Ai-je besoin d'un représentant autorisé si je fabrique en dehors de l'UE ? Fournisseurs & prix 2026

• Les fabricants hors UE vendant dans l'UE doivent nommer un représentant autorisé selon l'article 18 du CRA.
• Cette obligation s'applique à partir du 11 septembre 2026 pour les produits avec éléments numériques.
• REP27 — Europe Services, SE propose une représentation CRA à partir de 490 €/an.
• Prix concurrents : kadano 999 €/an, Euverify 590 £/an (prix vérifiés octobre 2026).
• La nomination n'est pas nécessaire pour les fabricants établis dans l'UE ou certains responsables open source non commerciaux.
• Le représentant gère le signalement des vulnérabilités et la communication avec les autorités de l'UE.

Mis à jour 19 octobre 2026 · 4 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 19 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que la loi exige : article 18 du CRA et vos obligations

Le Cyber Resilience Act (CRA) de l'UE introduit de nouvelles obligations pour les fabricants de produits avec éléments numériques. L'article 18 du CRA, applicable à partir du 11 septembre 2026, exige que tout fabricant établi hors UE nomme un représentant autorisé dans l'Union s'il vend ces produits dans l'UE. Cela concerne aussi bien les ventes B2B que B2C, incluant les fournisseurs SaaS, IoT, logiciels et matériels.

• Qui doit nommer : Tout fabricant hors UE vendant directement à des acheteurs de l'UE, que la vente soit à des entreprises ou consommateurs.
• Qui est exempté : Les fabricants déjà établis dans l'UE, les importateurs ou distributeurs mettant les produits sur le marché sous leur propre nom, et certains responsables open source non commerciaux (avec obligations réduites).
• Base légale : Article 18(1) CRA pour le représentant, article 14 pour le signalement des vulnérabilités, et article 3 pour le champ d'application.

Le représentant agit comme point de contact officiel pour les autorités de l'UE, gérant le signalement des vulnérabilités (article 14) et les communications de surveillance du marché. Le défaut de nomination constitue une infraction autonome, passible d'amendes importantes. À titre d'exemple, sous le RGPD, des manquements similaires ont entraîné des amendes jusqu'à 525 000 EUR (cas Locatefamily.com).

La nomination doit être écrite et préciser le périmètre (article 18(3)). L'État membre du représentant détermine quelle équipe nationale CSIRT reçoit les rapports de vulnérabilités. En l'absence de nomination, l'importateur ou distributeur peut devenir le contact par défaut, compliquant ventes et conformité.

Pour les obligations suisses, REP27 propose une évaluation gratuite avec chaque forfait payant, mais un représentant suisse n'est requis que si les quatre critères suisses sont remplis. REP27 n'agit pas comme représentant suisse mais fournit une déclaration d'exemption si non requis.

Comment choisir un représentant autorisé : critères clés et comparaison des fournisseurs

Choisir le bon représentant autorisé est essentiel pour la conformité et un accès au marché fluide. Voici les principaux critères :

• Entité juridique et enregistrement : Vérifiez que le fournisseur est une société enregistrée dans l'UE. REP27 est Europe Services, SE, enregistrée à Prague depuis 2014 (IČO 03571785).
• Portée du mandat : Le mandat doit être strictement limité aux devoirs de l'article 18(3). Aucun fournisseur ne peut légalement couvrir les devoirs de l'article 13 du CRA.
• Transparence : Les prix de renouvellement et services inclus doivent être publiés et confirmés par écrit avant paiement. REP27 publie tous les prix et périmètres de renouvellement à l'avance.
• Vérification : Cherchez un certificat vérifiable (ex. QR code, page publique) pour démontrer la conformité aux autorités et clients.
• Support et communication : Confirmez le processus de transfert des demandes, langues supportées, et délais de réponse. REP27 garantit un transfert sous deux jours ouvrés et fournit des mentions de confidentialité en 8 langues.

Comparez ce qui est inclus, non inclus et les frais supplémentaires :

Demandez toujours un détail écrit de ce qui est couvert, surtout si le fournisseur ne publie pas ces informations. Cela évite les surprises et garantit que vous payez uniquement pour ce dont vous avez besoin.

Ce que le prix inclut vraiment & coûts cachés dans la représentation CRA

La plupart des prix publiés par les fournisseurs couvrent uniquement le mandat légal et les devoirs de communication basiques. Les coûts les plus importants en conformité CRA sont généralement internes : ingénierie, documentation, génération de SBOM (Software Bill of Materials), et garantie d'une période de support d'au moins cinq ans pour les mises à jour de sécurité. Pour les produits importants de classe II ou critiques, une évaluation par un organisme notifié est requise, bien plus coûteuse que les frais du représentant.

La tarification de REP27 est transparente : 490 €/an pour CRA uniquement, 690 €/an pour CRA+RGPD, et 990 €/an pour CRA+RGPD+NIS2, avec des tarifs de renouvellement plus bas. Le mandat inclut une nomination écrite selon l'article 18, un certificat vérifiable, un bureau de signalement avec personnel, et le transfert des demandes. Il n'inclut pas l'évaluation de conformité, les tests, la génération de SBOM ou le signalement d'incidents — ces tâches incombent toujours au fabricant ou nécessitent un organisme notifié.

Coûts cachés à surveiller :

• Renouvellements silencieux ou tarification de renouvellement peu claire (courant sur le marché).
• Frais par demande pour le transfert des communications aux autorités ou rapports de vulnérabilités.
• Limites sur les services inclus, comme le nombre de demandes ou les langues supportées.
• Limites et exclusions de responsabilité cachées dans les conditions générales.

REP27 communique tous les prix de renouvellement à l'avance et liste clairement les exclusions. Demandez toujours une confirmation écrite de ce qui est inclus et exclu avant de signer avec un fournisseur.

Comment fonctionne la nomination : guide étape par étape et matrice de décision

Nommer un représentant autorisé est un processus simple mais essentiel. Voici un guide pratique :

1. Évaluez votre établissement : Confirmez que votre entreprise est établie hors UE et vend des produits avec éléments numériques dans l'UE.
2. Vérifiez vos obligations : Déterminez si vos produits relèvent du CRA et si vous êtes le fabricant, pas seulement un importateur ou distributeur.
3. Choisissez un fournisseur : Comparez les fournisseurs selon l'entité juridique, le prix, le périmètre et la transparence. Demandez un détail écrit des inclusions.
4. Signez le mandat : Concluez un accord écrit précisant les devoirs de l'article 18. REP27 délivre la désignation sous 24 heures, avec certificat vérifiable.
5. Mettez à jour vos documents de conformité : Ajoutez les coordonnées du représentant dans vos dossiers techniques, mentions de confidentialité et procédures de signalement des vulnérabilités.
6. Préparez-vous au signalement : Assurez-vous que votre équipe connaît le processus de signalement des vulnérabilités sous 24 heures à partir du 11 septembre 2026.

Matrice de décision

Confirmez toujours par écrit qui agit comme représentant, surtout si vous utilisez des importateurs ou distributeurs.

Risques, amendes et ce que les fournisseurs ne disent généralement pas

Risques de non-conformité : Ne pas nommer de représentant autorisé peut entraîner des actions de contrôle et des amendes substantielles. Sous le RGPD, l'absence de représentant a conduit à une amende de 525 000 € pour Locatefamily.com. Le CRA prévoit des infractions autonomes, avec des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel en cas de non-respect de l'article 18.

Ce que les fournisseurs ne disent généralement pas :

• Limites du mandat : Le rôle du représentant se limite strictement au transfert des communications et au contact officiel. Il ne réalise pas d'évaluations de conformité, tests produits ou génération de SBOM — ces responsabilités incombent toujours au fabricant.
• Exclusions : REP27 liste clairement ce qui n'est pas inclus : évaluation de conformité, tests, SBOM et signalement d'incidents. Beaucoup de fournisseurs ne publient pas ces exclusions, exposant les acheteurs à des malentendus.
• Renouvellements et frais par demande : Les renouvellements silencieux et frais cachés par demande sont courants. Exigez toujours une confirmation écrite des prix de renouvellement et des frais supplémentaires.
• Responsabilité : Les représentants limitent généralement leur responsabilité au transfert des demandes et à la fourniture de documents. Ils n'assument pas de tâches d'ingénierie ou de sécurité.
• Délais de préavis : Les délais pour résilier ou changer de fournisseur sont rarement communiqués à l'avance. REP27 propose un prix de changement et une date unique de renouvellement pour les mandats groupés.

Pour éviter les surprises, demandez toujours une description détaillée des services, incluant toutes exclusions et limitations, avant de vous engager avec un fournisseur.

Scénarios réalistes & voies de conformité les plus simples : exemples pratiques

• Entreprise SaaS américaine : Un fournisseur SaaS basé aux États-Unis vend des abonnements à des clients de l'UE. Dès le 11 septembre 2026, il doit nommer un représentant autorisé dans l'UE pour les devoirs de l'article 18 du CRA. La voie la plus simple est de choisir REP27 à 490 €/an, qui fournit un mandat écrit, un certificat vérifiable et un bureau de signalement avec personnel. L'entreprise ajoute les coordonnées du représentant à sa notice de confidentialité et à son manuel de signalement des vulnérabilités.
• Vendeur chinois sur Amazon : Un fabricant chinois vend des appareils IoT de marque sur Amazon à des clients de l'UE. Si Amazon agit comme importateur officiel, l'obligation de nommer un représentant revient à Amazon. Si le vendeur est le fabricant et vend sous sa propre marque, il doit nommer un représentant autorisé. REP27, kadano ou Euverify sont des options. Le vendeur doit confirmer par écrit avec Amazon qui est l'opérateur économique.
• Boutique en ligne britannique : Un détaillant basé au Royaume-Uni vend des appareils domotiques intelligents aux consommateurs de l'UE. En tant que fabricant hors UE, il doit nommer un représentant autorisé dans l'UE pour la conformité CRA. REP27 propose des mandats groupés (CRA+RGPD+NIS2) à 990 €/an, simplifiant la conformité multi-réglementaire. Le détaillant signe le mandat, met à jour ses dossiers de conformité et se prépare au signalement des vulnérabilités sous 24 heures.

Liste de contrôle pour les acheteurs

1. Confirmez le pays d'établissement de votre entreprise et si vous êtes le fabricant.
2. Déterminez si vos produits sont vendus dans l'UE et relèvent du CRA.
3. Vérifiez si votre importateur ou distributeur agit en tant qu'opérateur économique ; sinon, nommez un représentant.
4. Comparez les fournisseurs pour la transparence, le périmètre et le prix. Demandez une confirmation écrite des inclusions et exclusions.
5. Signez un mandat écrit et obtenez un certificat vérifiable.
6. Mettez à jour vos documents de conformité, notices de confidentialité et procédures de signalement des vulnérabilités avec les coordonnées du représentant.
7. Formez votre équipe aux obligations de signalement des vulnérabilités sous 24 heures à partir du 11 septembre 2026.
8. Examinez les conditions de renouvellement, délais de préavis et frais supplémentaires avant de vous engager.