Logiciels cryptographiques et biens à double usage : quelles obligations auprès du SBDU ?

Ce qu’il faut retenir

Le régime européen relatif à l’exportation des biens à double usage est distinct du régime français de contrôle des moyens de cryptologie. Une même opération d’exportation d’un moyen de cryptologie peut donc être soumise à des formalités à la fois auprès de l’ANSSI et du SBDU.

L’exportation d’un logiciel intégrant des fonctions cryptographiques peut relever de deux réglementations distinctes : le régime français de la cryptologie, régi par la LCEN, impose selon les cas une déclaration ou une demande d’autorisation auprès de l’ANSSI ; le règlement du 20 mai 2021 sur les biens à double usage soumet certains logiciels et technologies à un contrôle à l’exportation. (1) Ces régimes poursuivent des finalités différentes mais peuvent se cumuler pour une même opération.

Un premier article était consacré aux formalités auprès de l’ANSSI. Le présent article expose le régime applicable aux logiciels cryptographiques en matière de biens à double usage, leur classement et les autorisations d’exportation susceptibles d’être requises.

1. Quand un logiciel cryptographique peut-il être qualifié de bien à double usage ?

Le règlement du 20 mai 2021 définit les biens à double usage comme “les produits, y compris les logiciels et les technologies, susceptibles d’avoir une utilisation tant civile que militaire ; ils incluent les biens susceptibles d’être utilisés aux fins de la conception, de la mise au point, de la fabrication ou de l’utilisation d’armes nucléaires, chimiques ou biologiques ou de leurs vecteurs, y compris tous les biens qui peuvent à la fois être utilisés à des fins non explosives et intervenir de quelque manière que ce soit dans la fabrication d’armes nucléaires ou d’autres dispositifs nucléaires explosifs.”

Les biens à double usage soumis à contrôle sont principalement énumérés à l’annexe I du règlement. Cette liste est actualisée au moins une fois par an afin de tenir compte de l’évolution des régimes internationaux de contrôle des exportations. La dernière mise à jour de l’annexe I date du 8 septembre 2025. (2) Certains biens non listés à cette annexe peuvent toutefois être soumis à autorisation dans les cas prévus aux articles 4, 5, 9 et 10 du règlement.

1.1 Les logiciels de sécurité de l’information

Les logiciels cryptographiques sont examinés au regard de la catégorie 5, partie 2 « Sécurité de l’information » de l’annexe I du règlement. Le classement dépend de critères techniques : fonctions cryptographiques, algorithmes employés, longueurs de clés, finalité des fonctions et notes applicables. Certains logiciels peuvent relever de la rubrique 5D002.

Le seul fait d’intégrer des algorithmes cryptographiques ne suffit donc pas à qualifier automatiquement un logiciel de bien à double usage contrôlé.

1.2 Les notes excluant certains biens du contrôle

L’annexe I comporte plusieurs notes techniques ayant pour effet d’exclure certains biens du contrôle lorsqu’ils remplissent les conditions prévues (mécanismes couramment qualifiés de « décontrôle »). La catégorie 5, partie 2 inclut une « Note cryptographique » pouvant soustraire certains logiciels à l’application de la rubrique 5D002, en fonction notamment de leur disponibilité sur le marché, de leurs modalités de commercialisation, de la possibilité pour l’utilisateur de modifier les fonctions cryptographiques et des conditions d’installation.

La note cryptographique doit être distinguée du classement “grand public” utilisé dans le cadre du régime français de la cryptologie. Bien que les deux mécanismes présentent certaines similitudes, ils relèvent de réglementations distinctes, à savoir la LCEN pour les moyens de cryptologie classés grand public et le règlement du 20 mai 2021 pour le contrôle européen des biens à double usage.

1.3 Le cas particulier des logiciels de cryptanalyse

Les logiciels conçus ou modifiés pour effectuer ou simuler des fonctions cryptoanalytiques peuvent relever de la rubrique 5D002. Certaines références relatives à la cryptanalyse figurent en outre à l’annexe IV, qui vise des biens particulièrement sensibles : leur transfert entre États membres de l’Union européenne est alors soumis à autorisation.

En conséquence, alors qu’un logiciel figurant uniquement à l’annexe I est en principe soumis à autorisation lors de son exportation hors de l’Union européenne, un logiciel relevant à la fois des annexes I et IV peut être soumis à autorisation pour son transfert entre États membres de l’Union européenne.

2. Comment déterminer le classement du logiciel ?

Il appartient en premier lieu à l’entreprise qui envisage l’exportation de déterminer le classement du logiciel à partir de la version en vigueur de l’annexe I, de ses définitions, rubriques et notes techniques.

2.1 Les critères à prendre en compte

Pour un logiciel cryptographique, l’analyse doit notamment porter sur :

·       la version du logiciel exportée, ses fonctions de chiffrement et leur finalité (authentification, intégrité, confidentialité, signature) ;

·       les algorithmes utilisés et, le cas échéant, les longueurs de clés ;

·       le caractère principal ou accessoire des fonctions cryptographiques et les fonctionnalités accessibles ou activables par l’utilisateur ;

·       les notes susceptibles d’exclure le logiciel du contrôle et

·       l’éventuelle présence de fonctions de cryptanalyse.

Cette analyse doit être renouvelée si les fonctionnalités ou mécanismes cryptographiques évoluent, en cas de nouvelle version majeure du logiciel ou lors de l’actualisation de la liste européenne des biens contrôlés.

2.2 Des biens non listés peuvent être soumis à contrôle

L’absence de classement à l’annexe I ne permet pas toujours de conclure à l’absence de contrôle. Le règlement prévoit plusieurs mécanismes applicables aux biens non énumérés à l’annexe I.

Les articles 4 et 5 instaurent en particulier des mécanismes communément qualifiés de clause « attrape-tout » : l’article 4 vise certains usages liés aux armes chimiques, biologiques ou nucléaires, certaines utilisations finales militaires dans un pays soumis à embargo ou l’incorporation dans certains équipements militaires exportés illicitement ; l’article 5 concerne certains biens de cybersurveillance susceptibles d’être destinés à la répression interne ou à la commission de violations graves et systématiques des droits de l’homme ou du droit humanitaire international.

2.3 En cas de doute sur le classement du logiciel : la demande hors licence

Lorsqu’une analyse technique a été réalisée mais qu’un doute subsiste sur le classement du logiciel ou la rubrique applicable, une demande hors licence (DHL) peut être déposée auprès du SBDU, via le portail Egide. Accompagnée d’une description du produit, cette demande permet notamment d’obtenir un avis sur son classement au regard de l’annexe I ou de solliciter l’administration sur l’éventuelle application d’une des clauses “attrape-tout”.

L’avis délivré par le SBDU sécurise le classement du bien à l’égard des autorités douanières françaises et européennes.

3. Dans quels cas une licence d’exportation est-elle nécessaire ?

Le régime applicable dépend d’abord du type de logiciel et de l’opération envisagée.

3.1 Exportation hors de l’Union européenne

Lorsqu’un logiciel figure à l’annexe I, son exportation hors de l’Union européenne est en principe soumise à autorisation. À noter que le contrôle ne se limite pas à l’expédition physique d’un support informatique : il peut aussi concerner la transmission électronique ou la mise à disposition immatérielle d’un logiciel ou d’une technologie, lorsque les conditions d’une exportation au sens du règlement sont réunies.

3.2 Transfert au sein de l’Union européenne

Les biens figurant uniquement à l’annexe I circulent au sein de l’Union européenne sans licence d’exportation.

Par exception, une autorisation est requise pour certains biens particulièrement sensibles figurant à l’annexe IV, notamment certaines catégories liées à la cryptanalyse.

3.3 Les différents types d’autorisations d’exportation

L’article 12 distingue quatre catégories d’autorisations d’exportation selon les opérations envisagées : l’autorisation individuelle, l’autorisation globale, l’autorisation générale nationale et l’autorisation générale d’exportation de l’Union.

Les deux premières font l’objet d’une instruction par le SBDU. L’autorisation globale s’adresse aux exportateurs réguliers et suppose en principe un programme interne de conformité (PIC). Le règlement fixe, pour les autorisations individuelles et globales, une durée de validité maximale de deux ans, sauf décision contraire de l’autorité compétente.

Les autorisations générales reposent sur une procédure simplifiée lorsque leurs conditions sont remplies.

3.4 Tableau récapitulatif

Les procédures ne sont donc pas identiques : les autorisations individuelles et globales font l’objet d’une demande et d’une instruction par le SBDU, tandis que les autorisations générales reposent sur un régime simplifié lorsque l’exportateur et l’opération remplissent les conditions prévues. Le délai de traitement dépend en conséquence du type d’autorisation et, pour les licences individuelles ou globales, de la complexité et de la sensibilité du dossier.

4. Quels contrôles effectuer avant l’exportation ?

Avant toute exportation d’un logiciel intégrant des fonctions cryptographiques, plusieurs vérifications doivent être réalisées en amont. Il convient :

·       d’identifier les fonctions cryptographiques du logiciel et vérifier s’il relève d’une rubrique de l’annexe I du règlement (catégorie 5, partie 2 “Sécurité de l’information”) ;

·       d’examiner les notes techniques applicables et la note cryptographique, ainsi que l’existence éventuelle de fonctions de cryptanalyse susceptibles d’entraîner un contrôle renforcé ;

·       de déterminer la nature de l’opération et la destination : exportation hors de l’Union européenne ou transfert intra-UE, en vérifiant dans ce dernier cas si le logiciel figure à l’annexe IV ;

·       d’identifier le destinataire, l’utilisateur final et l’utilisation finale et vérifier l’éventuelle application d’une clause “attrape-tout”, de sanctions internationales ou de mesures restrictives ;

·       de déterminer l’autorisation applicable. En cas de doute sur le classement, une demande hors licence (DHL) peut être déposée auprès du SBDU ;

·       de vérifier parallèlement les formalités auprès de l’ANSSI et prendre en compte les délais administratifs dans le traitement du dossier.

Le non-respect de la réglementation sur les biens à double usage expose à des sanctions importantes.

En vertu du l’article L.513-2 du code des douanes l'importation ou l'exportation sans déclaration de biens à double usage civil et militaire soumis à restrictions de circulation par le règlement du 20 mai 2021 sont punies de cinq ans d'emprisonnement et d'une amende de trois fois la valeur de l'objet de fraude.

Une irrégularité peut, par ailleurs, entraîner le blocage de l’instruction de la demande ou de la procédure de dédouanement. Pour certaines opérations portant sur des biens à double usage, les agents des douanes disposent de pouvoirs d’immobilisation des biens. Ces mesures peuvent entraîner des retards et des conséquences contractuelles ou commerciales pour l’exportateur. (3)

Le contrôle des biens à double usage ne doit donc pas être envisagé comme une simple formalité douanière au moment de l’expédition. La qualification réglementaire du logiciel et de l’opération doit intervenir suffisamment en amont, idéalement dès la préparation de la commercialisation internationale du produit.

* * * * * * * * * * *

(1) Règlement (UE) 2021/821 du 20 mai 2021 instituant un régime de l’Union de contrôle des exportations, du courtage, de l’assistance technique, du transit et des transferts en ce qui concerne les biens à double usage

(2) Règlement délégué (UE) 2025/2003 de la Commission du 8 septembre 2025 modifiant le règlement (UE) 2021/821 en ce qui concerne la liste des biens à double usage. Ce règlement est applicable depuis le 15 novembre 2025

(3) art. L.426-1 à L.426-9 du code des douanes

Bénédicte DELEPORTE

Avocat

Deleporte Wentz Avocat

www.dwavocat.com

Septembre 2026