Les règlements européens du numérique appliqués à un éditeur de manuels : cyber-résilience, données, services numériques

Rapport corrigé et complété le 11/10/2026 d'après Y24-verif.md. Complété le 11/10/2026 d'après le lot navigateur (Y30-sources-lues-au-navigateur.md). Corrigé le 12/10/2026 d'après les relevés de la vague 6 (compte du GAR par distributeur technique distingué du distributeur commercial et § 4 point 4 restreint aux titres du catalogue ; complément Y30 § 1.3 sur l'art. L. 43 au § 3.1.8 et CCAG-TIC officiel au § 2.2 n° 35, § 3.2.8 et § 6 ; complément Y30 § 1.24 au § 5 ; classement de Capytale et d'Éléa donné comme lecture du rapport au § 4 point 10). Corrigé le 12/10/2026 d'après la vague 7 (12-vague7 § 8) : le marché EMLS normand de 2022 vaut 26 M€ au plus sur quatre ans au plus, et non sur 36 mois.

Vague 6 de l'étude « manuels de cours en ligne ». Relevé du 11/10/2026.

#1. Sujet, requêtes, jeux de données interrogés

Sujet. L'étude n'avait lu ni le règlement (UE) 2024/2847 sur la cyber-résilience (CRA), ni le chapitre VI du règlement (UE) 2023/2854 sur les données (Data Act), et laissait « non établie » la qualification au regard du règlement (UE) 2022/2065 sur les services numériques (DSA) des services qui hébergent des contenus d'utilisateurs (V21 § 5). Ce rapport établit, texte à l'appui, quels produits et services d'un éditeur de manuels entrent dans chaque règlement, ce qu'ils imposent et à quelles dates, et comment ces obligations s'articulent avec l'arrêté du 07/09/2026 (annexe 4) relevé par V22 § 3.4.

Choix de périmètre (une ligne chacun) :

• les trois règlements dans leur texte publié au JO de l'UE, avec les actes de la Commission qui s'y rattachent et sont publiés au 11/10/2026 ; la proposition « omnibus numérique » COM(2025) 837 est lue parce qu'elle modifierait le chapitre VI du Data Act, et signalée comme proposition ;
• la mise en œuvre en France : pages de l'ANSSI, de l'Arcom et de l'Arcep, projet de loi DDADUE (AN n° 2518) ;
• les acteurs dont les conditions sont lues : KNE (Éducadhoc), CNS (Biblio Manuels, Solaire, SEJER), Édulib (Lib Manuels), Lelivrescolaire.fr, Kartable, SchoolMouv ;
• la directive NIS 2 n'est pas le sujet ; elle est citée seulement là où le CRA renvoie vers elle (logiciel en ligne) ;
• la directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux est lue (ajout de la contre-vérification) parce qu'elle couvre le logiciel fourni en ligne, que le CRA laisse hors champ (§ 3.1.9) ;
• les données de la commande publique (BOAMP, DECP) sont interrogées pour les clauses de réversibilité des marchés de manuels numériques (ajout de la contre-vérification, § 3.2.8).

Textes et documents lus (texte brut extrait, rangé dans /home/paul/.cache/manuels-vague6/Y24/) :

Données ouvertes et mesures (toutes le 11/10/2026) :

#2. Recensement

#2.1 Textes, actes et documents officiels

#2.2 Applications, services et conditions des acteurs

#3. Fiches détaillées et mesures

#3.1 Le règlement sur la cyber-résilience (UE) 2024/2847

3.1.1 Le champ : l'application installée y entre, l'application web n'y entre pas comme produit. Le CRA « s'applique aux produits comportant des éléments numériques mis à disposition sur le marché dont l'utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte […] à un dispositif ou à un réseau » (art. 2 § 1). Un tel produit est « un produit logiciel ou matériel et ses solutions de traitement de données à distance » (art. 3, 1). Le traitement à distance n'en fait partie que si le logiciel est conçu par le fabricant ou sous sa responsabilité « et dont l'absence empêcherait le produit […] d'exécuter une de ses fonctions » (art. 3, 2) ; le considérant 11 cite le cas d'une « application mobile [qui] a besoin d'accéder à une interface de programmation d'application ou à une base de données fournie par l'intermédiaire d'un service développé par le fabricant » ; le considérant 12 exclut « les sites internet qui ne supportent pas la fonctionnalité d'un produit comportant des éléments numériques » et ajoute que la directive NIS 2 « s'applique aux services d'informatique en nuage et aux modèles de services en nuage, tels que les logiciels service (SaaS) », pour les entités qui fournissent des services d'informatique en nuage et sont des moyennes entreprises ou plus grandes. Ce renvoi vise les fournisseurs de services d'informatique en nuage ; qu'un service en ligne d'éditeur scolaire en soit un au sens de NIS 2 n'est pas établi par ce rapport (§ 5).

Le projet d'orientations de la Commission tranche le cas du web (C(2026) 5252, annexe, § 21 et exemples 3 à 6). Son statut est à retenir : C(2026) 5252 du 27/07/2026 est l'« Approval of the content of the draft Communication from the Commission » ; la page 1 précise que les orientations « will be formally adopted by the Commission at a later date, when all language versions are available. It is only from that moment that it will apply ». Ce sont donc, au 11/10/2026, des orientations approuvées en projet, non encore applicables, et en tout état de cause non contraignantes : « This guidance is not binding for economic operators […]. An authoritative interpretation of the CRA may only be given by the Court of [Justice] » (annexe, introduction). Leur contenu :

• « a mobile application that a user downloads from an app store and installs on their smartphone […] is therefore a product with digital elements » (exemple 3) ;
• « a desktop application built using web technologies but packaged for local installation » est un produit (exemple 4) ;
• « a web application accessed by the user exclusively through a web browser is not a product with digital elements. Unless it supports the functionality of a product with digital elements, it does not fall within the scope of the CRA » ; le § 21 étend la règle aux « progressive web apps, where they are accessed exclusively through a web browser ».

L'exemple 8.3.3 du même projet d'orientations décrit une liseuse : le fabricant d'un « e-Reader software » qui stocke les livres achetés chez un fournisseur SaaS tiers ne fait pas de ce stockage un traitement à distance de son produit, mais doit le traiter « like a component » dans son évaluation des risques (authentification, chiffrement, intégrité des échanges). Un portail d'authentification qui délivre les jetons sans lesquels le produit ne fonctionne pas peut être un traitement à distance, s'il est conçu par le fabricant (§ 194). Le GAR n'est pas conçu par l'éditeur : par la même règle, il est un composant tiers de l'application qui s'y connecte (lecture du rapport).

Le projet d'orientations ne dit pas si un fichier EPUB ou un manuel contenant des scripts est lui-même un produit au sens du CRA ; il rappelle seulement que, pour la responsabilité du fait des produits, « the content of digital files, such as media files or e-books » n'est pas un produit (note 9, citant le considérant 13 de la directive (UE) 2024/2853). Cette directive a sa propre portée pour le logiciel du manuel web, que le CRA laisse hors champ : voir § 3.1.9.

3.1.2 L'éditeur est fabricant de son application, même s'il la fait développer et même si elle est gratuite. Le fabricant est la personne qui « développe ou fabrique » le produit « ou fait concevoir, développer ou fabriquer » et le commercialise « sous son propre nom ou sa propre marque, à titre onéreux, monétisé ou gratuit » (art. 3, 13). La fourniture « dans le cadre d'une activité commerciale » se caractérise aussi par « une intention de monétisation, par exemple par la fourniture d'une plate-forme logicielle par l'intermédiaire de laquelle le fabricant monétise d'autres services » (considérant 15). Le projet d'orientations C(2026) 5252 en donne des exemples : une application gratuite qui permet d'acheter des biens ou des services, ou un VPN gratuit qui fait payer des serveurs supplémentaires, est mise sur le marché (exemples 14 et 15). Une application de lecture gratuite qui ouvre des licences de manuels payantes relève de ce cas (lecture du rapport). Toutes les applications relevées au § 3.1.5 sont gratuites au téléchargement.

3.1.3 Le logiciel libre. Le logiciel libre « qui [n'est] pas monétisé par [son] fabricant » n'est pas fourni dans le cadre d'une activité commerciale (considérant 18) ; le développement par des organisations à but non lucratif ne l'est pas non plus dans les conditions du considérant 18. Le projet d'orientations ajoute qu'une entité à but non lucratif qui monétise un logiciel libre mais affecte ses gains, après coûts, à des objectifs non lucratifs ne met pas ce logiciel sur le marché et en est l'« intendant » (§ 77 ; exemple 24, un navigateur libre). L'intendant de logiciels ouverts, personne morale qui soutient de façon « systématique et continu[e] » un logiciel libre destiné à des activités commerciales (art. 3, 14), doit tenir une politique de cybersécurité documentée, coopérer avec les autorités et notifier les vulnérabilités activement exploitées s'il participe au développement (art. 24) ; l'art. 64 § 10, b, écarte les amendes pour « toute violation du présent règlement par les intendants de logiciels ouverts », mais sa lettre ne déroge qu'« aux paragraphes 3 à 9 » de l'art. 64, alors que les obligations de l'art. 14 que l'art. 24 § 3 leur applique sont sanctionnées par le § 2 (même écart de lettre qu'au § 3.1.4) ; il ne peut pas apposer le marquage CE (considérant 19). Une application développée par une administration « exclusivement pour son propre usage » n'est pas mise sur le marché, et une rétribution qui ne récupère que les coûts réels n'en fait pas une activité commerciale « pour cette seule raison » (considérant 16, texte du JO, ligne 52 du fichier extrait). Une société qui publie son lecteur sous licence libre mais vend les licences des manuels qu'il ouvre reste dans le cas de la monétisation (exemples 14 et 15).

3.1.4 Ce que le règlement impose, et quand.

Un incident est « grave » s'il entache ou peut entacher la protection de « la disponibilité, l'authenticité, l'intégrité ou la confidentialité de données ou fonctions sensibles ou importantes », ou s'il conduit à l'exécution d'un code malveillant dans le produit ou chez l'utilisateur (art. 14 § 5). La période d'assistance « est d'au moins cinq ans », sauf durée d'utilisation prévue plus courte (art. 13 § 8) ; sa date de fin (mois et année) est indiquée au moment de l'achat (art. 13 § 19) ; chaque mise à jour de sécurité reste disponible dix ans au moins ou pour le reste de la période d'assistance (art. 13 § 9).

Une application de lecture n'est pas dans les listes des produits importants : l'annexe III vise notamment les « navigateurs autonomes et intégrés », mais le règlement d'exécution 2025/2392 précise que « l'intégration d'un navigateur intégré en tant que composant d'une application d'information destinée à être utilisée dans des smartphones ne rend pas en soi cette application soumise » à la procédure des navigateurs (considérant 3). Elle relève donc de la catégorie « par défaut » (ANSSI), où le fabricant peut suivre le contrôle interne, module A (art. 32 § 1, a), sans organisme notifié. Les microentreprises et petites entreprises peuvent fournir la documentation technique sous un format simplifié défini par la Commission (art. 33 § 5). L'art. 64 § 10, a, écarte les amendes pour les fabricants « considérés comme des microentreprises ou des petites entreprises en cas de non-respect du délai visé à l'article 14, paragraphe 2, point a), ou à l'article 14, paragraphe 4, point a) » (alertes précoces sous 24 heures) ; mais il est écrit « Par dérogation aux paragraphes 3 à 9 » et vise « les amendes administratives visées auxdits paragraphes », alors que le non-respect de l'art. 14 est sanctionné par le § 2 (texte français et anglais, « by way of derogation from paragraphs 3 to 9 »). L'intention est claire, la lettre ne couvre pas le § 2 : un point à signaler ; les rectificatifs au CRA n'ont pas pu être lus pour savoir s'ils le reprennent (§ 5). Plafond des amendes pour l'annexe I et les art. 13 et 14 : 15 M€ ou 2,5 % du chiffre d'affaires mondial (art. 64 § 2).

Ces allègements ne profitent pas à Édulib, éditrice de Lib Manuels : l'API Recherche d'entreprises la classe en catégorie « ETI » (2024), avec une tranche d'effectif de 10 à 19 salariés (code 11, 2024) et un chiffre d'affaires 2024 de 9 925 462 € (SIREN 792637993, siège Paris 15e, 11/10/2026). Une catégorie ETI pour une unité légale de cette taille indique que l'INSEE la rattache à un ensemble plus grand (déduction du rapport) ; elle n'est en tout cas ni micro ni petite entreprise au sens retenu par la statistique publique. Lelivrescolaire.fr Éditions est en catégorie « GE » (§ 3.3.3).

3.1.5 Mesure : les applications de lecture du secteur sur Google Play, l'App Store et en client de bureau (11/10/2026).

Les onze applications sont gratuites, toutes « mises à disposition sur le marché » au sens du CRA dans la lecture du § 3.1.2, et toutes déjà sur le marché le 11/09/2026 : l'art. 14 les vise depuis cette date, les exigences de l'annexe I seulement à la première modification substantielle après le 11/12/2027 (art. 69). Le courriel développeur de FLEX Manuel est chez Immanens, les politiques de confidentialité de Bordas FlashPage et de Nathan Live chez bear2b : le prestataire technique développe, mais l'éditeur qui commercialise sous sa marque reste le fabricant (art. 3, 13).

Les mêmes applications sur l'App Store d'Apple (mesure ajoutée, 11/10/2026). L'API publique itunes.apple.com/lookup (pays : France) renvoie les onze applications :

La recherche fait aussi apparaître BiblioExos (Sejer, version 20.18 du 19/03/2026). Deux constats : éducadhoc n'a pas eu de version iOS depuis le 25/04/2023 et Biblio-Manuels depuis le 24/01/2025, alors que leurs versions Android sont du 19/12/2025 et du 01/09/2026 ; et SchoolMouv est vendu sur l'App Store par « SAS PICARDO SHANNON », non par la société SchoolMouv (SIREN 794640235) relevée au § 3.3.3 — le lien entre les deux n'est pas établi ici. Ces versions iOS sont autant de produits au sens du CRA, mis sur le marché avant le 11/12/2027, donc soumis à l'art. 14 depuis le 11/09/2026 (art. 69 § 3).

Les clients de bureau. Le projet d'orientations range parmi les produits « a desktop application built using web technologies but packaged for local installation » (exemple 4). L'étude en a relevé trois : « Lib Manuels PC / MAC (pour une utilisation sans connexion internet) » (R15-verif, ligne Lib Manuels) ; l'application PC de Biblio Manuels, qui copie le manuel enseignant sur clé USB avec un BiblioManuels.exe ouvrant le manuel « sur n'importe quel poste PC (à partir de Windows 7), sans installation préalable » (X28 § 3.1) ; le client Windows d'éducadhoc (bibliothèque Qt, condition de l'export sur clé USB, X28-verif n° 8). La recherche entity=macSoftware de l'App Store ne renvoie aucun client macOS distinct pour Lib Manuels, Biblio Manuels ou éducadhoc ; les versions et dates de ces clients de bureau ne sont pas mesurées (§ 5).

3.1.6 Mesure : la part des ressources du GAR que portent des distributeurs à application native. Dans la liste des ressources du GAR 2026 (15 630 lignes, 13 132 de type [MAN], extraction du 11/10/2026), le distributeur technique est le KNE pour 5 794 manuels (44,1 %), Édulib pour 4 212 (32,1 %), Brocéliand pour 1 113 (8,5 %), Nathan pour 995 (7,6 %), Bordas pour 288 (2,2 %), Éditions Lelivrescolaire.fr pour 171 (1,3 %). Le KNE et Édulib, qui publient Éducadhoc et Lib Manuels, portent ensemble 10 006 manuels du GAR sur 13 132 (76,2 %) ; avec Nathan et Bordas (marques de SEJER, qui publie Biblio Manuels), 11 289 (86,0 %). Ces chiffres portent sur le champ libelle_du_distributeur_technique_dtr ; par distributeur commercial (libelle_du_distributeur_commercial_dcr), on compte KNE 5 793, Édulib 4 212, Interforum 1 559 (Nathan et Bordas n'y apparaissent pas comme distributeurs commerciaux) et Brocéliand 1 113 (recompte du 12/10/2026 sur gar2026_20261011.json). C'est un compte de titres affectables par distributeur, pas d'affectations ni de lectures. Le jeu ne dit pas si une ressource se lit dans l'application ou dans le navigateur, et le KNE sert aussi une lecture en ligne (« ENEWEB », 10-vague5 § 8.3) : la mesure compte des distributeurs, pas des lectures par application.

3.1.7 Mesure : signaler une vulnérabilité au secteur. Sur 23 domaines interrogés (éditeurs, distributeurs, GAR, EDRLab, MathALÉA, Capytale), un seul publie un security.txt : lelivrescolaire.fr, Contact: mailto:security@lelivrescolaire.fr, avec Expires: 2025-12-31T12:00:00.000Z, date dépassée au 11/10/2026. libmanuels.fr, kiosque-edu.com et capytale2.ac-paris.fr renvoient une page HTML à cette adresse ; les autres renvoient 404, 403 ou une erreur. La contre-vérification, refaite sur 27 hôtes, donne le même résultat : 404 pour edulib, cns-edu, hachette-education, nathan, magnard, kartable, gar.education.fr, edrlab et index-education ; 403 pour belin-education et editions-hatier ; pas de réponse pour sejer.fr, bordas.com et educadhoc.fr ; 500 pour schoolmouv. Un 403 ou une absence de réponse ne prouve pas l'absence de fichier : la mesure établit un seul security.txt lisible, pas l'absence chez les autres. Au 11/12/2027, le fabricant « met en place et applique une politique de divulgation coordonnée des vulnérabilités » (annexe I, partie II, point 5) et désigne « un point de contact unique » pour le signalement des vulnérabilités, « facilement identifiable par les utilisateurs » et qui ne se limite pas aux outils automatisés (art. 13 § 17 ; annexe II, point 2) ; le security.txt n'est qu'un moyen de publier ce point de contact, pas une exigence du texte. La NVD ne publie aucune vulnérabilité pour Edulib, Lelivrescolaire, Kartable, SchoolMouv, educadhoc, SEJER ou Hachette Livre ; elle en publie une pour PRONOTE (CVE-2025-69727, publiée le 16/03/2026, contrôle d'accès aux photos de profil, corrigée en 2025.2.8) et une pour la bibliothèque libre readium-js (CVE-2023-24720, exécution de code par un EPUB piégé). Le second cas illustre l'obligation de l'art. 13 § 6 : le fabricant qui intègre un composant libre signale la vulnérabilité à son mainteneur et la corrige dans son produit. Les sept résultats « Thorium » de la NVD visent CISA Thorium, sans rapport avec le lecteur d'EDRLab.

3.1.8 La mise en œuvre en France. Selon l'ANSSI : le CERT-FR est le CSIRT coordinateur qui reçoit les notifications par la SRP ; l'ANFR assure la surveillance du marché et peut aller « jusqu'au retrait du marché du produit » ; l'ANSSI est autorité notifiante (accréditation par le COFRAC) ; « des travaux rédactionnels de niveau législatif sont en cours ». Le projet de loi DDADUE (AN n° 2518) modifie l'art. L. 43 du code des postes et des communications électroniques pour les références au CRA en outre-mer (art. 24 decies) ; il est en première lecture à l'Assemblée nationale (commission des affaires économiques saisie le 20/02/2026, quatre commissions pour avis le 23/04/2026), sans adoption trouvée au 11/10/2026. L'art. L. 43 en vigueur au 11/10/2026 (version du 01/01/2024, modifiée par l'ordonnance n° 2023-1210) comprend les I, I bis, I ter, I quater, II, II bis, III à VII, et aucun « I quinquies » : le I quinquies auquel renvoie le projet de loi est à créer par ce texte non adopté, et la surveillance du marché du CRA par l'ANFR n'a pas, à cette date, de base dans L. 43 (Légifrance, lot navigateur, Y30 § 1.3).

3.1.9 Le manuel web sort du CRA, pas de la responsabilité du fait des produits (directive (UE) 2024/2853). Ajout de la contre-vérification, texte relu en français le 11/10/2026.

• Le logiciel est un produit : la définition du « produit » comprend « les logiciels » (art. 4, 1). Le considérant 13 précise que « le logiciel est un produit aux fins de l'application de la responsabilité sans faute, quel que soit son mode de fourniture ou d'utilisation, et donc indépendamment du fait qu'il soit installé sur un appareil, accessible via un réseau de communication ou des technologies en nuage, ou fourni dans le cadre d'un modèle de logiciel en tant que service ». Une application web ou une PWA de lecture, hors du CRA (§ 3.1.1), est donc un produit au sens de cette directive.
• Le contenu en est exclu : « les règles en matière de responsabilité du fait des produits ne devraient donc pas s'appliquer au contenu des fichiers numériques, tels que les fichiers médias, les livres électroniques ou le simple code source des logiciels » (considérant 13). Le texte du manuel n'est pas un produit ; le lecteur qui l'affiche en est un.
• Les dommages réparables comprennent la mort et les lésions corporelles, l'atteinte aux biens et « la destruction ou la corruption de données qui ne sont pas utilisées à des fins professionnelles » (art. 6 § 1, c) — les annotations ou travaux d'un élève détruits par un défaut du lecteur relèvent de ce dernier cas (lecture du rapport ; ceux d'un enseignant, utilisés à des fins professionnelles, en sont exclus par la même lettre).
• La défectuosité s'apprécie notamment au regard des « exigences pertinentes en matière de sécurité des produits, y compris les exigences de cybersécurité pertinentes pour la sécurité » et des « besoins spécifiques du groupe d'utilisateurs auquel le produit est destiné » (art. 7 § 2, f et h). Le fabricant n'est pas exonéré quand la défectuosité tient au logiciel, à ses mises à jour, ou à « une absence de mises à jour ou de mises à niveau logicielles nécessaires au maintien de la sécurité », tant que le produit reste sous son contrôle (art. 11 § 2).
• Le logiciel libre développé ou fourni hors activité commerciale est exclu (art. 2 § 2) ; il ne l'est plus s'il est fourni « en échange d'un prix, ou en échange de données à caractère personnel » utilisées au-delà de la sécurité, de la compatibilité ou de l'interopérabilité (considérant 14).
• Dates : la directive s'applique « aux produits mis sur le marché ou mis en service après le 9 décembre 2026 » (art. 2 § 1) ; transposition au plus tard le 09/12/2026 (art. 22 § 1). En France, le régime actuel est aux art. 1245 à 1245-17 du code civil, qui « devront être modifiés » ; le ministère de la Justice annonçait des consultations au premier trimestre 2026 et indiquait qu'« un texte dédié est envisagé à ce stade » (réponse à la question écrite n° 11448, JO du 12/05/2026). Aucun texte de transposition adopté n'est trouvé au 11/10/2026 (§ 5).

Conséquence : le choix entre application installée et manuel web change le régime de conformité ex ante (CRA : évaluation, documentation, marquage CE, notifications), pas l'exposition à la responsabilité sans faute en cas de dommage, qui vaut pour les deux à partir du 09/12/2026.

#3.2 Le règlement sur les données (UE) 2023/2854, chapitre VI

3.2.1 Le champ : le SaaS y entre ; un manuel consulté y entre-t-il ? Un « service de traitement de données » est « un service numérique qui est fourni à un client et qui permet un accès par réseau en tout lieu et à la demande à un ensemble partagé de ressources informatiques configurables, modulables et variables » (art. 2, 8) ; le considérant 81 y range l'IaaS, le PaaS et le SaaS. La FAQ de la Commission (v1.4, question 58a) confirme que le chapitre VI « applies to all SaaS types which display the characteristics listed in the definition », puis ajoute : « it is therefore important to consider whether the user is a customer and whether that customer uses a data processing service as such or makes use of a functionality enabled by a data processing service, such as listening to music or viewing videos ». Le « client » est celui qui a « noué une relation contractuelle » avec le fournisseur (art. 2, 30).

Appliqué à un éditeur (lecture du rapport, sans décision d'autorité trouvée) :

• la licence de consultation d'un manuel ressemble à l'exemple de la FAQ (« viewing videos ») : une fonction rendue par un service, non un service de traitement de données utilisé en tant que tel ;
• un service où l'enseignant construit des séquences, assigne des devoirs, stocke des ressources et des copies d'élèves et suit des résultats se rapproche du SaaS. Le CNS stocke les ressources personnelles des utilisateurs (1 GB par enseignant, 300 MB par élève) et collecte « annotations, parcours personnalisés », « réponses à des questions ouvertes, édition de documents et intégration de documents personnels », « saisies et réponses des élèves » (CGU de l'offre numérique, 11/10/2026).

3.2.2 Ce qu'impose le chapitre VI à un fournisseur qui y entre.

• Lever les obstacles « précommerciaux, commerciaux, techniques, contractuels et organisationnels » au changement de fournisseur et au portage des « données exportables et des actifs numériques », « y compris après avoir bénéficié d'une offre gratuite » (art. 23).
• Un contrat écrit qui prévoit un préavis maximal de deux mois, une période transitoire de 30 jours (sept mois au plus en cas d'impossibilité technique motivée sous 14 jours ouvrables), une liste exhaustive des données et actifs portables, une période de récupération d'au moins 30 jours, l'effacement intégral ensuite, et les frais applicables (art. 25).
• Informer sur les procédures, méthodes et formats et tenir un « registre en ligne à jour » des structures et formats de données (art. 26).
• Pour le SaaS : des interfaces ouvertes gratuites, la compatibilité avec les spécifications communes ou normes harmonisées douze mois après leur publication au répertoire de l'Union, et, faute de telles normes, l'export de « toutes les données exportables, dans un format structuré, couramment utilisé et lisible par machine » (art. 30 § 2, 3 et 5) ; l'équivalence fonctionnelle ne vaut que pour l'IaaS (art. 30 § 1 ; FAQ, question 58a).
• Les frais : réduits au coût direct du 11/01/2024 au 12/01/2027, interdits à partir du 12/01/2027 (art. 29 § 1 à 3) ; tarifs standard, pénalités de résiliation anticipée et frais de changement publiés dans une section du site (art. 29 § 4 à 6). Un usage simultané de plusieurs services peut encore être facturé au coût de sortie (art. 34 § 2).

3.2.3 Les données exportables excluent le manuel lui-même. Les « données exportables » sont « les données d'entrée et de sortie, y compris les métadonnées, générées directement ou indirectement, ou cogénérées, par l'utilisation par le client », « à l'exclusion des actifs ou des données protégés par des droits de propriété intellectuelle, ou constituant un secret d'affaires, des fournisseurs […] ou des tiers » (art. 2, 38 ; considérant 82). Le texte des manuels reste à l'éditeur ; les séquences des enseignants, les copies et réponses des élèves, les annotations et les résultats sont les données à porter. Le fournisseur n'a pas à « divulguer ou transférer des actifs numériques qui sont protégés par des droits de propriété intellectuelle » (art. 30 § 6).

3.2.4 Les exceptions. Les obligations de l'art. 23, d), de l'art. 29 et de l'art. 30 § 1 et 3 ne visent pas un service dont la majorité des caractéristiques ont été « conçues sur mesure » pour un client et qui n'est pas proposé « à grande échelle […] par l'intermédiaire du catalogue » (art. 31 § 1) ; le chapitre ne vise pas une version d'essai non destinée à la production et de durée limitée (art. 31 § 2). Aucune exemption des PME n'existe dans le chapitre VI en vigueur. La proposition omnibus COM(2025) 837 exclurait du chapitre VI, sauf l'art. 29, les services hors IaaS fournis par « une petite entreprise, une moyenne entreprise ou une petite entreprise à moyenne capitalisation » « si la fourniture de ces services est fondée sur un contrat conclu au plus tard le 12 septembre 2025 », et les services sur mesure aux mêmes conditions (art. 31 § 1 bis et 1 ter proposés) ; toute clause contraire à l'art. 29 serait « nulle et non avenue ». Au 11/10/2026, Cellar ne recense aucun acte adopté qui modifie le règlement 2023/2854 ; le dernier document de la procédure trouvé est l'avis du Comité européen des régions du 07/05/2026.

3.2.5 Les dates. Le règlement est applicable depuis le 12/09/2025 (art. 50) ; le chapitre VI n'a pas de régime transitoire pour les contrats en cours (seul le chapitre IV en a un, art. 50). Frais de changement interdits au 12/01/2027 (art. 29 § 1).

3.2.6 La mise en œuvre en France. La loi SREN a anticipé le chapitre VI pour les fournisseurs « de services d'informatique en nuage » : frais de transfert plafonnés au coût (art. 27), exigences d'interopérabilité et de portabilité (art. 28), missions de l'Arcep (art. 29). L'Arcep a proposé un plafond de 0 € (décision n° 2025-0340 du 20/02/2025), que le Gouvernement a fixé par arrêté (page « Rôle et action de l'Arcep ») ; elle a adopté une recommandation le 02/10/2025 et, après consultation du 16/02 au 27/03/2026, deux lignes directrices sur les coûts imputables. Le projet de loi DDADUE ferait de l'Arcep « l'autorité compétente chargée de l'application et de l'exécution » du Data Act, sauf son chapitre VII, et remplacerait dans le code de commerce et le code des postes les mots « d'informatique en nuage » par « de traitement de données au sens du règlement (UE) 2023/2854 » (art. 25 à 27 du texte adopté par le Sénat) ; non adopté au 11/10/2026.

3.2.7 L'articulation avec l'arrêté du 07/09/2026. Pour les « services fournissant des contenus pédagogiques et/ou services pédagogiques », le critère 16 impose au 23/07/2027 la « fourniture à l'utilisateur d'une fonction d'export dans un format ouvert et documenté mentionné dans le référentiel d'interopérabilité de ses données usagers produites dans le cadre de l'utilisation du service » ; le critère 22 au 23/07/2028 un format ouvert pour les granules et parcours importés ou exportés ; le critère 23 au 23/07/2027 l'export des données d'examens si le service en gère (annexe 4). Les deux régimes diffèrent :

Le CNS anonymise dans le GAR « attributs GAR, données de personnalisation, données de production, données d'évaluation […] 3 mois après la fin de l'année scolaire (définie au 15 août par le GAR) » (CGU de l'offre numérique) : un export des données usagers qui doit précéder la purge se place donc avant la mi-novembre (déduction du rapport).

3.2.8 Ce que disent les conditions des acteurs. Aucune des conditions lues (KNE, CNS, Édulib, Lelivrescolaire.fr, Kartable, SchoolMouv) ne contient de clause de changement de fournisseur ni de réversibilité. Pour l'export, les situations diffèrent :

• Kartable écrit : « nous vous remettrons les données vous concernant dans un format structuré, couramment utilisé et lisible par machine » au titre du droit à la portabilité du RGPD (CGU et CGV) ; le CNS renvoie l'exercice de la portabilité à une adresse électronique (contact-donnees@sejer.fr).
• Lelivrescolaire.fr écrit que « le Site n'étant pas conçu spécifiquement pour la sauvegarde de votre production intellectuelle, il vous appartient de prendre les mesures nécessaires à cet effet » (CGU).
• Les CGV du KNE, lues dans leur version du 11/10/2026 par l'API api-cms.kiosque-edu.com/cgv/, ne contiennent aucune occurrence d'export, de réversibilité, de portabilité ni de vulnérabilité ; leur clause « Données personnelles » (art. 8) ne vise que les données fournies par l'acheteur « lors de la création de son Compte et lors de ses Commandes ».
• Les CGU-CGV d'Édulib ne mentionnent ni le RGPD, ni la portabilité, ni l'export, ni la réversibilité (0 occurrence, page relue le 11/10/2026) ; leur art. 9 renvoie à une « Charte de protection des données personnelles » à l'adresse edulib.fr/data_policy, qui renvoie une page « la page que vous cherchez n'existe pas ». La politique de confidentialité d'Édulib, elle (edulib.fr/politique-de-confidentialite, mise à jour du 05/05/2021), cite le « droit à la portabilité » parmi les droits RGPD et écrit, pour l'usage par le GAR ou un ENT : « vos données personnelles seront effacées à la fin de chaque année scolaire plus un délai de 3 mois. Nous vous invitons à récupérer vos données de production et de personnalisation, grâce au bouton "Exporter" disponible sur le service Lib Manuels ». Édulib annonce donc une fonction d'export des données de l'usager avant la purge annuelle, sans en dire le format.

Les marchés publics. La réversibilité se règle par le CCAG-TIC 2021 (art. 38.4 et 42, plan de réversibilité annexé au CCAP), lu sur une reproduction puis sur Légifrance, texte officiel concordant (Y30 § 1.3). Les données de la commande publique, interrogées le 11/10/2026 (ajout de la contre-vérification), ne permettent pas de savoir si les marchés de manuels numériques en usent :

• BOAMP (API Opendatasoft) : la requête « réversibilité » et (« manuels » ou « ressources numériques pédagogiques ») renvoie 40 avis, aucun sur des manuels (systèmes d'information, maintenance, gardiennage…) ; « réversibilité » et « manuels scolaires » en renvoie 10, aucun sur l'achat de manuels (ENT, maintenance informatique d'écoles, paiement des transports scolaires). Les neuf avis de manuels numériques lus en entier (champ donnees compris) ne mentionnent ni la réversibilité ni la portabilité ; ils désignent les DCE à lire : Région Nouvelle-Aquitaine, 23-19246 (11/02/2023) et son rectificatif 23-28820, « Acquisition de ressources et manuels scolaires numériques pour les lycées de la Région Nouvelle-Aquitaine via une plateforme en ligne », 11,9 M€, lot 1 « Manuels scolaires numériques » à 6,7 M€, durée maximale 4 ans ; Région PACA, 23-56642, licences de manuels et ressources numériques et manuels papier pour les lycées (DCE sur achat.maregionsud.fr) ; Département des Alpes-de-Haute-Provence, 23-11186, licences de manuels numériques et « mise à disposition d'une plateforme en permettant la gestion », 2023-2027 (DCE sur agysoft.marches-publics.info) ; Ville de Paris, 26-43620 (01/05/2026), dont un lot nouveau de « ressources numériques pédagogiques via la mise à disposition de plateformes » ; Région Normandie, 26-7850 et 26-23165, « Fourniture d'une plateforme unique d'acquisition de ressources et de manuels scolaires numériques », dont les licences sont « déposées dans l'ENT des lycées publics normands via le GAR », attribué à la Librairie EMLS (avis d'attribution 26-47138 du 13/05/2026, 7,6 M€ ; DCE sur marches-publics.info, IDM 1768996) ; la même Région avait lancé en 2022 l'avis 22-74447 « Mise à disposition d'une plateforme, relations avec les éditeurs et mise à disposition de manuels numériques et de ressources scolaires » (2022) ; Région Île-de-France, 23-16205, ressources numériques, manuels numériques et papier et « un agrégateur-éditeur de ressources granulaires ».
• DECP (jeu decp-v3-marches-valides, data.economie.gouv.fr) : 31 enregistrements répondent à « manuels » et « numérique(s) », dont PACA (notifié le 07/08/2023, 48 M€, 44 mois), Réunion (21/06/2023, 16 M€, 48 mois), Normandie (27/07/2022, 26 M€, 36 mois au jeu national ; d'après les avis BOAMP 22-74447 et 22-117064, 26 M€ au plus sur quatre ans au plus, un an reconductible deux fois, Z10 § 3.1) et Alpes-de-Haute-Provence (24/04/2023, 720 000 €, 48 mois). Les DECP ne portent que les données essentielles (objet, montant, durée, procédure, titulaire…) ; le champ ccag est vide pour chacun de ces marchés : la référence au CCAG-TIC et les clauses de réversibilité ne s'y lisent pas. Une plateforme de commande de manuels numériques fournie à une région, comme en Nouvelle-Aquitaine ou en Normandie, est le cas où la qualification de service de traitement de données au sens du Data Act se pose le plus directement pour l'acheteur public (lecture du rapport, § 3.2.1). Les clauses ne s'établissent que par les DCE (§ 5).

#3.3 Le règlement sur les services numériques (UE) 2022/2065

3.3.1 Trois niveaux, et le critère qui les sépare. Un service d'« hébergement » stocke « des informations fournies par un destinataire du service à sa demande » (art. 3, g, iii). Une « plateforme en ligne » est un service d'hébergement qui « stocke et diffuse au public des informations », sauf si c'est « une caractéristique mineure et purement accessoire d'un autre service » (art. 3, i) ; le considérant 13 donne l'exemple de la section « commentaires » d'un journal en ligne, accessoire « au service principal représenté par la publication d'actualités sous la responsabilité éditoriale de l'éditeur ». « Diffusion au public » veut dire « un nombre potentiellement illimité de tiers » (art. 3, k) ; quand l'accès suppose un enregistrement ou une admission dans un groupe, l'information n'est diffusée au public que si les destinataires sont « admis automatiquement sans intervention humaine pour en décider » ; les messageries privées n'en sont pas (considérant 14).

3.3.2 Appliqué aux fonctions d'un éditeur (lecture du rapport).

• Diffuser ses propres manuels, sous sa responsabilité éditoriale : ni hébergement ni plateforme (pas d'information « fournie par un destinataire »).
• Stocker les annotations, documents et copies des utilisateurs, visibles du seul auteur, de la classe ou de l'enseignant (espace fermé, accès par affectation du GAR ou admission par l'enseignant) : hébergement (art. 16 à 18), pas plateforme (considérant 14). C'est le cas décrit par le CNS (stockage de 1 GB et 300 MB, adresse de signalement contact@cns-edu.fr).
• Messagerie entre un élève et un professeur : communication interpersonnelle, hors plateforme (considérant 14) ; c'est le cas de la « messagerie privée » de SchoolMouv et du tchat de Kartable.
• Bibliothèque ou communauté où des enseignants publient des cours ou des commentaires lisibles par tout utilisateur inscrit automatiquement : plateforme en ligne, sauf caractère « mineur et purement accessoire » ; hors micro et petite entreprise, section 3 entière, dont l'art. 28 (pas de publicité fondée sur le profilage d'un mineur).
• Mise en relation d'un consommateur avec un professeur particulier qui lui vend des cours : plateforme qui permet de conclure des contrats à distance avec des professionnels (section 4, art. 29 à 32), elle aussi exemptée pour les micro et petites entreprises (art. 29).

3.3.3 La qualification de Lelivrescolaire.fr, Kartable et SchoolMouv, sur pièces.

Les CGU de Lelivrescolaire.fr ne citent pas le règlement 2022/2065, ne nomment pas de point de contact au sens des art. 11 et 12, et donnent une adresse postale à Ury (77) alors que les mentions légales placent le siège à Lyon ; leur procédure de notification exige le domicile du notifiant, ce que l'art. 16 ne demande pas (il demande nom et adresse électronique, sauf pour certaines infractions). Ce sont des constats sur le texte, pas un jugement de conformité.

3.3.4 Mesure : la base de transparence du DSA. Les plateformes en ligne non exemptées transmettent leurs exposés des motifs à la base de la Commission (art. 24 § 5). Sur les 375 plateformes déclarantes listées le 11/10/2026, aucune n'est un éditeur scolaire français ni une plateforme éducative française (recherche : livre, kartable, school, edu, pronote, index, hachette, sejer, nathan, scolaire, cours, digipad, padlet…) ; les plateformes d'études qui y figurent sont Studydrive et Course Hero, plus Canva et Microsoft Teams personal. L'absence ne qualifie rien : elle vaut aussi bien pour un service hors plateforme, exempté ou qui ne déclare pas.

3.3.5 La mise en œuvre en France. L'Arcom est coordinateur pour les services numériques (loi SREN, JO du 22/05/2024) ; la CNIL et la DGCCRF ont des missions dans leurs domaines ; le règlement s'applique à tous les intermédiaires depuis le 17/02/2024 (Arcom). Les lignes directrices de la Commission sur l'art. 28 (C/2025/5519) mentionnent les ressources éducatives comme bénéfice des plateformes et prennent pour exemple fictif « SadLearn », plateforme éducative pour les 6-18 ans dont le signalement exige quatre clics et quinze catégories.

#4. Ce que ce sujet apprend pour une solution qui édite des manuels et les met à disposition

1. Le manuel lu dans le navigateur sort du CRA comme produit ; l'application installée y entre. Une application web ou une PWA lue « exclusively through a web browser » n'est pas un produit ; une application téléchargée d'un magasin ou un client de bureau empaqueté l'est, gratuit ou non, dès qu'il ouvre des licences payantes. Sources : C(2026) 5252, § 21, exemples 3 à 5 et 14-15 — un projet d'orientations dont le contenu est approuvé mais qui ne s'appliquera qu'après adoption formelle dans toutes les langues, et qui ne lie pas (page 1 de C(2026) 5252 ; annexe, introduction) ; CRA art. 3, 1 et 13, considérants 12 et 15. Conséquence pour 04-formats § 4 et § 7 : le choix entre manuel web et application native porte un régime de conformité ex ante (évaluation des risques, période d'assistance de cinq ans au moins, mises à jour de sécurité gratuites conservées dix ans, nomenclature des logiciels, déclaration UE et marquage CE au 11/12/2027) que le web n'a pas. Il ne porte pas pour autant une différence de responsabilité : pour les produits mis sur le marché après le 09/12/2026, la directive (UE) 2024/2853 fait du logiciel un produit « quel que soit son mode de fourniture », SaaS compris, et retient les exigences de cybersécurité et l'absence de mises à jour de sécurité pour apprécier la défectuosité ; le manuel web y est soumis comme l'application, le contenu du manuel (« livres électroniques ») en restant exclu. Sources : directive 2024/2853, considérant 13, art. 2 § 1, art. 7 § 2 et 11 § 2 ; § 3.1.9.
2. La protection Readium LCP pousse vers le régime du CRA. LCP n'est pas disponible pour les applications web (10-vague5 § 8.3 ; X28 § 3.2) : un manuel protégé par LCP se lit dans une application installée, qui est un produit au sens du CRA. Un lecteur libre tiers (Thorium, EDRLab) intégré ou recommandé reste un composant dont la solution doit gérer les vulnérabilités si elle l'intègre (art. 13 § 6). Sources : CRA art. 13 § 6 ; X28.
3. Le signalement est déjà dû. Depuis le 11/09/2026, l'éditeur d'une application de lecture déjà publiée notifie sous 24 h à la SRP de l'ENISA (CERT-FR) toute vulnérabilité activement exploitée ou tout incident grave qui touche son produit, et en informe les utilisateurs (art. 14 et 69 § 3). Onze applications du secteur sont concernées sur Google Play, les mêmes sur l'App Store, plus les clients de bureau de Lib Manuels, Biblio Manuels et éducadhoc ; un seul domaine du secteur publie un security.txt lisible, expiré (les hôtes en 403 ou sans réponse ne prouvent pas une absence). Les intrusions de l'été 2026 dans les services académiques (10-vague5 § 10 ; X32 § 3.6) touchaient l'ENT et l'annuaire, pas le produit de l'éditeur ; une intrusion dans le serveur de licences ou de comptes conçu par l'éditeur en relèverait (art. 3, 2 ; art. 14 § 5). Sources : § 3.1.4, 3.1.5, 3.1.7.
4. Le gros des manuels du GAR passe par des distributeurs à application native. KNE et Édulib sont distributeurs techniques de 76,2 % des 13 132 titres de type [MAN] du catalogue GAR 2026, 86,0 % avec Nathan et Bordas : les quatre applications (Éducadhoc, Lib Manuels, Biblio Manuels, Solaire) sont celles des distributeurs de presque tous les titres du catalogue. Le jeu compte des titres affectables, ni des affectations ni des lectures, et ne dit pas quelle part se lit dans l'application plutôt que dans le navigateur (le KNE sert aussi une lecture en ligne) : il n'établit pas la part du manuel lu que couvre la conformité CRA de ces applications (§ 3.1.6). Édulib, éditrice de Lib Manuels, est classée ETI (SIRENE,
   2024. et ne profite donc pas des allègements du CRA réservés aux micro et petites entreprises (art. 33 § 5, art. 64 § 10). Une solution web n'hérite pas de cette charge de conformité, mais bien de la responsabilité du fait des produits (point 1). Sources : § 3.1.4, 3.1.6.
5. Le calendrier de mise en conformité se resserre sur 2027. 12/01/2027 : fin des frais de changement de fournisseur (Data Act) ; 23/07/2027 : export des données usagers en format ouvert, sécurité et interfaçage GAR (arrêté du 07/09/2026) ; 11/12/2027 : exigences essentielles et marquage CE (CRA) ; 23/07/2028 : granules et parcours en format ouvert (arrêté). À ajouter à 07-vague3 § 8 et 10-vague5 § 10. Sources : Data Act art. 29 ; arrêté, annexe 4 ; CRA art. 71.
6. La portabilité promise aux acheteurs publics a deux fondements distincts, et un troisième si l'outil est un SaaS. Le critère 16 de l'arrêté vaut pour tout service de contenus des collèges et lycées publics, au profit de l'utilisateur, au 23/07/2027 ; le chapitre VI du Data Act vaut pour le client d'un service de traitement de données depuis le 12/09/2025, sans exemption pour les PME, avec contrat écrit, préavis de deux mois, transition de 30 jours, export structuré et frais nuls au 12/01/2027. La FAQ de la Commission rend probable que la seule consultation d'un manuel n'en relève pas ; l'espace où l'enseignant construit des séquences, stocke des ressources et recueille des copies s'en approche. Les données à porter sont celles des utilisateurs ; le texte du manuel, protégé par le droit d'auteur, en est exclu. Sources : § 3.2.1 à 3.2.3, 3.2.7.
7. Aucun concurrent lu ne promet de réversibilité ; un seul annonce un export, sans format. Aucune des conditions du KNE, du CNS, d'Édulib, de Lelivrescolaire.fr, de Kartable et de SchoolMouv ne traite du changement de fournisseur ou de la réversibilité. Kartable et le CNS renvoient au droit à la portabilité du RGPD ; les CGV du KNE et les CGU-CGV d'Édulib ne le mentionnent pas ; Lelivrescolaire.fr écarte la sauvegarde des productions de ses utilisateurs. Seule la politique de confidentialité d'Édulib (05/05/2021) invite les usagers du GAR à « récupérer [leurs] données de production et de personnalisation, grâce au bouton "Exporter" disponible sur le service Lib Manuels » avant leur effacement « à la fin de chaque année scolaire plus un délai de 3 mois », sans dire le format. Un export documenté, en format du référentiel d'interopérabilité (critère 16 de l'arrêté), avant la purge annuelle du GAR, est un engagement qu'aucune des conditions lues n'écrit. Les avis de marchés de manuels numériques au BOAMP ne mentionnent pas non plus la réversibilité ; leurs DCE restent à lire. Sources : § 3.2.7, 3.2.8.
8. La qualification DSA se règle fonction par fonction, et la taille de l'entreprise décide de la charge. Une solution qui diffuse ses manuels et stocke les travaux de classe en espace fermé est un hébergeur : point de contact, conditions lisibles par les mineurs, mécanisme de notification et d'action, exposé des motifs, signalement des menaces pour la vie (art. 11, 12, 14, 16 à 18), sans exemption de taille. Une bibliothèque où les enseignants publient pour tous les inscrits en fait une plateforme ; micro ou petite entreprise, elle reste exemptée des art. 20 à 28 jusqu'à douze mois après avoir perdu ce statut (art. 19). Sources : § 3.3.1, 3.3.2.
9. V21 § 5 peut être mis à jour sur pièces. Lelivrescolaire.fr héberge des contenus d'enseignants (ses CGU le disent) et n'est pas une petite entreprise (50 à 99 salariés en 2024, catégorie GE) : hébergeur certain, plateforme en ligne si la communauté est ouverte à tout inscrit. Kartable et SchoolMouv n'hébergent pas de contenus d'utilisateurs selon leurs conditions ; leurs messageries sont interpersonnelles ; la mise en relation de Kartable avec des professeurs particuliers relèverait de la section 4, dont sa taille l'exempte s'il est micro ou petit. Source : § 3.3.3.
10. Une solution libre n'échappe pas au CRA si elle vend ce que le logiciel ouvre. Publier le lecteur sous licence libre ne change rien quand les licences de manuels sont payantes (monétisation d'autres services) ; une association qui affecte ses gains à son objet non lucratif est intendante, sans marquage CE et exemptée d'amendes par l'art. 64 § 10, b (dont la lettre ne déroge qu'aux § 3 à 9, § 3.1.3) ; un outil développé par une administration pour son propre usage n'est pas mis sur le marché (considérant 16, § 3.1.3), ce qui, dans la lecture du rapport, vaut pour Capytale et Éléa (classement que ni le règlement ni le projet d'orientations ne font pour eux). Sources : CRA considérants 15, 16, 18, 19 ; art. 24 et 64 § 10 ; projet d'orientations C(2026) 5252, § 77, exemples 14, 15, 24.

#5. Ce que la recherche n'a pas pu établir

• La visibilité réelle des contenus de la communauté de Lelivrescolaire.fr (lisibles par tout inscrit, par un groupe choisi par l'auteur, ou par les seuls membres d'une classe) : elle décide entre hébergement et plateforme en ligne. Elle ne s'établit qu'avec un compte enseignant sur lelivrescolaire.fr (démarche « compte », destinataire : Lelivrescolaire.fr, contact@lelivrescolaire.fr) ; à défaut, lecture au navigateur de https://www.lelivrescolaire.fr/ et des pages « Rejoindre la communauté » dans le lot navigateur. Y30 § 1.15 : les pages publiques présentent une communauté de co-création des manuels (« plus de 6 000 » enseignants) sans dire la visibilité des contenus des membres ; reste la démarche « compte ».
• La qualification d'une licence de manuel numérique au regard du chapitre VI du Data Act : aucune décision, avis ni question-réponse ne traite des ressources éducatives ; seule la FAQ v1.4 donne le critère « service as such » contre « functionality ». Démarche : question écrite à l'Arcep, autorité pressentie par le projet de loi DDADUE (coordonnées publiées sur arcep.fr, non relevées), à rédiger avec le cas du § 3.2.1.
• La taille de Kartable au sens de la recommandation 2003/361 (chiffre d'affaires non publié, comptes de résultat confidentiels selon W06) et celle de SchoolMouv avec le groupe sofatutor : non trouvées.
• Le texte de l'art. L. 43, I quinquies, du code des postes et des communications électroniques auquel renvoie le projet de loi DDADUE pour la surveillance par l'ANFR, et la loi qui l'a créé : non lus (Légifrance renvoie 403). Fermé par Y30 § 1.3 : L. 43 en vigueur au 11/10/2026 (version du 01/01/2024) ne comporte aucun I quinquies : le projet de loi DDADUE le créerait.
• Le sort du projet de loi DDADUE (AN n° 2518) après la saisine des commissions de l'Assemblée nationale le 23/04/2026, et celui du projet de loi de transposition de NIS 2, annoncé en séance à partir du 07/10/2026 par une brève de presse (next.ink, 23/09/2026) : aucune adoption trouvée au 11/10/2026.
• Le sort de la proposition omnibus COM(2025) 837 au Parlement européen et au Conseil : aucun acte adopté dans Cellar au 11/10/2026 ; position du Parlement non trouvée.
• Le texte français des rectificatifs au CRA (02/07/2025, 03/10/2025, 17/10/2025, 25/03/2026) : Cellar ne sert pas de version française ; l'écart du texte français de l'art. 69 § 3 (« le 11 décembre 2027 ») avec la version anglaise (« before ») n'est donc pas vérifié contre un rectificatif, pas plus que la lettre de l'art. 64 § 10 (« Par dérogation aux paragraphes 3 à 9 », identique en français et en anglais), qui ne couvre pas les amendes de l'art. 14 prévues au § 2 (§ 3.1.4).
• Le statut au regard du CRA d'un EPUB ou d'un manuel qui contient des scripts : ni le règlement ni le projet d'orientations ne le traitent (la directive 2024/2853 exclut le contenu des livres électroniques, pas le CRA).
• L'existence chez les éditeurs d'une politique de divulgation coordonnée des vulnérabilités publiée ailleurs que dans un security.txt (page dédiée, programme de primes) : non recherchée page à page ; et les notifications déjà faites à la SRP depuis le 11/09/2026 : non publiques.
• Les conditions particulières des marchés régionaux de manuels numériques (clauses de réversibilité, d'export, de sécurité des CCTP) : non lues. Les avis BOAMP et les DECP ne les portent pas (§ 3.2.8) ; elles s'établiraient par les DCE : Normandie (https://www.marches-publics.info/mpiaws/index.cfm?fuseaction=dematEnt.login&type=DCE&IDM=1768996, avis 26-7850), PACA (achat.maregionsud.fr, avis 23-56642), Alpes-de-Haute-Provence (agysoft.marches-publics.info, avis 23-11186), Nouvelle-Aquitaine (avis 23-19246), Île-de-France (avis 23-16205), Ville de Paris (avis 26-43620), dont l'accès suppose en général un compte sur le profil d'acheteur (démarche « compte ») ; à défaut, par demande de communication aux régions (docs/demarches/01-demandes-cada.md).
• La date d'adoption formelle des orientations C(2026) 5252 dans toutes les langues : non trouvée au 11/10/2026 ; jusque-là, le texte n'est qu'un projet approuvé (§ 3.1.1).
• La transposition en France de la directive (UE) 2024/2853 : aucun projet de loi ni texte adopté trouvé au 11/10/2026 ; la réponse ministérielle du 12/05/2026 annonce « un texte dédié » (§ 3.1.9). Légifrance renvoie 403 ; à suivre sur le dossier législatif quand il existera.
• La qualification au regard de NIS 2 du service en ligne d'un éditeur scolaire (« fournisseur de services d'informatique en nuage » au sens de la directive (UE) 2022/2555, ou non) : non établie ; le CRA (considérant 12) ne fait que renvoyer les services en nuage à NIS 2.
• Les versions et dates des clients de bureau (Lib Manuels PC / Mac, application PC de Biblio Manuels, client Windows d'éducadhoc) : non mesurées ; les pages de téléchargement des distributeurs ne les exposent pas sans navigateur. Y30 § 1.24 : rien à lire au navigateur non plus, les pages de téléchargement étant réservées aux comptes ; reste la démarche « compte » auprès des distributeurs.
• Le format de l'export de Lib Manuels (bouton « Exporter » annoncé par la politique de confidentialité d'Édulib) : non établi ; il s'établirait avec un compte (démarche « compte », destinataire : Édulib, contact@edulib.fr).
• Le lien entre « SAS PICARDO SHANNON », vendeur de l'application SchoolMouv sur l'App Store, et la société SchoolMouv (SIREN 794640235) : non recherché.
• Le texte officiel de l'art. 42 du CCAG-TIC 2021 : lu sur une reproduction ; Légifrance (JORFTEXT000043310689) renvoie 403. Fermé par Y30 § 1.3 : le texte officiel de Légifrance concorde avec la reproduction (art. 42 et 38.4 lus).

#6. Sources

Textes de l'Union européenne

• Règlement (UE) 2024/2847 (CRA), JO L du 20/11/2024 : http://publications.europa.eu/resource/celex/32024R2847 (français et anglais) ; https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R2847
• Règlement d'exécution (UE) 2025/2392 : http://publications.europa.eu/resource/celex/32025R2392
• Règlement délégué (UE) 2026/881 : http://publications.europa.eu/resource/celex/32026R0881
• Commission, C(2026) 5252 final du 27/07/2026 (approbation du contenu du projet d'orientations) et annexe : https://ec.europa.eu/newsroom/dae/redirection/document/131455 ; https://ec.europa.eu/newsroom/dae/redirection/document/131456
• Directive (UE) 2024/2853 (responsabilité du fait des produits défectueux), JO L du 18/11/2024 : http://publications.europa.eu/resource/celex/32024L2853
• Règlement (UE) 2023/2854 (Data Act), JO L du 22/12/2023 : http://publications.europa.eu/resource/celex/32023R2854
• Commission, FAQ Data Act v1.4 du 22/01/2026 : https://ec.europa.eu/newsroom/dae/redirection/document/108144 (page : https://digital-strategy.ec.europa.eu/en/library/commission-publishes-frequently-asked-questions-about-data-act)
• Proposition COM(2025) 837 : http://publications.europa.eu/resource/cellar/ebf17714-c56e-11f0-8da2-01aa75ed71a1.0010.03/DOC_1 et DOC_2
• Règlement (UE) 2022/2065 (DSA), JO L 277 du 27/10/2022 : http://publications.europa.eu/resource/celex/32022R2065
• Lignes directrices art. 28 § 4 DSA, C/2025/5519 : http://publications.europa.eu/resource/celex/52025XC05519
• Cellar SPARQL : https://publications.europa.eu/webapi/rdf/sparql (requêtes du 11/10/2026)

Autorités et textes français

• ANSSI, cadre règlementaire du CRA : https://cyber.gouv.fr/reglementation/cybersecurite-des-produits/cyber-resilience-act/cadre-r%C3%A8glementaire-du-cra/
• Arcom, 5 informations à retenir sur le RSN : https://www.arcom.fr/actualites/5-informations-retenir-sur-le-reglement-sur-les-services-numeriques-rsn-ou-digital-services-act-dsa
• Arcep, décision n° 2025-0340 : https://www.arcep.fr/uploads/tx_gsavis/25-0340.pdf ; rôle et action : https://www.arcep.fr/la-regulation/grands-dossiers-internet-et-numerique/informatique-en-nuage-cloud/role-et-action-arcep.html
• Projet de loi DDADUE, AN n° 2518 : https://www.assemblee-nationale.fr/dyn/17/textes/l17b2518_projet-loi.pdf ; dossier : https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N53140
• Arrêté du 07/09/2026 (NOR MENN2623554A), JO du 23/09/2026 : fichier etude/vague3/_travail_V22/arrete_20260907.txt
• CCAG-TIC 2021, art. 42 (reproduction) : https://www.code-commande-publique.com/?p=12839 ; texte officiel (arrêté du 30/03/2021, art. 38.4 et 42), lu sur Légifrance par le lot navigateur (Y30 § 1.3) : https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000043310689
• Code des postes et des communications électroniques, art. L. 43, version en vigueur au 11/10/2026, lue sur Légifrance par le lot navigateur (Y30 § 1.3)
• Assemblée nationale, question écrite n° 11448 et réponse (JO du 12/05/2026) : https://questions.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE11448.pdf ; https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE11448

Acteurs

• Lelivrescolaire.fr : https://www.lelivrescolaire.fr/informations/conditions-d-utilisation ; https://www.lelivrescolaire.fr/informations/conditions-generales-de-vente ; https://www.lelivrescolaire.fr/informations/mentions-legales ; https://www.lelivrescolaire.fr/.well-known/security.txt
• CNS : https://www.cns-edu.com/conditions-generales-utilisation-de-l-offre-numerique ; https://www.cns-edu.com/conditions-generales-de-vente ; https://www.cns-edu.com/conditions-generales-utilisation-cns
• Édulib : https://www.edulib.fr/cgu-cgv ; https://www.edulib.fr/politique-de-confidentialite ; lien mort https://www.edulib.fr/data_policy ; https://www.edulib.fr/applications
• KNE : CGV du 11/10/2026 par l'API https://api-cms.kiosque-edu.com/cgv/ (fichier …/Y24-integ/kne_cgv_api.json) ; copie antérieure du 08/10/2026, etude/vague3/.v06tmp/kne_cgv.txt (page https://www.kiosque-edu.com/cgv chargée par script)
• Kartable : https://www.kartable.fr/mentions-legales/cgu ; https://www.kartable.fr/mentions-legales/cgv ; https://www.kartable.fr/mentions-legales
• SchoolMouv : https://www.schoolmouv.fr/legal/cgv ; https://www.schoolmouv.fr/mentions-legales

Données ouvertes et mesures (11/10/2026)

• GAR, liste des ressources 2026 : https://data.education.gouv.fr/api/explore/v2.1/catalog/datasets/fr-en-gestionnaire-dacces-aux-ressources-gar-liste_des_ressources-2026/exports/json (fichier gar2026_20261011.json)
• Google Play, fiches : fr.libmanuels, ean3133091123925.com.bordasnathan.bibliomanuels, com.hachette.hereaderepubv2, fr.lelivrescolaire.lycee, com.humensis.cosmos, com.magnard.flex.manuel, com.sejer.solaire, com.sejer.bordasflashpageun1703, ean3133092217593.com.nathan.u4live, com.kartable.android, com.schoolmouv (fichier gp_apps_20261011.json)
• App Store, API publique : https://itunes.apple.com/lookup?id=1270160186,1016005465,877509846,1455239230,1526809556,1618409534,6762769480,1220055658,1004382627,825500330,1353761629&country=fr ; recherche https://itunes.apple.com/search?term=…&country=fr&entity=software (et entity=macSoftware) (fichiers …/Y24-integ/ios_*.json, mac_*.json)
• BOAMP, API Opendatasoft : https://boamp-datadila.opendatasoft.com/api/explore/v2.1/catalog/datasets/boamp/records (avis 23-19246, 23-28820, 23-56642, 23-11186, 26-43620, 26-7850, 26-23165, 26-47138, 23-16205, 22-74447 ; fichiers …/Y24-integ/full_*.json)
• DECP, data.economie.gouv.fr : https://data.economie.gouv.fr/api/explore/v2.1/catalog/datasets/decp-v3-marches-valides/records (fichier …/Y24-integ/decp_manuels_num.json)
• NVD, API CVE 2.0 : https://services.nvd.nist.gov/rest/json/cves/2.0 (CVE-2025-69727, CVE-2023-24720)
• Base de transparence du DSA : https://transparency.dsa.ec.europa.eu/statement (fichier dsatdb_platforms.tsv)
• API Recherche d'entreprises : https://recherche-entreprises.api.gouv.fr/search ; Édulib : https://recherche-entreprises.api.gouv.fr/search?q=edulib
• data.gouv.fr, API de recherche : https://www.data.gouv.fr/api/1/datasets/ et https://www.data.gouv.fr/api/2/datasets/search/

Rapports de l'étude mobilisés : 04-formats § 1, 4, 7 ; 07-vague3 § 6.3, 8 ; 10-vague5 § 5.4, 8.3, 10 ; V21 § 3.3, 4.10, 5 ; V22 § 3.4 ; W06 § 4.7 ; X28 § 3 ; X32 § 3.6 ; R15-verif (Lib Manuels PC / Mac) ; X28-verif n° 8 (client Windows d'éducadhoc) ; contre-vérification etude/vague6/verif/Y24-verif.md.

Fichiers de travail : /home/paul/.cache/manuels-vague6/Y24/ (textes extraits, CGU, mesures) ; /home/paul/.cache/manuels-vague6/Y24-integ/ (intégration de la contre-vérification : directive 2024/2853, CGV du KNE par l'API, pages d'Édulib, App Store, BOAMP, DECP, question écrite n° 11448).