Comment signaler des vulnérabilités dans les 24 heures selon le Cyber Resilience Act

• Article 14 du CRA : signalement en 24 heures des vulnérabilités exploitées/incidents graves.
• Le signalement s’effectue via la plateforme ENISA au CSIRT coordinateur.
• Les fabricants hors UE doivent désigner un représentant autorisé.
• REP27 — Europe Services, SE : mandat à 490 €/an (prix vérifié).
• Coûts cachés : ingénierie interne, période de support, évaluation de conformité.
• Les prestataires diffèrent en prix publiés, inclusions et transparence.

Mis à jour 19 octobre 2026 · 12 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 19 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que le Cyber Resilience Act exige (avec numéros d’articles)

Le Cyber Resilience Act (CRA) est une réglementation globale qui s’applique à tous les produits comportant des éléments numériques mis sur le marché de l’UE, qu’il s’agisse de matériel ou de logiciel (Article 1, source). Son objectif principal est de garantir que les produits sont conçus, développés et maintenus avec la cybersécurité intégrée tout au long de leur cycle de vie. La loi est entrée en vigueur le 10 décembre 2024 (Article 71(1)), mais la plupart des obligations, y compris le signalement, deviennent contraignantes à partir du 11 septembre 2026 pour l’Article 14, et pleinement à partir du 11 décembre 2027 (Article 71(2)).

L’Article 14 est central pour la gestion des incidents : les fabricants doivent signaler toute vulnérabilité activement exploitée ou incident grave affectant la sécurité du produit dans les 24 heures suivant la prise de connaissance. Cela doit être fait via la plateforme ENISA au CSIRT coordinateur. Le délai commence au moment de la prise de connaissance, non après enquête ou confirmation. Une notification complète est ensuite due dans les 72 heures, et un rapport final dans les 14 jours. Le délai inclut les week-ends et jours fériés — aucune extension ni pause n’est possible.

L’Article 18 exige que les fabricants hors UE désignent un représentant autorisé établi dans l’UE. Ce représentant agit comme voie officielle de signalement et contact pour les autorités. Sans cela, l’importateur ou distributeur devient responsable par défaut, ce qui peut créer des risques commerciaux et de conformité.

Les produits mis sur le marché avant le 11 décembre 2027 ne sont soumis au CRA que s’ils subissent une modification substantielle après cette date (Article 69(2)). Le non-respect peut entraîner des amendes allant jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial (source).

• Article 14 : signalement en 24 heures des vulnérabilités exploitées/incidents graves
• Article 18 : représentant autorisé pour les fabricants hors UE
• Article 69(2) : règles sur les produits anciens

Comment choisir un représentant autorisé CRA

Choisir le bon représentant autorisé CRA est crucial pour les fabricants hors UE. Le représentant est votre canal officiel pour le signalement des vulnérabilités et le contact réglementaire dans l’UE. Voici les principaux critères à considérer :

• Transparence des prix : Seuls quelques prestataires publient des prix vérifiés. REP27 — Europe Services, SE propose un mandat clair à 490 €/an (renouvellement 440 €), tandis que kadano affiche 999 €/an et Euverify 590 £/an. Les autres demandent un devis direct.
• Portée du service : Confirmez ce qui est inclus dans les frais. Le mandat Article 18 est le minimum, mais certains prestataires offrent des services supplémentaires comme la surveillance, la conservation des preuves ou la documentation d’auto-évaluation (voir CRAguard, ProvenVEX, SECURiMENT).
• Exclusions : Aucun prestataire ci-dessus n’inclut l’évaluation de conformité, les tests de sécurité ou la génération de SBOM dans les frais de mandat. Ce sont des coûts séparés d’ingénierie ou d’organismes notifiés.
• Certificat et vérification : Recherchez un prestataire offrant un certificat vérifiable (REP27 fournit un code QR et une page de vérification publique).
• Conditions de renouvellement : Assurez-vous que le prix de renouvellement est indiqué par écrit avant de payer la première facture. Les renouvellements silencieux ou flous sont un problème courant sur ce marché.
• Processus de réponse : Demandez comment les demandes des autorités sont traitées, dans quelles langues et à quelles heures. Un bureau avec personnel 24/7 est essentiel pour respecter le délai de 24 heures.

Voici une comparaison de ce qui est inclus et exclu par chaque prestataire, basée sur les informations publiées :

Demandez toujours un contrat écrit listant toutes les inclusions, exclusions et conditions de renouvellement.

Ce que le prix inclut réellement

Comprendre ce qui est (et n’est pas) inclus dans le prix publié est crucial pour la budgétisation et la planification de la conformité. Les frais de mandat Article 18 couvrent généralement uniquement la désignation légale et l’exploitation d’un bureau de signalement dans l’UE. Voici ce que cela signifie en pratique :

• Mandat et bureau de signalement : Le représentant est habilité à agir comme votre contact officiel pour le signalement des vulnérabilités. Pour REP27, cela inclut un bureau avec personnel 24/7, la gestion du canal CSIRT/ENISA et un certificat vérifiable avec code QR. Kadano et Euverify offrent des mandats similaires mais ne précisent pas de fonctionnalités supplémentaires sur leurs pages publiques.
• Services groupés : Certains prestataires (CRAguard, ProvenVEX, SECURiMENT) proposent des services supplémentaires tels que la surveillance des dépendances, la conservation des preuves ou les workflows de réponse aux incidents. Cependant, ces services ne sont pas tarifés publiquement et peuvent engendrer des coûts supplémentaires importants.
• Ce qui n’est pas inclus : Aucun prestataire de cette comparaison n’inclut l’évaluation de conformité, les tests de sécurité ou la génération de SBOM. Ce sont des coûts séparés, souvent importants, pris en charge par des organismes notifiés ou votre équipe technique interne.
• Prix de renouvellement : Seul REP27 publie un prix de renouvellement (440 €/an), inférieur aux frais de la première année. Kadano et Euverify ne communiquent pas publiquement sur les conditions de renouvellement.

Lors de la comparaison des prestataires, demandez toujours un détail précis de ce qui est inclus dans le prix et ce qui entraînera des frais supplémentaires. Certains prestataires proposent aussi une représentation groupée GDPR Article 27 ou NIS2 pour un tarif combiné (REP27 : 690 €/an pour CRA+GDPR, 990 €/an pour CRA+GDPR+NIS2).

Tableau récapitulatif :

Coûts cachés et exclusions

Bien que les frais de mandat du représentant soient souvent la plus petite ligne budgétaire dans la conformité CRA, les coûts cachés et exclusions peuvent être importants :

• Temps d’ingénierie interne : L’auto-évaluation, la documentation et la préparation des SBOM sont obligatoires mais non inclus dans les frais du représentant. Ces tâches nécessitent des ressources techniques dédiées.
• Période de support : Le CRA exige au moins cinq ans de mises à jour de sécurité pour la plupart des produits. Prévoyez un budget pour la maintenance continue en tant que ligne de produits, pas un projet ponctuel.
• Évaluation de conformité : Pour les produits importants de classe II ou critiques, une évaluation par un organisme notifié est requise. Cela peut coûter plusieurs milliers d’euros et prendre des mois. Aucun représentant ne prend en charge ce coût.
• Détection des incidents : Le représentant ne surveille pas vos systèmes pour détecter les vulnérabilités. Votre équipe sécurité est responsable de la détection et du tri initial.
• Frais par incident ou demande : Bien que REP27 indique ne pas facturer de frais supplémentaires pour les demandes, d’autres prestataires peuvent facturer des services additionnels ou la gestion d’incidents. Clarifiez toujours cela par écrit.
• Limites de responsabilité : Les prestataires limitent généralement leur responsabilité à la portée du mandat. Ils ne sont pas responsables des signalements manqués dus à des défaillances internes.
• Délais de préavis et conditions de renouvellement : Les renouvellements silencieux ou peu clairs peuvent entraîner des coûts inattendus ou des interruptions de couverture. REP27 publie les prix et conditions de renouvellement ; d’autres non.

Ce que les prestataires ne disent généralement pas :

• Le mandat ne couvre pas la détection des vulnérabilités, le patching ou la notification aux utilisateurs — cela reste votre responsabilité.
• Les demandes de documentation des autorités peuvent être retardées si votre runbook est incomplet ou si votre équipe n’est pas prête.
• Changer de prestataire peut être complexe si votre mandat n’est pas clairement limité aux devoirs de l’Article 18(3).

Demandez toujours une liste des exclusions et confirmez toutes les conditions par écrit avant de signer.

Comment fonctionne la désignation : étape par étape

La désignation d’un représentant autorisé CRA est un processus structuré. Voici comment cela fonctionne en pratique, avec des étapes concrètes et des conseils :

1. Déterminez votre statut : Êtes-vous le fabricant d’un produit avec éléments numériques mis sur le marché de l’UE ? Si oui, poursuivez. Si vous êtes seulement importateur ou distributeur, vérifiez si vous mettez le produit sur le marché sous votre propre nom.
2. Vérifiez votre établissement : Si vous n’avez pas d’entité juridique dans l’UE, vous devez désigner un représentant autorisé. Si vous avez une filiale UE agissant comme fabricant, vous signalez directement.
3. Sélectionnez un prestataire : Comparez les prestataires selon les prix publiés, la portée et la transparence. REP27, kadano et Euverify publient des prix ; les autres fournissent des détails sur demande.
4. Signez un mandat écrit : Le prestataire (ex. REP27) émet une lettre de désignation signée, généralement avec signature électronique eIDAS et certificat vérifiable. Confirmez que le mandat est limité aux devoirs de l’Article 18(3).
5. Mettez à jour votre documentation de conformité : Ajoutez les coordonnées du représentant à vos dossiers techniques, runbook et toute documentation produit requise par le CRA.
6. Mettez en place le processus de signalement : Nommez au moins deux personnes habilitées à soumettre via la plateforme ENISA. Préparez à l’avance des modèles d’alerte précoce et de notification.
7. Définissez les déclencheurs et processus internes : Documentez ce qui constitue la prise de connaissance d’une vulnérabilité exploitée ou d’un incident grave. Décidez qui peut le déclarer et quelles preuves sont nécessaires (ex. exploitation observée, rapport client crédible).
8. Archivage : Conservez les horodatages de la prise de connaissance, de la soumission et des mises à jour. C’est votre preuve en cas de contestation du délai.
9. Préparation continue : Formez votre équipe, testez votre processus de signalement et révisez régulièrement votre runbook.

Ce processus vous assure d’être prêt à respecter le délai de 24 heures et d’éviter les lacunes de conformité.

Risques et amendes

Les risques de non-conformité au CRA sont importants, tant financièrement qu’opérationnellement :

• Amendes : Le non-respect peut entraîner des amendes administratives allant jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé. Ces pénalités s’appliquent aux délais de signalement manqués, à l’absence de représentant ou à une réponse aux incidents inadéquate (source).
• Risques opérationnels : Les retards de signalement peuvent entraîner des enquêtes réglementaires, des rappels de produits ou des interdictions d’accès au marché. L’approvisionnement et la distribution peuvent être bloqués si vous ne pouvez pas démontrer un représentant UE valide.
• Atteinte à la réputation : Le défaut de notifier rapidement les utilisateurs ou autorités peut causer une mauvaise publicité et une perte de confiance client.
• Désorganisation interne : Sans processus clair de signalement, des heures précieuses peuvent être perdues lors d’un incident, augmentant risques et coûts.

Exemples de ce qui peut mal tourner :

• Passer les premières heures d’un incident à chercher le CSIRT ou la voie de signalement correcte, perdant un temps précieux.
• Des demandes de documentation envoyées à un bureau dans un autre fuseau horaire, causant des délais de réponse.
• Un distributeur considéré par défaut comme votre voie de signalement, entraînant une perte de contrôle sur la gestion de l’incident.
• Des interruptions silencieuses de la couverture du mandat dues à des conditions de renouvellement floues.

Atténuez ces risques en désignant un représentant transparent et réactif et en maintenant un processus interne robuste.

Matrice de décision : avez-vous besoin d’un représentant CRA ?

Utilisez la matrice ci-dessous pour déterminer si vous avez besoin d’un représentant autorisé CRA selon votre modèle commercial et votre localisation :

Vérifiez toujours votre statut et vos obligations avant de désigner un représentant.

Liste de contrôle : étapes pour la conformité au signalement 24h CRA

1. Identifiez si votre produit est couvert par le CRA (élément numérique, marché UE).
2. Confirmez si vous êtes le fabricant (pas seulement importateur/distributeur).
3. Si hors UE, désignez un représentant autorisé CRA et obtenez un mandat signé.
4. Documentez les coordonnées du représentant dans vos dossiers techniques et de conformité.
5. Mettez en place un canal de réception 24/7 pour les rapports de vulnérabilités (en interne ou via votre représentant).
6. Nommez au moins deux personnes habilitées à soumettre via la plateforme ENISA.
7. Pré-écrivez des modèles d’alerte précoce et de notification pour une saisie rapide.
8. Formez le personnel sur les déclencheurs de signalement et la réponse en 24 heures.
9. Définissez et documentez les preuves nécessaires pour "prendre connaissance" d’une vulnérabilité ou d’un incident.
10. Enregistrez tous les horodatages pertinents pour preuve de conformité et audit.
11. Révisez et mettez à jour régulièrement votre runbook et processus de signalement.

Suivre cette liste vous aidera à éviter les échecs de conformité les plus courants.

Scénarios réalistes : quelle obligation s’applique ?

• Entreprise SaaS américaine vendant à l’UE : En tant que fabricant hors UE, vous devez désigner un représentant autorisé CRA (ex. REP27) comme voie de signalement. Mettez en place un canal 24/7 et assurez-vous qu’au moins deux personnes peuvent soumettre via la plateforme ENISA. Préparez des modèles d’alerte précoce et documentez votre processus pour déterminer quand une vulnérabilité est activement exploitée.
• Vendeur chinois sur Amazon (marque propre) : Si vous fabriquez et vendez vos propres produits numériques à des acheteurs UE, vous avez besoin d’un représentant CRA. Si vous ne faites que revendre des marques tierces, ce n’est pas nécessaire. Désignez un représentant, mettez à jour vos dossiers de conformité et préparez-vous au signalement en 24 heures.
• Boutique en ligne UK avec appareil IoT propre : Si vous vendez directement aux consommateurs UE, vous êtes fabricant et devez désigner un représentant CRA. Si vous vendez uniquement au Royaume-Uni, le CRA ne s’applique pas. Si vous utilisez un distributeur UE qui met le produit sur le marché sous son propre nom, il assume la responsabilité.

Dans tous les cas, la voie la plus simple pour être conforme est de désigner un représentant transparent à prix fixe, de documenter votre processus de signalement et de former votre équipe avant la date d’application de la loi.