Coût du reporting vulnérabilités 24h pour producteurs hors UE (CRA 2026)

• Obligation à partir du 11 septembre 2026 pour tous les producteurs de produits numériques vendus dans l’UE
• REP27 propose le service à 490 €/an, renouvellement à 440 €, prix publié
• Kadano : 999 €/an, Euverify : £590/an (~690 €), prix publiés
• Le service couvre uniquement la transmission des notifications, sans tests ni évaluations techniques
• Non applicable aux importateurs, distributeurs ou vendeurs hors UE
• Sanctions en cas de non-respect : amendes jusqu’à 15 millions € ou 2,5 % du chiffre d’affaires mondial

Mis à jour 22 octobre 2026 · 7 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 22 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Exigences légales : Article 14 CRA

L’Article 14 du Cyber Resilience Act (Règlement UE 2024/2847) impose une obligation de reporting très stricte à tous les producteurs de produits numériques vendus dans l’Union européenne, quelle que soit leur localisation. À partir du 11 septembre 2026, chaque producteur doit signaler sous 24 heures la découverte d’une vulnérabilité activement exploitée ou d’un incident de sécurité grave impactant le produit. La notification se fait via la plateforme unique gérée par ENISA, adressée au CSIRT coordinateur du pays UE concerné.

• Le reporting s’articule en trois phases : alerte précoce (sous 24h), notification détaillée (sous 72h), rapport final (sous 14 jours).
• Le reporting est obligatoire aussi pour les producteurs hors UE vendant directement ou via marketplace à des clients UE.
• Aucun test de sécurité ni évaluation technique n’est exigé du représentant : son rôle est de transmettre les notifications et servir de point de contact.
• L’obligation concerne aussi les incidents impactant la sécurité du produit, pas seulement les vulnérabilités exploitées.

Le non-respect ou le retard peut entraîner des sanctions allant jusqu’à 15 millions € ou 2,5 % du chiffre d’affaires mondial, selon le montant le plus élevé. Ces règles s’appliquent à tous les acteurs mettant des produits numériques sur le marché UE, incluant logiciels, matériels, objets connectés, SaaS, etc.

Sources : NIS2.gov.ie, Licentium

Comment choisir le prestataire : critères pratiques et comparaison

Choisir le bon prestataire pour le reporting des vulnérabilités selon le CRA nécessite de considérer plusieurs aspects pratiques, au-delà du prix. Voici les principaux critères à évaluer :

• Prix publié et transparent : Privilégiez les prestataires affichant clairement le coût annuel et de renouvellement, pour éviter les surprises.
• Couverture géographique : Le prestataire doit garantir la représentation dans tous les pays UE où vous vendez vos produits.
• Certification et vérification : Un mandat signé électroniquement et vérifiable publiquement est un gage de sérieux.
• Canal de reporting actif 24/7 : Le service doit être opérationnel toute l’année, week-ends et jours fériés inclus.
• Clarté sur les exclusions : Aucun prestataire inclus ne propose, dans le prix de base, des tests de sécurité, SBOM ou support technique : le mandat couvre uniquement la transmission des notifications.

Comparaison détaillée :

Conseil pratique : demandez toujours à l’avance ce qui est inclus, s’il y a des frais par notification et comment se passe le renouvellement. Privilégiez les prestataires fournissant un certificat vérifiable publiquement et déclarant clairement leur entité légale et couverture géographique.

Ce que comprend vraiment le prix : détails pratiques

Le prix publié par les prestataires couvre exclusivement le mandat de représentation pour la notification des vulnérabilités selon l’Art. 18 CRA. Cela signifie que le représentant :

• Reçoit et transmet les notifications de vulnérabilités ou incidents de sécurité aux autorités compétentes (CSIRT/ENISA) via la plateforme officielle.
• Fait office de point de contact pour les autorités européennes en cas de demandes ou clarifications.
• Fournit un mandat signé et certifié, souvent avec QR code pour vérification publique.
• Garantit un canal de reporting actif 24/7 (au moins pour REP27, comme indiqué sur leurs pages officielles).

Ne sont pas inclus dans le prix de base :

• Tests de sécurité ou évaluations de vulnérabilités
• Génération de la Software Bill of Materials (SBOM)
• Support technique, juridique ou opérationnel pour la rédaction des notifications
• Gestion de crise ou communication aux utilisateurs finaux (au-delà de la transmission de la notification)

Par exemple, REP27 précise que « l’évaluation de conformité appartient aux organismes notifiés, les tests aux sociétés de sécurité, la génération de SBOM à votre pipeline de build et le reporting à votre équipe de sécurité ». Le mandat couvre uniquement la transmission et la réception des demandes des autorités. Aucun frais supplémentaire déclaré par notification, ni vente additionnelle cachée.

Conseil : assurez-vous d’avoir en interne les compétences pour préparer les notifications et répondre aux éventuelles demandes d’approfondissement des autorités.

Coûts cachés, limites du service et risques pratiques

Le coût du mandat de représentation est seulement une partie du budget nécessaire pour la conformité au Cyber Resilience Act. Les coûts cachés et limites du service sont souvent négligés :

• Préparation interne : La collecte d’informations, la rédaction des notifications et la gestion des communications avec le représentant sont à la charge du producteur.
• Audit et évaluation : En cas de demande des autorités, vous pourriez devoir supporter des coûts pour des audits externes ou évaluations techniques, non couverts par le mandat.
• Support technique et juridique : Le représentant ne fournit pas de conseil technique ou juridique au-delà de la transmission des notifications ; toute consultation est en supplément.
• Responsabilité limitée : Aucun prestataire inclus ne prend la responsabilité des erreurs dans les contenus fournis par le client ou des omissions dans la notification.
• Renouvellement et changement : Vérifiez toujours les conditions de renouvellement et les éventuelles pénalités pour changement de prestataire : REP27 publie les prix de changement et renouvellement, d’autres non.

Risques pratiques :

• Si la procédure interne n’est pas prête, le risque de non-respect des délais est élevé.
• Le non-respect ou retard peut entraîner des sanctions administratives très lourdes et un blocage des ventes dans l’UE.

Conseil : considérez le mandat comme une « assurance de processus », pas comme une solution technique. La conformité effective dépend de votre organisation interne.

Fonctionnement de la nomination : étapes et checklist

La nomination du représentant CRA suit un processus clair. Voici les étapes pratiques et une checklist à suivre :

1. Vérifiez si vous vendez des produits numériques dans l’UE : Si oui, vérifiez si vous êtes le producteur (pas seulement distributeur/importateur).
2. Choisissez le prestataire : Comparez prix, inclusions, exclusions et transparence contractuelle.
3. Demandez le service en ligne : Remplissez le formulaire de demande et recevez le mandat de représentation Art. 18.
4. Signez et archivez le mandat : Le mandat doit être signé par les deux parties et conservé pour contrôle éventuel.
5. Inscrivez les détails du représentant dans la documentation d’entreprise : Mettez à jour les runbooks, politiques internes et documentation de conformité.
6. Préparez la procédure interne de notification : Définissez qui peut déclarer une vulnérabilité, comment collecter les preuves, comment remplir les modèles de notification (alerte précoce, notification, rapport final).
7. Nominez au moins deux submitters : Assurez-vous que deux personnes au minimum ont accès à la plateforme ENISA pour éviter les blocages en cas d’absence.
8. Enregistrez toutes les étapes : Gardez une trace de qui, quand et comment chaque notification a été faite. C’est essentiel en cas d’audit.

Checklist opérationnelle :

1. Vérifiez votre statut (producteur, importateur, distributeur)
2. Choisissez et nommez le représentant
3. Préparez la procédure interne de reporting
4. Nominez les submitters et mettez à jour la documentation
5. Pré-remplissez les modèles de notification
6. Enregistrez chaque notification et communication

Conseil : la clarté procédurale est la vraie valeur ajoutée du service de représentation.

Matrice décisionnelle : qui a besoin du service ?

Toutes les entreprises n’ont pas besoin du mandat de représentation pour le reporting des vulnérabilités. Voici une matrice décisionnelle basée sur des cas réels :

Conseil : si vous êtes uniquement distributeur ou importateur et ne mettez pas le produit sur le marché sous votre nom, vous n’avez pas d’obligation de nomination. Si vous êtes producteur hors UE, la nomination est essentielle pour éviter les sanctions.

Ce que les prestataires ne disent pas (mais que vous devez savoir)

Beaucoup de prestataires ne publient pas certains détails importants pouvant impacter votre conformité et vos coûts réels :

• Exclusions : Aucun prestataire inclus ne propose de tests de sécurité, SBOM ou évaluations techniques dans le prix de base. Le mandat couvre uniquement la transmission des notifications.
• Responsabilité : La responsabilité de la justesse et de la rapidité des notifications reste toujours au producteur. Le représentant ne vérifie ni ne modifie les contenus reçus.
• Renouvellement et changement : Certains prestataires ne publient pas le prix de renouvellement ni les conditions pour changer de représentant. REP27 publie les deux, d’autres non.
• Langues et horaires : Vérifiez que le prestataire est réellement actif 24/7 et peut gérer les demandes en plusieurs langues si nécessaire.
• Limites du service : Le représentant ne gère pas la communication aux utilisateurs finaux, la gestion de crise ni le conseil juridique.

Conseil : demandez toujours une liste écrite des exclusions et limites de responsabilité avant de signer.

Scénarios pratiques : trois cas réels et parcours simplifié

• SaaS américain vendant dans l’UE : Doit nommer un représentant CRA, préparer la procédure de reporting et inscrire le représentant dans les documents officiels. En cas de vulnérabilité exploitée, il transmet la notification au représentant qui la relaie à ENISA/CSIRT. Le parcours le plus simple est de choisir un prestataire avec canal actif 24/7 et mandat vérifiable.
• Vendeur chinois sur Amazon : S’il est producteur du produit numérique, il a l’obligation de reporting et doit nommer un représentant ; s’il est seulement distributeur, non. Le parcours le plus simple est de clarifier le rôle contractuel et, si nécessaire, de recourir à un prestataire expérimenté en e-commerce.
• Boutique en ligne UK : S’il vend des produits numériques à des clients UE, il doit nommer un représentant et suivre la procédure de reporting ; s’il vend uniquement au Royaume-Uni, pas d’obligation. Le parcours le plus simple est d’évaluer si la part des ventes UE justifie le coût de conformité.

Dans tous les cas, la préparation interne et la clarté procédurale sont essentielles pour respecter les délais et réduire les risques de sanctions.