Publié le 16/06/2026

Biens à double usage et cybersécurité : Ce que votre entreprise doit savoir avant d'exporter

Article juridique - Droit fiscal et droit douanier

Logiciels de chiffrement, VPN, EDR, pare-feux, outils de cybersurveillance, solutions SaaS cloud : êtes-vous certains de ne pas exporter sans licence ? La question mérite d'être posée sérieusement. Depuis l'entrée en vigueur du règlement (UE) 2021/821, le 9 septembre 2021, les obligations pesant sur les entreprises exportatrices de technologies de cybersécurité se sont considérablement renforcées. Et les conséquences d'une violation — sanctions douanières, peines pénales, responsabilité personnelle du dirigeant — sont loin d'être théoriques.

Attention : une exportation sans licence constitue une infraction douanière et pénale en France, quelle que soit la taille de l'entreprise exportatrice. L'ignorance de la réglementation n'est pas une cause d'exonération.

1. Qu'est-ce qu'un bien à double usage en cybersécurité ?

Le règlement (UE) 2021/821 du 20 mai 2021 définit les biens à double usage (BDU) comme « les produits, y compris les logiciels et les technologies, susceptibles d'avoir une utilisation tant civile que militaire ». En matière de cybersécurité, cette définition recouvre un champ considérablement plus large que ce qu'anticipent la plupart des entreprises du secteur.

Concrètement, un éditeur de logiciels de sécurité informatique, une MSSP, un éditeur SaaS ou un intégrateur IT peut se retrouver soumis aux obligations du contrôle des exportations — sans en avoir conscience — dès lors qu'il exporte, transfère ou met à disposition hors de l'Union européenne des produits comportant des fonctions sensibles.

La notion est délibérément large. Un outil de détection d'intrusion conçu pour protéger un réseau d'entreprise peut tout aussi bien servir à surveiller des dissidents politiques. C'est précisément ce risque de détournement que le règlement 2021/821 cherche à encadrer.

Les technologies de cybersécurité concernées se répartissent principalement dans deux catégories de l'Annexe I :

Catégorie 4 — Informatique (systèmes, logiciels de traitement de l'information)
Catégorie 5, Partie 2 — Sécurité de l'information (cryptologie, chiffrement)

S'y ajoute, depuis 2021, un régime transversal spécifique aux biens de cybersurveillance, applicable même aux produits non listés à l'Annexe I via la clause « catch-all ».

2. Classification des logiciels de cybersécurité

La première obligation de tout exportateur est d'identifier si son produit figure dans la liste de contrôle de l'Annexe I du règlement 2021/821 et, le cas échéant, sous quelle référence. Voici les principales rubriques applicables :

Rubrique	Catégorie	Technologies concernées	Niveau de contrôle
5E002 / 5D002	Cat. 5 — Partie 2	Logiciels de chiffrement, cryptographie, VPN, TLS/SSL, protocoles sécurisés	Très élevé
5A004	Cat. 5 — Partie 2	Systèmes de cryptanalyse, déchiffrement forcé	Très élevé (Annexe IV)
4A005 / 4D001	Cat. 4 — Informatique	Systèmes IDS/IPS, EDR avancés	Élevé
4E001	Cat. 4 — Informatique	Technologies de sécurité des systèmes d'information	Élevé
Cybersurveillance (non-listés)	Transversal	Logiciels de surveillance, interception, exfiltration de données — clause catch-all	Variable (cas par cas)
Pare-feux / SIEM standards	Hors liste	Produits sans chiffrement fort ni fonctions d'intrusion avancées	Généralement hors champ

La classification n'est pas toujours évidente. Un même produit peut relever de plusieurs rubriques, ou être exempt de contrôle selon ses paramètres techniques précis (longueur de clé, algorithme, usage déclaré). Une erreur de classification expose l'entreprise à des sanctions douanières et pénales, même en l'absence d'intention malveillante.

La question de la classification ECCN américaine

Les entreprises travaillant avec des composants ou technologies d'origine américaine doivent également tenir compte de la réglementation américaine EAR (Export Administration Regulations) et de la classification ECCN. Les rubriques ECCN 5D002 et 5E002 présentent une correspondance partielle avec la nomenclature européenne, mais les régimes ne sont pas identiques : destinations contrôlées, licences requises et exemptions diffèrent.

Point d'attention SaaS et cloud : l'exportation d'un logiciel de cybersécurité sous forme de service (SaaS) ou hébergé dans le cloud n'exempte pas de l'application du contrôle des exportations. Le transfert immatériel de technologie est expressément couvert par le règlement 2021/821.

3. Le régime spécial des biens de cybersurveillance

L'innovation majeure du règlement 2021/821 est l'intégration d'un régime spécifique aux biens de cybersurveillance, directement issu des enseignements des affaires FinFisher et Pegasus.

Le règlement les définit comme les biens « conçus spécifiquement pour permettre la surveillance discrète de personnes physiques par la surveillance, l'extraction, la collecte ou l'analyse de données provenant de systèmes d'information et de télécommunications ».

Ce régime présente deux caractéristiques majeures :

Clause catch-all étendue. Même un logiciel non inscrit à l'Annexe I peut être soumis à autorisation si l'exportateur a été informé — ou aurait dû savoir — que le bien est destiné à une utilisation impliquant la répression interne ou des violations graves des droits de l'homme.

Obligation de vigilance renforcée. L'exportateur a l'obligation positive de vérifier l'identité et les intentions de l'utilisateur final. Une due diligence documentée est indispensable.

Cette approche fondée sur l'usage final — et non uniquement sur les caractéristiques techniques — complique considérablement l'analyse de conformité pour les entreprises de cybersécurité. Un logiciel de monitoring réseau tout à fait légitime dans un contexte corporate peut relever des biens de cybersurveillance s'il est exporté vers un client dont le profil ou la localisation soulève des questions.

4. Licences d'exportation : types et procédure EGIDE

En France, l'autorité compétente pour la délivrance des licences d'exportation de BDU est le SBDU (Service des Biens à Double Usage), rattaché à la Direction Générale des Entreprises (DGE). Les demandes sont déposées via la plateforme dématérialisée EGIDE.

Types d'autorisations disponibles

Type d'autorisation	Caractéristiques	Adapté pour
AGEX-UE	Autorise sans démarche préalable vers destinations peu sensibles	Exports vers pays alliés (US, Canada, Japon, Australie…)
EU007 — Intragroupe	Logiciels et technologies vers entités du même groupe hors UE	Groupes internationaux avec filiales
EU008 — Cryptographie	Biens de cryptographie vers la plupart des destinations	Éditeurs de logiciels de chiffrement
Licence générale nationale (LGN)	Valable 1 an, renouvelable tacitement — reporting semestriel obligatoire	Exportateurs réguliers avec flux connus du SBDU
Licence individuelle	Opération spécifique, destinataire identifié	Destinations sensibles, biens très contrôlés
Licence globale	Plusieurs destinataires / opérations — programme PIC requis	Grands exportateurs avec conformité interne établie

La procédure EGIDE en 6 étapes

Étape 1 — Identification et classification du bien. Vérifier si le produit figure à l'Annexe I et sous quelle rubrique. En cas de doute, interroger le SBDU (question.sbdu@finances.gouv.fr).
Étape 2 — Détermination du type d'autorisation. Choisir l'autorisation adaptée selon la destination, le destinataire, la valeur et la fréquence des exportations. Commencer par vérifier les AGEX-UE disponibles.
Étape 3 — Constitution du dossier. Description technique détaillée, code douanier NC8, identification de l'utilisateur final (certificat d'utilisateur final), usage prévu, contrat commercial.
Étape 4 — Dépôt sur EGIDE. Soumettre le dossier complet en s'assurant de la cohérence entre le contenu du dossier et les documents douaniers destinés à la DGDDI.
Étape 5 — Instruction par le SBDU. Le SBDU peut consulter d'autres administrations (ANSSI pour la cryptologie). Délai variable selon la sensibilité du dossier.
Étape 6 — Suivi et reporting. Conserver tous les documents pendant au moins 5 ans. Pour les LGN, transmettre un état récapitulatif semestriel des exportations réalisées.

Délai de refus implicite : en l'absence de réponse du SBDU dans un délai de 5 mois, un refus implicite est considéré comme acquis. Des recours gracieux, hiérarchiques et contentieux sont alors possibles.

5. Cas pratiques : VPN, EDR, pare-feu, IA et SaaS

La question concrète que posent la plupart des entreprises : « Mon produit est-il concerné ? » Voici une analyse produit par produit — sous réserve des caractéristiques techniques précises de chaque solution.

Produit	Soumis ?	Rubrique	Points d'attention
VPN	En principe oui	5D002 / 5E002	Chiffrement fort (AES-256…) = Cat. 5.2. Exemptions possibles selon fonctions exactes.
EDR	Selon fonctions	4A005 / 4D001	Capacités d'intrusion ou d'exfiltration réseau → classification obligatoire.
Pare-feu	Selon fonctions	5D002 si VPN intégré	VPN intégré → zone de contrôle. Pare-feu filtrant standard → généralement hors champ.
IDS / IPS	Selon niveau	4A005	Systèmes avancés avec capacités offensives plus susceptibles d'être contrôlés.
SIEM	Généralement non	Hors liste	Attention si modules IA comportementale ou capacités offensives intégrées.
Logiciel de chiffrement / PKI	Oui	5D002 / 5A004	Contrôle systématique. AGEX-UE EU008 peut s'appliquer selon algorithmes et destination.
IA de cybersécurité	Zone grise	En évolution	IA avec analyses intrusives ou données sensibles peut entrer en zone de contrôle.
SaaS / Cloud de cybersécurité	Oui si fonctions concernées	Même rubrique que le produit sous-jacent	Livraison immatérielle (API, accès en ligne) n'exempte pas du contrôle.

Ces indications ont une valeur orientative. Seule une analyse technique et juridique précise de votre produit permet de déterminer avec certitude sa classification et les obligations applicables.

6. Sanctions en cas de violation

En France, l'exportation non autorisée de biens à double usage est une infraction douanière et pénale (article 414 du Code des douanes). Elle peut entraîner :

Sanctions douanières : confiscation des marchandises, amendes douanières proportionnelles à la valeur des biens, solidarité passive des dirigeants.
Sanctions pénales : peines d'emprisonnement en cas d'infraction grave, amendes pénales, interdiction d'exercer certaines activités.
Responsabilité personnelle du dirigeant : engageable indépendamment de la taille de l'entreprise.
Radiation des listes d'exportateurs agréés : perte des licences générales existantes, impossibilité d'en obtenir de nouvelles pendant une période déterminée.
Risque réputationnel : les procédures douanières sont publiques et peuvent affecter durablement la crédibilité commerciale d'une entreprise de cybersécurité.
Exposition aux régimes de sanctions internationaux : une violation des BDU peut déclencher des mesures au titre des régimes de sanctions UE ou américains (OFAC).

Conservation documentaire : un défaut de déclaration peut entraîner des sanctions douanières même si la licence est par ailleurs valide. L'obligation de conservation est de 5 ans minimum à compter de la date d'exportation.

7. Mettre en place un programme de conformité interne (PIC)

Le règlement 2021/821 encourage explicitement la mise en place de programmes de conformité internes (PIC). Pour les titulaires de licences globales, le PIC est obligatoire. Pour les autres, il est fortement recommandé : il constitue une preuve de bonne foi en cas de contrôle et facilite l'obtention de licences générales.

Un PIC robuste en matière de biens à double usage cybersécurité comprend :

Cartographie des produits : identifier et classer chaque produit et version exportée. Réviser à chaque mise à jour produit significative.
Due diligence utilisateur final : vérifier l'identité, les activités et les antécédents de chaque client hors-UE. Obtenir et conserver les certificats d'utilisateur final. Contrôler les listes de sanctions.
Procédures et documentation : formaliser les matrices de décision et circuits d'approbation interne. Documenter chaque décision d'exportation. Conserver 5 ans minimum.
Formation des équipes : les commerciaux en contact avec des clients non-UE sont en première ligne de la conformité export.
Veille réglementaire : suivre les mises à jour de la liste de contrôle, les nouveaux régimes de sanctions et les orientations de la Commission européenne.
Audit périodique : auditer le PIC au moins annuellement. Réévaluation systématique en cas d'acquisition, de nouveau produit ou d'entrée sur un nouveau marché géographique.

Conclusion : ne pas attendre le contrôle douanier pour agir

La réglementation sur les biens à double usage en cybersécurité est complexe, en constante évolution, et ses contours restent flous pour de nombreux acteurs du secteur. L'entrée en vigueur du règlement 2021/821 a considérablement élargi le périmètre de contrôle — notamment avec l'intégration des biens de cybersurveillance et la clause catch-all — sans que les entreprises concernées en aient toujours été informées.

La bonne approche est proactive : classifier ses produits, vérifier les licences applicables, mettre en place un programme de conformité interne et former ses équipes commerciales avant qu'une opération d'exportation ne pose problème. Une fois le contrôle douanier enclenché, les marges de manœuvre sont considérablement réduites.

Le cabinet Nicolas Avocat accompagne les éditeurs de logiciels, les intégrateurs et les entreprises technologiques dans l'analyse de leurs obligations BDU, la constitution de leurs dossiers de licence auprès du SBDU et la mise en place de leurs programmes de conformité internes. Pour toute question, prenez contact directement.

Miguel Nicolas est avocat au Barreau de Paris (Toque B0288), docteur en droit de l'Union européenne (Université de Cergy-Pontoise, 2013). Il dirige le Cabinet Nicolas Avocat, spécialiste en droit douanier, droit fiscal international et droit de l'UE. Il conseille et représente des clients internationaux sur des questions de contrôle des exportations, de classification de biens à double usage, de régimes de sanctions et de contentieux douanier.

E-mail: contact@nicolasavocat.com

Tel: 06 49 44 50 63