Ce qu’il faut retenir

En France, l’utilisation des moyens de cryptologie est libre. En revanche, leur fourniture, leur importation, leur transfert intracommunautaire ou leur exportation peuvent être soumis à des formalités auprès de l’Agence nationale de la sécurité des systèmes d’information (ANSSI).

Le chiffrement est intégré dans une très grande variété de logiciels, tels que les VPN, les solutions de cybersécurité, les messageries sécurisées ou les applications cloud par exemple. Selon les fonctions cryptographiques du logiciel et l’opération envisagée, une déclaration ou une demande d’autorisation auprès de l’ANSSI peut être nécessaire

Deux réglementations doivent être distinguées : le régime français des moyens de cryptologie, issu de la loi pour la confiance dans l’économie numérique (LCEN), et le régime européen des biens à double usage. Ces deux régimes sont complémentaires et peuvent conduire, pour une même exportation, à accomplir des démarches à la fois auprès de l’ANSSI et du Service des biens à double usage (SBDU). Le régime applicable dépend principalement des fonctions cryptographiques du logiciel et de l’opération envisagée.

Cet article concerne les formalités à accomplir auprès de l’ANSSI. Les formalités relatives aux biens à double usage sont abordées dans un second article.

1. Moyens et prestations de cryptologie : deux notions à distinguer

L’article 29 de la LCEN définit un moyen de cryptologie comme “tout matériel ou logiciel conçu ou modifié pour transformer des données, qu'il s'agisse d'informations ou de signaux, à l’aide de conventions secrètes ou pour réaliser l’opération inverse avec ou sans convention secrète. Ces moyens de cryptologie ont principalement pour objet de garantir la sécurité du stockage ou de la transmission de données, en permettant d’assurer leur confidentialité, leur authentification ou le contrôle de leur intégrité.”

Une prestation de cryptologie comprend “toute opération visant à mettre en œuvre, pour le compte d’autrui, des moyens de cryptologie.”

Cette distinction est essentielle car la fourniture d’un logiciel et la fourniture d’un service mettant en œuvre ce logiciel ne relèvent pas exactement des mêmes formalités.

1.1 La fourniture de moyens de cryptologie

L’article 30 de la LCEN pose le principe de la liberté d’utilisation des moyens de cryptologie.

Il prévoit également un régime de liberté en matière de fourniture, de transfert depuis ou vers un État-membre de l’UE et d’importation ou d’exportation de moyens de cryptologie assurant exclusivement des fonctions d’authentification ou de contrôle d’intégrité.

En revanche, lorsqu’un logiciel n’assure pas exclusivement des fonctions d’authentification ou de contrôle d’intégrité, mais permet par exemple d’assurer également la confidentialité des données, sa fourniture, son importation, son transfert ou son exportation peuvent être soumis à déclaration ou à autorisation auprès de l’ANSSI.

Les formalités incombent au fournisseur ou au primo-importateur.

1.2 La fourniture de prestations de cryptologie

La fourniture d’une prestation de cryptologie est soumise à déclaration préalable auprès de l’ANSSI, sauf si elle relève d’une catégorie dispensée par l’annexe 1 du décret du 2 mai 2007. (1) Les conditions de déclaration sont précisées dans le décret. Il convient donc de distinguer la commercialisation d’un logiciel de sa mise en œuvre, pour le compte d’un client, dans le cadre d’un service.

2. Quels types de logiciels sont concernés ?

Plusieurs types de logiciels sont susceptibles de relever de la réglementation sur les moyens de cryptologie.

2.1 Logiciels de chiffrement et logiciels métiers

Peuvent être concernés, selon leurs caractéristiques techniques, les logiciels de chiffrement de fichiers ou de bases de données, les logiciels de sauvegarde chiffrée, les VPN, les messageries sécurisées, les solutions de gestion de clés ou certains outils de cybersécurité.

Le seul usage d’un algorithme cryptographique ne permet toutefois pas de déterminer le régime applicable. L’éditeur ou le primo-importateur devra être en mesure d’identifier la finalité des fonctions utilisées (authentification, signature, intégrité, confidentialité), les algorithmes, les longueurs de clés, les fonctionnalités accessibles à l’utilisateur et le caractère principal ou accessoire du chiffrement.

Cette analyse est particulièrement importante pour les logiciels de gestion, ERP ou applications métiers dont la cryptographie n’est qu’une fonction technique de sécurisation : le nom commercial ou la fonction générale du produit ne suffisent pas à déterminer son classement.

2.2 Les moyens de cryptanalyse

La cryptanalyse vise les techniques permettant de mettre en échec des mécanismes cryptographiques afin d’obtenir des informations protégées, telles que du texte en clair, des mots de passe ou des clés cryptographiques. Les logiciels permettant de telles opérations ne constituent pas une catégorie autonome au titre de la LCEN. Ils font toutefois l’objet d’un contrôle renforcé et doivent être identifiés séparément lors du classement.

3. Le classement du moyen détermine les formalités à accomplir

Le régime applicable dépend à la fois des fonctions cryptographiques et de l’opération envisagée : fourniture, importation, transfert intracommunautaire ou exportation. Il faut vérifier successivement l’existence d’une exemption, l’éligibilité au classement « grand public », puis, à défaut, le régime de déclaration ou de demande d’autorisation.

3.1 Les moyens de cryptologie exemptés

L’article 1er du décret du 2 mai 2007 dispense certaines catégories de moyens des formalités préalables de déclaration ou d’autorisation, dans les conditions précisées dans son annexe 1. Ces exemptions concernent notamment certains moyens dont les fonctions cryptographiques sont limitées, standardisées ou accessoires, ainsi que certains usages ou opérations spécifiques.

L’annexe 1 vise par exemple, certains équipements de radiocommunication ou audio-vidéo, des dispositifs de protection contre la copie, des moyens utilisés pour l’administration d’un système d’information ainsi que certains moyens importés ou transférés à des fins personnelles, de développement, de validation ou de démonstration.

L’exemption dépend toujours des caractéristiques techniques du moyen et de l’opération concernée : l’annexe 1 du décret doit donc être vérifiée au cas par cas.

3.2 Le classement « grand public »

Certains moyens largement diffusés, relevant des catégories 1 ou 2 de l’annexe 2 du décret, peuvent bénéficier du classement « grand public » s’ils remplissent trois conditions cumulatives : mise à disposition courante du public par vente sur stock sans restriction, fonctionnalité cryptographique non facilement modifiable par l’utilisateur et installation possible sans assistance importante du fournisseur. (2)

Le classement grand public repose donc sur les modalités de commercialisation, de modification et d’installation du produit, non sur la qualité de consommateur ou de professionnel de l’utilisateur.

La demande de classement grand public est faite par le fournisseur lors de la déclaration et doit être validée par l’ANSSI. L’attestation obtenue permet ensuite d’exporter le moyen sans demander d’autorisation d’exportation.

3.3 La déclaration

L’importation en France et la fourniture en France d’un moyen de cryptologie donnent lieu à déclaration, sauf exemption. Sont également concernées certaines opérations de transfert ou d’exportation prévues par l’annexe 2 du décret, ainsi que la fourniture de prestations de cryptologie non dispensées.

La déclaration doit être effectuée au moins un mois avant l’opération. Ce délai est porté à deux mois pour la fourniture d’une prestation de cryptologie ou l’exportation d’un moyen vers un État tiers. Si le dossier est incomplet, le délai recommence à courir après réception des éléments complémentaires. En l’absence d’objection à l’expiration du délai, l’opération peut être réalisée. L’ANSSI peut délivrer une attestation permettant de justifier l’accomplissement de la formalité.

Le formulaire de déclaration de moyen de cryptologie est disponible sur le site de l’ANSSI. Pour  les prestations de cryptologie, la déclaration est effectuée via le formulaire figurant en annexe II de l’arrêté du 29 janvier 2015. (3)

Le décret ne fixe pas de durée de validité déterminée pour la déclaration. Une évolution substantielle du logiciel ou de ses fonctions cryptographiques doit néanmoins conduire à vérifier si la formalité initiale reste suffisante ou si une nouvelle déclaration de mise à jour doit être accomplie.

3.4 La demande d’autorisation

Le transfert depuis la France vers un autre État membre de l’Union européenne et l’exportation vers un État tiers d’un moyen de cryptologie n’assurant pas exclusivement des fonctions d’authentification ou d’intégrité sont soumis à autorisation, sauf si une exemption ou le régime déclaratif prévu par le décret est applicable.

Il convient donc, avant de déposer une demande, de vérifier successivement les fonctions cryptographiques du moyen, l’opération envisagée et les catégories prévues aux annexes du décret.

La demande d’autorisation utilise le même formulaire que la déclaration. L’ANSSI dispose de quatre mois pour notifier sa décision lorsque le dossier est complet. Le dossier est réputé complet si aucune pièce complémentaire n’est demandée dans les deux mois suivant sa réception ; si des pièces sont demandées, le délai de quatre mois court à compter de leur réception. En l’absence de décision dans ce délai, le silence de l’administration vaut autorisation pour une durée d’un an.

L’autorisation d’exportation peut être délivrée pour une durée maximale de cinq ans. Elle doit être disponible lorsque l’exportateur doit ensuite solliciter une licence auprès du SBDU.

La demande d’autorisation peut être renouvelée dans les mêmes conditions que la demande initiale.

3.5 Tableau récapitulatif : déclaration ou autorisation ANSSI

En résumé, la déclaration constitue le régime de principe pour les opérations d’entrée et de mise à disposition en France. Pour les opérations de sortie depuis la France, il convient de vérifier si le moyen bénéficie d’une exemption ou du régime déclaratif prévu à l’annexe 2 du décret ; à défaut, une autorisation est requise. Les moyens de cryptanalyse font l’objet d’un régime renforcé : leurs sorties de France sont soumises à autorisation.

La détermination du régime ne peut donc pas être faite à partir de la seule destination du logiciel : elle suppose de croiser la nature de l’opération, les fonctions cryptographiques et les catégories prévues aux annexes du décret.

4. Les bons réflexes avant une opération portant sur un logiciel cryptographique

Avant toute opération concernant un logiciel cryptographique, il est recommandé de :

• identifier les fonctions cryptographiques du logiciel et vérifier s’il constitue un moyen de cryptologie ;

• vérifier si l’activité envisagée constitue également une prestation de cryptologie ;

• identifier l’opération concernée : fourniture, importation, transfert intracommunautaire ou exportation ;

• vérifier l’existence d’une exemption ou l’éligibilité au classement « grand public » ;

• préparer la documentation technique et anticiper les délais de déclaration ou d’autorisation ;

• réexaminer le classement lorsque les fonctions cryptographiques du logiciel évoluent.

La qualification réglementaire doit intervenir en amont de la commercialisation ou de l’expédition, et non au moment où l’opération doit être exécutée.

Le non-respect des formalités relatives aux moyens de cryptologie expose à des sanctions pénales.

Pour les personnes physiques, l’absence de déclaration d’un moyen de cryptologie est punie d’un an d’emprisonnement et de 15.000€ d’amende. L’exportation ou le transfert sans l’autorisation requise est puni de deux ans d’emprisonnement et de 30.000€ d’amende. La fourniture sans déclaration d’une prestation de cryptologie assurant des fonctions de confidentialité est également punie de deux ans d’emprisonnement et de 30.000€ d’amende.

Pour les personnes morales, le montant maximal de l’amende est porté à 75.000€ pour la première infraction et à 150.000€ pour les deux autres. (4)

* * * * * * * * * * *

(1) Décret n°2007-663 du 2 mai 2007 pris pour l'application des articles 30, 31 et 36 de la loi n°2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique et relatif aux moyens et aux prestations de cryptologie (“décret relatif aux moyens et aux prestations de cryptologie”)

(2) Annexe 2 du décret n°2007-663 du 2 mai 2007

(3) Voir l’arrêté du 29 janvier 2015 définissant la forme et le contenu des dossiers de déclaration et de demande d’autorisation d’opérations relatives aux moyens et aux prestations de cryptologie

(4) Article 35 de la LCEN et articles 131-38 et 131-39 du code pénal

Bénédicte DELEPORTE

Avocat

Deleporte Wentz Avocat

www.dwavocat.com

Août 2026