Alternatives à l'embauche d'un représentant autorisé CRA : fournisseurs & tarifs 2026

• L'article 18 du CRA exige un représentant pour les fabricants hors UE vendant dans l'UE
• Les fabricants basés dans l'UE n'ont pas besoin de représentant autorisé
• Les importateurs ou distributeurs peuvent agir comme représentants s'ils sont nommés
• Les tarifs 2026 vérifiés vont de 490 € à 999 € par an
• Le mandat couvre uniquement la représentation, pas l'évaluation de conformité ni les tests
• Les vendeurs B2B et B2C hors UE de produits numériques ont généralement besoin de ce service

Mis à jour 19 octobre 2026 · 7 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 19 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que le Cyber Resilience Act exige (avec numéros d’articles)

Le Cyber Resilience Act (CRA, Règlement (UE) 2024/2847) est un règlement complet qui impose des exigences obligatoires en cybersécurité pour tous les produits comportant des éléments numériques mis sur le marché de l’UE. La loi s’applique aux produits neufs comme existants, et ses obligations couvrent tout le cycle de vie du produit, de la conception au développement, jusqu’à la maintenance et la fin de vie. Le CRA est entré en vigueur le 10 décembre 2024 et sera pleinement applicable à partir du 11 décembre 2027.

L’article 18 est central pour les fabricants hors UE : il exige que ceux établis hors UE nomment un représentant autorisé établi dans l’UE. Ce représentant agit comme point de contact officiel pour les autorités de surveillance du marché et est responsable de la transmission des communications et documents. Si vous êtes un fabricant basé dans l’UE, vous n’avez pas besoin de nommer un représentant. En revanche, si vous êtes un fabricant hors UE, vous devez soit nommer un représentant, soit avoir un importateur ou distributeur prêt à assumer formellement ce rôle. La nomination doit être écrite et clairement documentée.

L’article 14 introduit une obligation stricte de déclaration sous 24 heures pour les vulnérabilités activement exploitées ou incidents graves affectant la sécurité du produit. Les fabricants doivent notifier l’ENISA (Agence de l’Union européenne pour la cybersécurité) dans les 24 heures suivant la prise de connaissance de l’événement, suivie d’une notification complète sous 72 heures, puis d’un rapport final sous 14 jours. Les délais sont en heures calendaires, non ouvrées, et la plateforme de déclaration est gérée par l’ENISA. Cette obligation incombe au fabricant, pas à l’importateur ou distributeur, sauf s’ils ont mis le produit sur le marché sous leur propre nom.

L’article 53 définit les sanctions en cas de non-respect, pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé. Le CRA est appliqué via le marquage CE et la surveillance du marché, et s’applique à tous les produits avec éléments numériques disponibles dans l’UE, quel que soit le lieu d’établissement du fabricant.

• Article 18 : Représentant autorisé pour les fabricants hors UE
• Article 14 : Déclaration des vulnérabilités sous 24 heures
• Article 53 : Amendes et application

Pour plus d’informations sur le texte légal, voir le résumé officiel de l’UE.

Comment choisir un représentant autorisé CRA

Choisir le bon représentant autorisé CRA est une étape cruciale pour les fabricants hors UE. Le représentant sert de présence officielle dans l’UE pour les questions réglementaires et de surveillance du marché. Voici les facteurs clés à considérer :

• Entité légale et localisation : Assurez-vous que le fournisseur est une entité légale enregistrée dans l’UE. Par exemple, REP27 — Europe Services, SE est établi à Prague, République tchèque, et vérifiable dans le registre commercial tchèque.
• Transparence des tarifs : Recherchez des fournisseurs qui publient clairement les prix de la première année et du renouvellement. REP27, par exemple, affiche 490 € pour la première année et 440 € pour le renouvellement, avec des tarifs réduits pour les mandats groupés. Beaucoup de fournisseurs ne publient pas les prix de renouvellement, ce qui peut engendrer des coûts imprévus.
• Portée du service : Vérifiez ce que le mandat inclut réellement. Le mandat de l’article 18 doit couvrir la nomination écrite, un certificat vérifiable, et un bureau de demandes pour transmettre les communications des autorités. Certains fournisseurs peuvent prétendre offrir plus, mais légalement, le représentant ne peut pas effectuer d’évaluation de conformité ni de tests produits — cela dépasse le cadre de l’article 18.
• Vérification et documentation : Un bon fournisseur propose un certificat avec vérification publique (ex. QR code), garantissant que les autorités et acheteurs peuvent facilement confirmer votre conformité.
• Exclusions et limitations : Les fournisseurs réputés indiquent clairement ce qui n’est pas inclus, comme l’évaluation de conformité, la génération de SBOM ou la gestion des incidents. Cette transparence évite malentendus et coûts cachés.

Voici un résumé comparatif des inclusions et exclusions par fournisseur (lorsque connu) :

Demandez toujours une confirmation écrite de la portée, des exclusions et des conditions de renouvellement avant signature.

Ce que le prix inclut réellement

Le coût d’un représentant autorisé CRA est souvent la plus petite ligne de votre budget global de conformité, mais il est essentiel de comprendre ce que vous achetez réellement. Le prix publié pour un représentant CRA couvre uniquement le mandat de l’article 18. Cela inclut typiquement :

• Une nomination écrite du représentant dans l’UE
• Un certificat de nomination, souvent avec QR code ou page de vérification publique
• Un bureau de demandes pour recevoir et transmettre les communications des autorités de l’UE, y compris la surveillance du marché et les CSIRT

Ce qui n’est pas inclus dans le prix :

• Évaluation de conformité (requise pour les produits importants de classe II et critiques ; réalisée par des organismes notifiés, pas par les représentants)
• Tests de sécurité ou génération de SBOM (Software Bill of Materials)
• Gestion des incidents ou travaux d’ingénierie
• Déclaration à l’ENISA (le représentant transmet, mais ne rédige ni ne soumet vos rapports)

Des services groupés peuvent être disponibles pour les mandats GDPR article 27, NIS2 ou GPSR, souvent avec une remise. Par exemple, REP27 propose la représentation combinée CRA et GDPR pour 690 €/an, ou les trois (CRA, GDPR, NIS2) pour 990 €/an. Vérifiez toujours si le prix de renouvellement est fixe ou sujet à changement, et si le fournisseur facture un supplément pour changer de représentant.

Voici un résumé des prix publiés et inclusions :

Les fournisseurs doivent indiquer l’entité légale signant le mandat. Vérifiez toujours cela avant paiement.

Coûts cachés et exclusions

Bien que les frais pour un représentant autorisé CRA soient généralement clairs, les coûts réels de conformité au CRA sont souvent cachés ailleurs. Les dépenses les plus importantes sont internes et concernent l’ingénierie, la documentation et le support produit continu :

• Évaluation de conformité : Pour les produits importants de classe II et critiques, un organisme notifié doit réaliser une évaluation de conformité. Ce processus peut coûter plusieurs milliers d’euros et prendre des mois. Les représentants ne fournissent pas ce service.
• Tests de sécurité et SBOM : La génération d’un Software Bill of Materials et les tests de sécurité sont des exigences techniques qui doivent être gérées par votre équipe d’ingénierie ou des sociétés externes spécialisées. Aucun représentant ne les inclut dans son mandat.
• Période de support : Le CRA exige que les fabricants fournissent des mises à jour de sécurité pendant au moins cinq ans. Prévoyez un budget pour la maintenance et les correctifs en continu, pas un projet ponctuel.
• Gestion des incidents : Bien que le représentant puisse transmettre les rapports de vulnérabilité, le fabricant reste responsable de l’investigation, de la déclaration et de la remédiation des incidents.
• Renouvellements silencieux et augmentations de prix : Certains fournisseurs ne publient pas les prix de renouvellement ou peuvent augmenter les tarifs sans préavis. Obtenez toujours le prix de renouvellement par écrit avant signature.

Voici un résumé de ce qui est inclus et exclu par fournisseur, selon les informations disponibles :

Pour éviter les surprises, demandez toujours une liste complète des exclusions, des délais de préavis pour résiliation et des frais éventuels par demande ou administratifs.

Comment fonctionne la nomination : étape par étape

Nommer un représentant autorisé CRA est un processus simple, mais qui doit être géré avec soin pour assurer la conformité. Voici un guide étape par étape :

1. Déterminer l’applicabilité : Confirmez si votre entreprise est établie hors UE et si vous mettez des produits avec éléments numériques sur le marché de l’UE. Si vous êtes un fabricant basé dans l’UE, vous n’avez pas besoin de représentant.
2. Choisir la voie : Décidez si vous nommez un représentant autorisé CRA, ou si votre importateur ou distributeur assumera ce rôle. Cela doit être convenu par écrit.
3. Sélectionner un fournisseur : Comparez les fournisseurs selon les prix publiés, la portée et la transparence. Demandez une confirmation écrite de ce qui est inclus et exclu.
4. Signer le mandat : Le fournisseur émettra une lettre de désignation, généralement signée électroniquement. Ce document doit clairement indiquer la portée et l’entité légale impliquée.
5. Recevoir le certificat : Obtenez un certificat de nomination, idéalement avec QR code ou page de vérification publique, à inclure dans votre documentation technique et dossiers de conformité.
6. Mettre à jour la documentation : Ajoutez les coordonnées du représentant à votre documentation technique, runbook et tout matériel d’approvisionnement.
7. Préparer la déclaration : Mettez en place votre processus de déclaration des vulnérabilités pour respecter le délai de 24 heures de l’article 14. Assurez-vous de savoir comment contacter votre représentant et la plateforme ENISA.

Liste de contrôle pour aujourd’hui :

1. Cartographier votre portefeuille produits pour la couverture CRA
2. Identifier vos canaux de vente dans l’UE (direct, via place de marché, via distributeur)
3. Décider qui agira comme représentant (si requis)
4. Demander une confirmation écrite du prix, de la portée et des conditions de renouvellement du fournisseur
5. Préparer votre processus de déclaration des vulnérabilités et désigner le personnel responsable

Une nomination en temps utile et une documentation claire sont essentielles pour éviter des retards d’accès au marché ou des actions réglementaires.

Risques et amendes en cas de non-conformité

Le non-respect de l’obligation de représentant du CRA peut avoir de graves conséquences. En vertu de l’article 53, les amendes peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial, selon le montant le plus élevé. Ces sanctions s’appliquent si vous ne nommez pas un représentant lorsque requis, ou si vous ne respectez pas les obligations de déclaration et de documentation.

Les risques de non-conformité incluent :

• Amendes réglementaires : Des pénalités financières substantielles peuvent être imposées pour absence de représentant, non-respect des délais de déclaration de vulnérabilités ou manque de documentation adéquate.
• Retards d’accès au marché : Sans représentant, vous pouvez subir des retards dans les cycles d’approvisionnement, de certification ou de vente, car les acheteurs et autorités exigent une preuve de conformité.
• Échecs dans la gestion des incidents : Si vous ne pouvez pas répondre aux demandes de surveillance du marché ou des CSIRT dans les délais requis, vous risquez des pénalités supplémentaires et un préjudice réputationnel.
• Barrières à l’approvisionnement : Les grands acheteurs et distributeurs peuvent refuser de travailler avec des fabricants ne pouvant démontrer un mandat valide de représentant.
• Responsabilité reste au fabricant : Le représentant est uniquement un point de contact ; toute responsabilité légale pour la conformité, la sécurité et la gestion des incidents reste au fabricant.

Pour atténuer ces risques, assurez-vous que votre nomination est documentée, que vos processus de déclaration sont robustes et que vos dossiers de conformité sont à jour. Le rôle du représentant est d’éviter les retards et les malentendus lors d’incidents — pas d’absorber la responsabilité de vos produits.

Matrice de décision : avez-vous besoin d’un représentant autorisé CRA ?

Utilisez la matrice suivante pour déterminer si vous devez nommer un représentant autorisé CRA :

Pour les places de marché, confirmez toujours par écrit si la plateforme agit comme importateur officiel. Sinon, vous êtes responsable de nommer un représentant.

Ce que les fournisseurs ne disent généralement pas

Plusieurs aspects de la représentation CRA ne sont pas toujours mis en avant dans les communications marketing des fournisseurs :

• Limitations de la portée : Le mandat de l’article 18 couvre uniquement la représentation — pas d’évaluation de conformité, SBOM ou gestion d’incidents. Toute prétention d’inclure ces services est trompeuse.
• Tarifs de renouvellement : Beaucoup de fournisseurs ne publient pas les prix de renouvellement, ce qui peut entraîner des augmentations silencieuses ou inattendues. Obtenez toujours les conditions de renouvellement par écrit.
• Responsabilité : Le représentant n’absorbe pas la responsabilité légale de la conformité produit ou des incidents de sécurité. Le fabricant reste entièrement responsable.
• Délais de préavis et résiliation : Les conditions pour mettre fin au contrat ou changer de fournisseur sont souvent non divulguées. Demandez ces détails avant signature.
• Frais par demande ou administratifs : Certains fournisseurs peuvent facturer des frais supplémentaires pour traiter des demandes spécifiques ou urgentes. Clarifiez toujours si ces frais s’appliquent.
• Langue et disponibilité : La capacité à gérer les demandes des autorités en plusieurs langues et hors heures ouvrées varie. REP27, par exemple, offre un bureau disponible 24h/24, d’autres non.

La transparence est essentielle — demandez une liste complète des exclusions, limitations et conditions avant de décider.

Scénarios réalistes : quelle voie choisir

• Entreprise SaaS américaine vendant à des entreprises de l’UE : En tant que fabricant hors UE mettant des produits numériques sur le marché de l’UE, vous devez nommer un représentant autorisé CRA. Vous avez aussi besoin d’un représentant GDPR article 27. La voie la plus simple et économique est d’utiliser un fournisseur comme REP27 qui offre les deux mandats en bundle, assurant un point de contact unique et un tarif clair au renouvellement.
• Vendeur chinois sur Amazon : Si Amazon agit comme importateur officiel, vous n’avez peut-être pas besoin d’un représentant CRA distinct. Cependant, si vous vendez directement ou via une place de marché qui n’assume pas ce rôle, vous devez nommer un représentant CRA. Confirmez toujours par écrit le rôle de la place de marché pour éviter des lacunes de conformité.
• Boutique en ligne britannique vendant des objets IoT aux consommateurs de l’UE : Post-Brexit, les fabricants basés au Royaume-Uni sont considérés hors UE. Si vous vendez directement aux consommateurs de l’UE ou via des distributeurs qui ne sont pas votre représentant, vous devez nommer un représentant CRA. Si un distributeur ou importateur met le produit sur le marché de l’UE sous son propre nom, il peut agir comme représentant à la place.

Dans chaque scénario, l’essentiel est de documenter l’arrangement, de mettre à jour vos dossiers techniques et de préparer vos processus de déclaration pour respecter l’obligation de notification des vulnérabilités sous 24 heures.