Cyber Resilience Act : obligations pour fabricants hors UE

• Le CRA s'applique à tous les produits avec éléments numériques sur le marché de l'UE (art. 2)
• Les fabricants hors UE doivent désigner un représentant dans l'UE (art. 15)
• Obligation de signalement des vulnérabilités activement exploitées : délai de 24h (art. 14)
• Documentation technique et déclaration de conformité requises (art. 13)
• Amendes pouvant atteindre 15 M€ ou 2,5 % du chiffre d'affaires mondial (art. 71)
• Marquage CE obligatoire pour les produits conformes (art. 13)

Mis à jour 24 octobre 2026 · 5 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 24 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Que demande la loi ? (avec numéros d’articles)

Le Cyber Resilience Act (CRA, règlement (UE) 2024/2847) s’applique à tous les produits avec éléments numériques mis sur le marché de l’UE, quel que soit le pays de fabrication (art. 2). Les fabricants hors UE doivent désigner un représentant autorisé dans l’UE conformément à l’art. 15. Cette obligation concerne aussi bien le matériel que les logiciels distribués dans l’UE. Le représentant sert d’interlocuteur auprès des autorités et assure la communication au nom du fabricant.

Les fabricants doivent garantir que leurs produits sont conçus en toute sécurité et ne contiennent pas de vulnérabilités connues et exploitables (art. 13). Ils doivent réaliser une analyse des risques et mettre en œuvre des mesures techniques et organisationnelles appropriées. En cas de vulnérabilités activement exploitées, une notification doit être faite à ENISA et au CSIRT compétent dans un délai de 24 heures (art. 14). Une première évaluation doit être soumise sous 72 heures, et un rapport final dans un délai de 14 à 30 jours.

Le CRA exige également la création et la mise à disposition d’une documentation technique ainsi qu’une déclaration de conformité UE attestant du respect des exigences (art. 13). Les produits doivent porter le marquage CE pour rendre visible la conformité. Le non-respect de ces obligations peut entraîner des amendes importantes, jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé (art. 71).

Comment choisir le bon fournisseur ?

Le choix d’un représentant CRA doit reposer sur des critères transparents. Les points clés sont :

• Transparence tarifaire : Assurez-vous que le fournisseur communique tous les prix, y compris ceux du renouvellement. REP27 publie tous les tarifs et garantit un prix fixe à la reconduction, tandis que d’autres fournisseurs fournissent ces informations uniquement sur demande.
• Étendue des services : Vérifiez si le fournisseur propose un desk 24h pour les signalements, un certificat publiquement vérifiable et une désignation juridiquement sûre (ex. signature eIDAS). REP27 se distingue par un certificat complet et public ainsi qu’un desk 24h.
• Temps de réponse et disponibilité : Les délais de signalement (24h/72h) sont très courts, une disponibilité permanente est donc essentielle. REP27 garantit une présence 24/7, jours fériés et week-ends inclus.
• Délimitations claires : Un fournisseur sérieux liste explicitement ce qui n’est pas inclus dans le mandat (ex. pas d’évaluation de conformité, pas de tests techniques). Cela évite les mauvaises surprises.

Matrice de décision :

Conseil pratique : demandez une offre écrite détaillant tous les services, exclusions et prix de renouvellement. Vérifiez que le fournisseur permet la vérification publique du certificat – c’est crucial en cas de contrôle.

Que comprend vraiment le prix ?

Les prestations incluses dans le prix varient fortement selon le fournisseur. Chez REP27, le forfait de base à 490 EUR/an (CRA) comprend :

• Mandat écrit comme représentant autorisé selon l’article 18 CRA
• Desk 24h pour signalements de vulnérabilités et communication avec ENISA/CSIRT
• Certificat publiquement vérifiable avec QR code pour preuve auprès des autorités et partenaires
• Gestion et transmission des demandes des autorités sous 2 jours ouvrés
• Modèles multilingues pour la communication nécessaire

Important : REP27 ne réalise pas d’évaluation de conformité, de tests techniques, de génération de SBOM ni d’analyse d’incidents. Ces tâches incombent au fabricant ou à des prestataires externes. Pour d’autres fournisseurs comme kadano ou Euverify, les prestations incluses ne sont pas détaillées publiquement (état octobre 2026). Les coûts additionnels éventuels sont donc uniquement communiqués sur demande.

Comparaison des prestations :

Pour les entreprises qui souhaitent une séparation claire des responsabilités et une tarification transparente, REP27 est actuellement le seul fournisseur à publier intégralement ses prestations et tarifs.

Coûts cachés & exclusions typiques

Les principaux coûts liés à la conformité CRA se situent hors mandat de représentation. La désignation d’un représentant CRA n’est qu’une petite partie des coûts totaux. Les charges principales proviennent de :

• Évaluation de conformité : Pour les produits des classes « important » ou « critique », un contrôle externe par un organisme notifié est obligatoire. Ces coûts sont généralement à quatre ou cinq chiffres et ne sont pas inclus dans les honoraires du représentant.
• Mises à jour de sécurité : Les fabricants doivent fournir des mises à jour de sécurité pendant au moins cinq ans et garantir leur organisation et financement. Cette obligation est indépendante du mandat de représentation.
• Documentation technique et SBOM : La création et la maintenance continue des documents techniques et de la liste des composants logiciels (SBOM) sont à la charge du fabricant.

Ce que les fournisseurs ne disent généralement pas :

• REP27 exclut explicitement l’évaluation de conformité, les tests techniques, la génération de SBOM et l’analyse d’incidents. Il n’y a pas de coûts cachés de renouvellement, tous les prix sont publiés avant contrat.
• Chez kadano et Euverify, les détails sur les coûts supplémentaires, limites de responsabilité ou délais de résiliation ne sont pas accessibles publiquement (état octobre 2026).

Conseil pratique : interrogez chaque fournisseur sur les exclusions, délais de résiliation et coûts additionnels pour services spéciaux (ex. par demande, langues supplémentaires, traitement urgent). Faites confirmer toutes les conditions par écrit.

Comment se déroule la désignation étape par étape

1. Vérifiez si votre produit est soumis au CRA : S’applique à tous les produits avec éléments numériques (matériel/logiciel) sur le marché de l’UE.
2. Définissez les processus internes : Identifiez qui détecte et déclenche les signalements de vulnérabilités. Définissez ce qui est considéré comme « activement exploité ».
3. Choisissez un représentant adapté : Comparez prix, prestations, preuves et disponibilité. Demandez une offre écrite avec toutes les conditions.
4. Signez le contrat et obtenez le mandat : Avec REP27, la désignation se fait sous 24h, certificat vérifiable inclus.
5. Mettez à jour la documentation et le canal de signalement : Inscrivez les coordonnées du représentant dans votre documentation technique et dans votre plan de gestion des incidents.
6. Préparez les modèles pour les signalements 24h : Rédigez des textes standards pour la notification initiale, l’évaluation sous 72h et le rapport final. Désignez au moins deux responsables avec accès à la plateforme.
7. Contrôle régulier : Vérifiez annuellement que la désignation et les processus sont toujours à jour.

Checklist pour aujourd’hui :

1. Votre produit est-il soumis au CRA ?
2. Avez-vous défini les processus internes et responsables de signalement ?
3. Un représentant adapté est-il choisi et mandat signé ?
4. La documentation technique et les canaux de signalement sont-ils à jour ?
5. Les modèles de signalement sont-ils prêts ?

Risques & amendes en cas de non-respect

Le CRA prévoit des sanctions sévères : jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial annuel (art. 71). Les risques typiques sont :

• Signalement tardif ou absent de vulnérabilités : Le délai de 24h commence dès la prise de connaissance, pas à la fin de l’analyse. Les décalages horaires ou responsabilités floues entraînent rapidement des infractions.
• Désignation manquante ou erronée d’un représentant : Sans représentant valide, le produit peut être retiré du marché. Les demandes des autorités restent sans réponse, augmentant le risque d’amendes.
• Documentation technique incomplète : En cas de contrôle, tous les documents doivent être présentés immédiatement. Retards ou lacunes entraînent des sanctions.
• Marquage CE absent ou erroné : Les produits sans marquage CE valide ne peuvent pas être mis sur le marché.

Les délais de signalement (24h/72h/14-30 jours) sont en temps réel – les retards dus aux fuseaux horaires ou aux responsabilités floues causent rapidement des infractions. La responsabilité du respect des délais incombe au fabricant, le représentant ne fait que transmettre les informations reçues à temps.

Trois scénarios réalistes

• Fournisseur SaaS américain : Une société logicielle américaine propose une solution cloud aux entreprises européennes. Comme le logiciel est mis sur le marché de l’UE, un représentant CRA doit être désigné. Le fournisseur choisit REP27, obtient le mandat et le certificat sous 24h, met en place un canal de signalement 24h et inscrit les coordonnées dans la documentation technique. L’évaluation de conformité et la maintenance des mises à jour de sécurité sont assurées en interne ou par des prestataires externes.
• Vendeur Amazon chinois : Une entreprise chinoise vend des objets connectés sous sa propre marque sur Amazon.de. En tant que fabricant, un représentant CRA est obligatoire. Le vendeur utilise un fournisseur comme kadano ou Euverify selon sa préférence, assure le marquage CE et prépare la documentation technique. Sans représentant, il risque amendes et interdiction de vente sur la plateforme.
• Boutique en ligne britannique : Un e-commerçant britannique vend du matériel avec mises à jour firmware aux clients finaux dans l’UE. Ici aussi, un représentant CRA est obligatoire. Le vendeur opte pour un forfait combiné (ex. REP27 : CRA+RGPD) pour couvrir les obligations CRA et RGPD. Les canaux de signalement et la documentation sont adaptés en conséquence.

Ces scénarios montrent que l’obligation de représentation concerne toutes tailles et secteurs d’entreprise dès lors qu’elles fournissent des produits avec éléments numériques dans l’UE.