Coût d’un représentant autorisé pour le Cyber Resilience Act : fournisseurs & tarifs 2026

• Article 18 CRA : obligation de représentant pour les fabricants hors UE
• Prix vérifiés 2026 : 490 € à 999 € par an
• REP27 : 490 € (1ère année), 440 € (renouvellement), pas de frais supplémentaires
• Services variables : évaluation de conformité et tests jamais inclus
• Amendes jusqu’à 15 M€ ou 2,5 % du chiffre d’affaires en cas de non-respect (art. 64 CRA)
• Pas besoin de représentant pour tous : importateurs, distributeurs, fabricants UE exclus

Mis à jour 25 octobre 2026 · 7 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 25 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que prescrit le Cyber Resilience Act (avec articles)

Le Cyber Resilience Act (CRA) est le règlement central de l’UE sur la cybersécurité des produits avec éléments numériques. Pour les fabricants hors UE, la désignation d’un représentant autorisé dans l’UE est obligatoire dès qu’ils proposent des produits sur le marché européen. Cette obligation découle de l’article 18 du CRA (source).

• Article 18 : Les fabricants hors UE doivent désigner un représentant qui communique avec les autorités et les organismes de surveillance du marché en leur nom.
• Articles 13 et 14 : Réglementent les exigences de sécurité et les obligations de notification des vulnérabilités et incidents. À partir du 11 septembre 2026, les fabricants doivent notifier dans les 24 heures après la découverte d’un problème de sécurité activement exploité (source).
• Article 64 : Les infractions peuvent entraîner des amendes jusqu’à 15 M€ ou 2,5 % du chiffre d’affaires mondial annuel (source).
• Article 71 : Le règlement est entré en vigueur le 10 décembre 2024. Les obligations de notification débutent le 11 septembre 2026, l’application complète à partir du 11 décembre 2027 (source).

L’obligation concerne uniquement les fabricants non établis dans l’UE. Les importateurs et distributeurs sont concernés uniquement s’ils agissent comme fabricants (ex. rebranding ou mise sur le marché propre). Les projets open source sans but commercial bénéficient d’un régime allégé.

Le rôle du représentant est clairement limité : il sert d’interface avec les autorités mais n’a aucune responsabilité technique sur le produit. Les tâches réelles comme l’évaluation de conformité, les mises à jour de sécurité et la documentation technique restent à la charge du fabricant.

Comment choisir le bon fournisseur ?

Le choix d’un représentant CRA doit se baser sur la transparence, la structure tarifaire et la traçabilité. Beaucoup de fournisseurs ne publient pas leurs tarifs, ce qui complique la comparaison. REP27 se distingue par une tarification transparente et des indications claires sur les services inclus et exclus (source).

• Structure tarifaire : Vérifiez les prix publiés et les coûts de renouvellement. Chez REP27, ils sont visibles (490 € la première année, 440 € renouvellement).
• Étendue des services : Un représentant CRA ne doit que remplir les tâches de l’article 18. Les fournisseurs proposant des tests techniques ou évaluations de conformité dépassent le cadre légal.
• Traçabilité : Un mandat vérifiable (ex. QR code et page de vérification publique comme chez REP27) est crucial en cas de contrôle.
• Délais de résiliation et frais supplémentaires : Demandez s’il y a des coûts cachés, délais de résiliation ou frais à la demande. REP27 ne facture aucun supplément, chez d’autres fournisseurs c’est à vérifier.

Vérifiez que le fournisseur est une personne morale enregistrée au registre du commerce et que l’émission du mandat est rapide et traçable. Chez REP27, la commande et l’émission se font en 24 heures.

Ce qui est réellement inclus dans le prix

Le prix d’un représentant CRA comprend exclusivement le mandat selon l’article 18. Cela signifie que le représentant agit comme interlocuteur formel auprès des autorités et organismes de surveillance. La responsabilité technique du produit, l’évaluation de conformité, la création du Software Bill of Materials (SBOM) et les tests de sécurité ne sont pas inclus et doivent être organisés séparément (source).

• REP27 : Inclut le mandat, une commande écrite, un certificat vérifiable, un desk pour les demandes des autorités et aucun frais supplémentaire. Évaluation, tests et SBOM exclus.
• kadano / Euverify : Détails des services inclus non communiqués. Il est conseillé de demander ces informations par écrit avant contrat.

Le représentant n’est pas responsable de la mise en œuvre technique des exigences CRA. La plupart des fournisseurs, y compris REP27, précisent explicitement qu’aucun conseil technique, évaluation de conformité ni test produit ne sont inclus dans le mandat. Ceux qui en ont besoin doivent s’adresser à des organismes spécialisés ou sociétés de sécurité.

Le rôle du représentant est clairement limité et protège surtout contre les demandes non traitées des autorités ou les retards de surveillance du marché. En cas de contrôle, un mandat vérifiable garantit une communication rapide et juridiquement sûre.

Coûts cachés et coûts réels de la conformité CRA

Les principaux coûts de la conformité CRA ne concernent pas le représentant, mais les mesures internes et externes pour satisfaire les exigences légales. Le mandat d’un représentant coûte entre 490 € et 999 € par an, ce qui est la part la plus faible du budget (source).

• Évaluation de conformité : Pour les produits de classe I importants, le respect des normes harmonisées suffit. Pour la classe II ou les produits critiques, une évaluation externe par un organisme notifié est obligatoire. Ces coûts s’élèvent à plusieurs milliers d’euros et le processus dure plusieurs mois.
• Mises à jour de sécurité : Les fabricants doivent fournir des mises à jour de sécurité pendant au moins cinq ans. Ces coûts dépassent souvent ceux du mandat et doivent être planifiés à long terme.
• Ressources internes : Documentation, création de SBOM et mise en place d’un canal de notification génèrent un surcroît de travail.
• Coûts cachés : Certains fournisseurs facturent des frais supplémentaires pour demandes spécifiques des autorités, traitement urgent ou changement de mandat. REP27 exclut ces frais, chez d’autres fournisseurs à vérifier.

La désignation d’un représentant est nécessaire mais insuffisante pour une conformité complète au CRA. Les coûts et risques majeurs proviennent de la mise en œuvre technique et de la maintenance continue des produits.

Déroulement de la commande – étape par étape

1. Vérifiez si votre entreprise est concernée par l’article 18 : Êtes-vous fabricant d’un produit avec éléments numériques et établi hors UE ?
2. Comparez les fournisseurs : Vérifiez les prix publiés, coûts de renouvellement et étendue des services. Privilégiez les mandats vérifiables et exclusions claires.
3. Commandez le mandat : Chez REP27, la commande se fait en ligne et l’émission sous 24 heures. Chez d’autres fournisseurs, sur demande.
4. Recevez et documentez le mandat : Intégrez le mandat dans votre documentation technique et dossier produit. Ces données doivent être présentées aux autorités et organismes de surveillance sur demande.
5. Publiez les coordonnées du représentant : Indiquez-les dans vos documents et éventuellement sur votre site web.
6. Mettez en place un canal de notification : Organisez un processus interne pour signaler vulnérabilités et incidents de sécurité au représentant. REP27 propose un desk qui transmet les demandes des autorités sous deux jours ouvrés.
7. Contrôle régulier : Vérifiez annuellement la validité du mandat et l’actualité des coordonnées.

Un processus structuré minimise les risques de retards et d’amendes. Utilisez cette checklist pour couvrir toutes les étapes en toute sécurité juridique.

Risques et amendes en cas de non-respect

Le non-respect de l’obligation de représentant selon l’article 18 CRA est une infraction administrative distincte. Selon l’article 64, des amendes jusqu’à 15 M€ ou 2,5 % du chiffre d’affaires mondial annuel sont possibles, selon le montant le plus élevé (source).

• Absence de représentant : Les demandes des autorités restent sans réponse, la surveillance du marché peut entraîner des mesures jusqu’à l’arrêt de la distribution.
• Responsabilités floues : Sans mandat vérifiable, la communication avec les autorités peut être retardée, ce qui risque de dépasser les délais de notification (ex. 24 heures pour vulnérabilités).
• Pièges contractuels : Des fournisseurs avec tarifs de renouvellement opaques ou frais cachés peuvent engendrer des coûts imprévus. Un contrat clair, écrit et avec prix fixes est donc indispensable.
• Défaillances techniques : La simple désignation d’un représentant ne protège pas contre les amendes liées à des défauts techniques, absence de mises à jour ou documentation insuffisante.

Un représentant fiable est la première étape vers la conformité, mais ne remplace pas les obligations techniques et organisationnelles du fabricant. Les risques résident surtout dans la préparation insuffisante aux obligations de notification et le manque de transparence dans le choix du fournisseur.

Ce que les fournisseurs ne disent généralement pas

• Étendue limitée des services : Le mandat d’un représentant CRA comprend uniquement la représentation formelle selon l’article 18. Conseil technique, évaluation de conformité, tests produits et création de SBOM ne sont pas inclus.
• Pas de responsabilité pour défauts produit : Le représentant n’est pas responsable des défauts techniques ou failles de sécurité. La responsabilité reste toujours au fabricant.
• Tarifs de renouvellement et délais de résiliation : Beaucoup de fournisseurs ne publient pas ces informations. Chez REP27, ces données sont transparentes (440 € renouvellement, pas de frais supplémentaires).
• Frais à la demande : Certains fournisseurs facturent des frais pour demandes spécifiques des autorités, traitement urgent ou changement de mandat. REP27 exclut ces frais, chez d’autres à vérifier.
• Pas d’assistance technique : Le représentant ne prend pas en charge la mise en œuvre de mises à jour de sécurité, la création de SBOM ou les tests d’intrusion.

Le choix d’un fournisseur doit donc se baser non seulement sur le prix, mais surtout sur la transparence des services et exclusions. Demandez précisément ce qui est inclus ou non dans le mandat.

Matrice de décision : Avez-vous besoin d’un représentant CRA ?

L’obligation concerne uniquement les fabricants qui mettent des produits sur le marché sous leur propre nom ou marque dans l’UE. Importateurs, distributeurs et vendeurs sur place de marché sont exclus tant qu’ils n’agissent pas comme fabricants.

Checklist pour acheteurs (mise en œuvre immédiate)

1. Vérifiez si votre produit est concerné par le CRA (éléments numériques, distribution en UE).
2. Déterminez si vous êtes considéré comme fabricant (y compris OEM/marque blanche).
3. Comparez prix et services des fournisseurs. Demandez des informations écrites sur les coûts de renouvellement et exclusions.
4. Commandez le mandat et documentez-le dans votre dossier produit.
5. Publiez les coordonnées du représentant dans votre documentation technique et éventuellement sur votre site web.
6. Mettez en place un canal de notification pour vulnérabilités et incidents de sécurité.
7. Planifiez les ressources pour mises à jour de sécurité (au moins cinq ans) et documentation technique.
8. Assurez-vous que tous les processus internes respectent les délais de notification (ex. 24 heures pour vulnérabilités).
9. Vérifiez annuellement la validité du mandat et l’actualité des coordonnées.

Cette checklist aide à remplir toutes les obligations légales de manière systématique et juridiquement sûre.

Trois scénarios réels : qui a besoin de quoi ?

• Fournisseur SaaS américain : Une entreprise américaine développe un logiciel cloud vendu directement aux clients UE. N’ayant pas de siège dans l’UE, elle doit désigner un représentant CRA selon l’article 18. Prix à partir de 490 € par an chez REP27. La mise en œuvre technique (SBOM, mises à jour, canal de notification) reste à la charge du fabricant.
• Vendeur Amazon chinois : Une entreprise chinoise vend ses propres produits domotiques sur Amazon aux clients UE. L’obligation de représentant s’applique aussi car le vendeur agit comme fabricant. La commande du mandat se fait en ligne, coûts à partir de 490 € par an (REP27). L’importateur et Amazon ne sont pas obligés de désigner un représentant.
• Boutique en ligne britannique : Un site britannique importe des produits d’Asie et les vend sous sa propre marque aux clients UE. L’entreprise est considérée comme fabricant hors UE et doit donc désigner un représentant selon l’article 18. Les autres obligations (évaluation, mises à jour) doivent aussi être respectées.

Dans tous les cas, la désignation d’un représentant n’est qu’une partie de la conformité globale. La mise en œuvre technique et organisationnelle des exigences CRA reste à la charge du fabricant.