Quand un logiciel de cryptologie peut-il être classé « grand public » ?
Ce qu’il faut retenir
Certains logiciels de cryptologie couramment disponibles sur le marché peuvent être classés « grand public ». Ce régime suppose néanmoins une déclaration préalable à l’ANSSI et le respect de critères précis.
Les logiciels intégrant des fonctionnalités cryptographiques peuvent être soumis à des formalités lorsqu’ils sont fournis, importés ou exportés depuis la France.
Le décret du 2 mai 2007 prévoit toutefois un régime spécifique pour certains moyens de cryptologie couramment disponibles sur le marché : le classement dit « grand public ». (1)
Pour les éditeurs et fournisseurs de logiciels, ce classement présente un intérêt pratique important. Lorsque le moyen de cryptologie est classé « grand public » par l’ANSSI, le logiciel peut ensuite être exporté sans avoir à solliciter une autorisation d’exportation auprès de l’ANSSI. Cela suppose cependant d’adresser une déclaration préalable à l’ANSSI et que le logiciel respecte certaines conditions.
Le présent article vient compléter nos deux articles précédents sur les moyens de cryptologie : comprendre les formalités d’importation et d’exportation et les formalités applicables aux biens à double usage.
1. Que signifie le classement « grand public » pour un logiciel de cryptologie ?
Le décret du 2 mai 2007 relatif aux moyens et prestations de cryptologie fixe les règles applicables aux opérations de fourniture, d’importation, de transfert et d’exportation de moyens de cryptologie.
Pour un logiciel comprenant des fonctionnalités cryptographiques, la qualification « grand public » ne dépend pas simplement de sa large diffusion commerciale ou du fait qu’il soit destiné à un grand nombre d’utilisateurs. Il s’agit d’une qualification réglementaire reposant sur des conditions précises.
Le fournisseur ne peut toutefois se prévaloir du classement “grand public” sur la seule base de sa propre qualification du logiciel. Le classement doit être demandé lors de la déclaration du moyen de cryptologie puis être validé par l’ANSSI.
Pour être classé “grand public” (annexe 2, catégorie 3), un moyen de cryptologie doit d’abord relever de la catégorie 1 ou 2 du décret, puis remplir trois conditions cumulatives : (2)
i. Le moyen doit être couramment à la disposition du public. Le décret vise les moyens de cryptologie « vendus directement sur stock, sans restriction, à des points de vente au détail, que cette vente soit effectuée en magasin, par correspondance, par transaction électronique ou par téléphone. » Il convient donc de démontrer que le logiciel est effectivement proposé au public selon un mode de distribution standardisé.
ii. Le logiciel doit être conçu de manière à ce que sa fonctionnalité cryptographique ne puisse pas être modifiée facilement par l’utilisateur.
iii. Son installation ne doit pas nécessiter une « assistance ultérieure importante de la part du fournisseur », c’est-à-dire que le logiciel doit pouvoir être installé par l’utilisateur sans intervention technique substantielle du fournisseur.
Cette troisième condition correspond aux progiciels qui peuvent facilement être téléchargés, installés et configurés à partir d’une documentation utilisateur classique. À l’inverse, un progiciel nécessitant une intégration complexe, des paramétrages cryptographiques spécifiques ou une intervention importante du fournisseur ne remplirait pas cette dernière condition.
En cas de validation du classement grand public, l’ANSSI délivre une attestation correspondante. Cette attestation permet ensuite d’exporter le moyen de cryptologie sans avoir à faire à solliciter d’autorisation d’exportation auprès de l’ANSSI ni demande de licence auprès du SBDU.
2. Comment obtenir le classement « grand public » ?
2.1 La demande est formulée lors de la déclaration auprès de l’ANSSI
La demande de classement « grand public » est formulée à l’occasion de la déclaration du moyen de cryptologie auprès de l’ANSSI.
Le formulaire et la liste des pièces à communiquer sont fixés par l’arrêté du 29 janvier 2015. (3) Les informations à renseigner dans le formulaire incluent une présentation générale du moyen de cryptologie et de ses caractéristiques techniques.
Le formulaire prévoit une rubrique spécifique pour les moyens de cryptologie relevant de la catégorie 3 de l’annexe 2 du décret du 2 mai 2007 (moyens de cryptologie grand public). Le déclarant doit fournir les éléments permettant de démontrer que les trois conditions susvisées sont remplies.
Il lui est demandé de décrire :
· le mode de commercialisation du produit et le marché auquel il s’adresse. Le déclarant pourra décrire les canaux de distribution utilisés, les conditions d’achat ou de téléchargement du logiciel, ainsi que la clientèle visée ;
· les raisons pour lesquelles ses fonctionnalités cryptographiques ne peuvent pas être facilement modifiées par l’utilisateur. Le déclarant pourra préciser les fonctions qui peuvent être paramétrées par l’utilisateur et celles qui restent intégrées au produit ;
· les raisons pour lesquelles son installation ne nécessite pas une assistance importante du fournisseur. Les modalités d’installation pourront être décrites à partir de la procédure de déploiement, de la documentation utilisateur ou de tout autre support permettant d’établir que le produit peut être installé sans intervention importante de l’éditeur.
Les informations communiquées doivent permettre à l’ANSSI de comprendre le fonctionnement et le mode de distribution du logiciel.
Les documents commerciaux, la documentation technique et le dossier transmis à l’ANSSI doivent être cohérents. Une documentation commerciale mettant en avant des possibilités étendues de personnalisation des fonctions cryptographiques par l’utilisateur, alors qu’il est affirmé le contraire dans le formulaire de déclaration pourrait, par exemple, soulever des questions au regard de ce critère.
2.2 L’ANSSI valide ou refuse le classement
La déclaration ne confère pas automatiquement le classement « grand public ». L’ANSSI examine les informations fournies et peut valider le classement ou le refuser si elle considère que les conditions réglementaires ne sont pas réunies.
En cas de validation, une attestation de classement est délivrée par l’ANSSI. Cette attestation est nécessaire aux démarches douanières des exportateurs.
En cas de refus de la qualification « grand public », l’exportation du logiciel devra alors être examinée au regard du régime normalement applicable.
Lors de l’examen de la déclaration, l’ANSSI peut demander la communication d’informations techniques supplémentaires, y compris le code source du moyen de cryptologie, afin de vérifier ses caractéristiques au regard des éléments figurant dans la déclaration. (4)
Enfin, il est recommandé de réexaminer la situation lorsqu’une nouvelle version du logiciel modifie de manière substantielle ses fonctions cryptographiques, ses possibilités de configuration ou ses conditions de distribution.
* * * * * * * * * * *
(1) Décret n°2007-663 du 2 mai 2007 pris pour l’application des articles 30, 31 et 36 de la loi n°2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique et relatif aux moyens et aux prestations de cryptologie
(2) Voir annexe 2 B, catégorie 3 du décret. La catégorie 1 vise les moyens de cryptologie qui n’assurent pas exclusivement des fonctions d’authentification ou de contrôle d’intégrité et qui mettent en œuvre certains algorithmes cryptographiques dépassant les seuils fixés par le décret. La catégorie 2 concerne certains moyens utilisant des techniques d’étalement de fréquences ou de modulation ultra-large bande. Voir annexe 2, A, catégories 1 et 2 du décret n° 2007-663 du 2 mai 2007.
(3) Arrêté du 29 janvier 2015 définissant la forme et le contenu des dossiers de déclaration et de demande d’autorisation d’opérations relatives aux moyens et aux prestations de cryptologie
(4) Article 7 du décret n°2007-663 du 2 mai 2007
Bénédicte DELEPORTE
Avocat
Deleporte Wentz Avocat
Octobre 2026