Comparaison des fournisseurs de signalement des vulnérabilités Cyber Resilience Act (CRA)

• Le signalement des vulnérabilités CRA est obligatoire à partir du 11 septembre 2026
• Seuls certains fournisseurs publient les prix et les détails inclus
• La représentation couvre la transmission des signalements, pas l’évaluation technique
• Comparez les exclusions, renouvellements et processus de vérification
• Les amendes pour non-signalement peuvent atteindre 15 millions € ou 2,5 % du chiffre d’affaires
• Le mandat de représentant ne couvre pas l’évaluation, SBOM ou support technique

Mis à jour 21 octobre 2026 · 12 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 21 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Exigences légales : obligations, articles et échéances

Le Cyber Resilience Act (CRA), Règlement (UE) 2024/2847, impose des obligations strictes aux opérateurs mettant sur le marché de l’UE des produits contenant des éléments numériques, matériels ou logiciels, quel que soit leur lieu d’établissement. Les principales obligations sont :

• Désignation d’un représentant autorisé (Art. 18) : Si le producteur n’est pas établi dans l’UE, il doit désigner par écrit un représentant dans l’Union. Ce représentant est responsable de la transmission des signalements de vulnérabilités et incidents graves aux autorités compétentes (CSIRT, ENISA).
• Signalement des vulnérabilités (Art. 14) : À partir du 11 septembre 2026, chaque producteur doit signaler dans les 24 heures toute vulnérabilité activement exploitée ou incident grave impactant la sécurité du produit. Le signalement doit être fait via la plateforme ENISA et adressé au CSIRT coordinateur.
• Notification complète et rapport final : Dans les 72 heures suivant le signalement initial, une notification détaillée avec les premières mesures correctives doit être fournie. Un rapport final détaillant la vulnérabilité et la solution adoptée doit être envoyé sous 14 à 30 jours.
• Application à tous les produits numériques : L’obligation concerne aussi bien les produits neufs que ceux déjà sur le marché, couvrant tout le cycle de vie, y compris mises à jour et support.
• Sanctions : Le non-respect peut entraîner des amendes allant jusqu’à 15 millions € ou 2,5 % du chiffre d’affaires mondial, selon le montant le plus élevé.

Il est essentiel de distinguer le signalement CRA (vulnérabilités produit) des autres obligations comme le RGPD (violations données personnelles) ou NIS2 (incidents de service). Chaque régime a ses destinataires, échéances et plateformes spécifiques.

Comment choisir le fournisseur : critères pratiques et risques

Le choix du fournisseur pour le signalement des vulnérabilités CRA doit s’appuyer sur des critères pratiques et transparents. Voici les points clés à évaluer :

• Prix publié et transparent : Privilégiez les fournisseurs qui affichent clairement le prix et le coût de renouvellement. Évitez les offres avec prix « introductifs » ou renouvellements cachés.
• Ce qui est inclus : Vérifiez si le service couvre uniquement le mandat de représentant et la transmission des signalements, ou s’il propose aussi un support technique, documentation, SBOM ou workflows avancés. La plupart des fournisseurs se limitent à la représentation légale.
• Certificat vérifiable : Un certificat avec QR code et page publique de vérification réduit le risque de contestations lors d’audits ou incidents.
• Desk actif 24/7 : Le signalement doit être possible à tout moment, nuits, week-ends et jours fériés inclus. Demandez explicitement si le desk est opérationnel toute l’année.
• Langue et délais de réponse : Assurez-vous que le fournisseur peut gérer les demandes en anglais et, si nécessaire, dans d’autres langues de l’UE. Des délais de transmission supérieurs à 24 heures peuvent compromettre la conformité.
• Exclusions et limites : Aucun représentant ne couvre l’évaluation technique, les tests de sécurité, la génération de SBOM ou le support ingénierie : ces tâches restent à la charge du producteur ou de fournisseurs spécialisés.

Évaluez toujours la clarté des exclusions : un fournisseur qui ne les explicite pas risque de ne pas avoir bien défini la portée du service.

Ce que le prix inclut vraiment : tableau comparatif et analyse

La majorité des fournisseurs offrent le mandat représentant et la transmission des signalements, mais peu couvrent des services techniques supplémentaires. Voici un tableau comparatif :

La différence principale entre les fournisseurs « classiques » (REP27, kadano, Euverify) et ceux offrant des services plus larges (Attestra AI, Seentrix, Illicium) est que les premiers se limitent aux obligations minimales légales, tandis que les seconds proposent aussi des workflows de sécurité, SBOM automatisés ou pentesting. Cependant, pour la seule conformité aux Art. 18 et 14 CRA, le mandat représentant et la garantie de transmission rapide suffisent.

Attention : le prix publié couvre uniquement ce qui est explicitement déclaré. Les services techniques supplémentaires sont souvent facturés séparément et peuvent être beaucoup plus coûteux.

Coûts cachés, exclusions et ce que les fournisseurs ne disent pas

Beaucoup de fournisseurs ne publient pas le prix de renouvellement ou appliquent des frais supplémentaires pour les demandes hors horaires, délivrance de certificats additionnels ou support en langues autres que l’anglais. Voici ce qu’il faut garder à l’esprit :

• Renouvellements : Demandez toujours le prix de renouvellement écrit avant de signer. REP27 le publie clairement (440 €), d’autres ne communiquent qu’à la demande.
• Exclusions : Aucun fournisseur ne couvre l’évaluation de conformité, les tests de sécurité, la génération de SBOM ou le support technique. Ces services sont séparés et souvent beaucoup plus coûteux que le mandat représentant.
• Limites de responsabilité : Les fournisseurs ne prennent pas de responsabilité pour erreurs techniques, non-signalement par le client ou gestion des vulnérabilités elles-mêmes.
• Délai de préavis : Certains fournisseurs peuvent exiger un préavis pour la cessation du service ou le changement de représentant. Vérifiez toujours les conditions contractuelles.
• Frais à la demande : En l’absence d’informations publiques, demandez si des coûts sont prévus pour demandes supplémentaires, délivrance de nouveaux certificats ou support d’urgence.

Tableau décisionnel :

En résumé, la clarté sur les exclusions et les coûts cachés est essentielle pour éviter les surprises et garantir une conformité totale.

Fonctionnement de la nomination : étapes clés et checklist pratique

La nomination du représentant CRA suit plusieurs étapes clés. Voici un guide détaillé :

1. Vérifiez l’obligation : Êtes-vous producteur de produits numériques (hardware/software) vendus en UE sans établissement dans l’Union ? Si oui, vous êtes soumis à l’obligation.
2. Choisissez le fournisseur : Comparez prix, inclusions, exclusions et processus de vérification. Privilégiez un fournisseur avec desk 24/7 et certificat publiquement vérifiable.
3. Signez le mandat : Le mandat doit être écrit, signé par la personne morale du fournisseur (ex. Europe Services, SE pour REP27), et limité aux obligations de l’Art. 18. Évitez les mandats couvrant aussi l’Art. 13.
4. Recevez le certificat : Le fournisseur délivre un certificat de nomination, de préférence avec QR code et page de vérification en ligne.
5. Préparez le runbook interne : Inscrivez les données du représentant, la procédure d’escalade et les contacts pour le signalement dans la documentation interne.
6. Configurez le canal de signalement : Mettez en place un canal interne pour recueillir les signalements de vulnérabilités et incidents, avec au moins deux personnes nommées comme submitters sur la plateforme ENISA.
7. Formez l’équipe : Assurez-vous que le personnel sait quoi et quand signaler, et que les procédures sont testées en simulation.

Checklist pratique :

1. Avez-vous identifié les classes de produits et leur destination en UE ?
2. Avez-vous cartographié tous les canaux de vente et distribution ?
3. Avez-vous choisi un fournisseur avec desk 24/7 et prix de renouvellement transparent ?
4. Avez-vous rédigé les procédures d’escalade et de signalement ?
5. Avez-vous nommé au moins deux submitters sur la plateforme ENISA ?
6. Avez-vous testé le flux de signalement par simulation ?

En suivant ces étapes, vous minimisez les risques de non-conformité et de sanctions.

Risques, amendes et cas pratiques : ce qui peut arriver en réalité

Le non-signalement d’une vulnérabilité dans les 24 heures peut entraîner des sanctions allant jusqu’à 15 millions € ou 2,5 % du chiffre d’affaires mondial, ainsi que des dommages réputationnels et un blocage des ventes en UE. Voici trois scénarios réalistes pour illustrer l’application des obligations :

• SaaS USA : Une entreprise SaaS américaine offrant des services à des clients UE doit nommer un représentant CRA, activer un canal de signalement 24/7 et signaler chaque vulnérabilité exploitée. Le représentant transmet les signalements via ENISA et répond aux demandes des autorités.
• Vendeur Amazon Chine : Si le vendeur est aussi producteur du produit numérique, il doit nommer un représentant CRA et respecter les échéances de signalement. S’il est seulement revendeur, l’obligation incombe au producteur. Le canal de signalement doit être prêt au 11 septembre 2026.
• Boutique en ligne UK : Une boutique britannique vendant des dispositifs avec firmware à des clients UE doit nommer un représentant CRA. Si elle offre uniquement des services non numériques, elle n’est pas soumise à l’obligation. En cas d’incident, le signalement doit se faire sous 24 heures, même si le siège est hors UE.

Dans tous les cas, une préparation insuffisante (absence de runbook, canal de signalement non testé, représentant non vérifiable) peut ralentir la réponse et aggraver les conséquences juridiques et financières.