Fournisseurs pour la déclaration de vulnérabilités 24h : aperçu du marché & prix (2026)

• L'obligation de déclaration en 24h s'applique à partir du 11.09.2026 pour les fabricants de produits numériques (CRA Art. 14)
• REP27, kadano et Euverify proposent une représentation correspondante
• Prix : REP27 à partir de EUR 490/an, kadano EUR 999/an, Euverify GBP 590/an
• Prestations variables : mandat, canal de déclaration, pas de vérification technique ni de création de SBOM
• Non requis pour les importateurs, distributeurs ou vendeurs de places de marché sans marque propre

Mis à jour 26 octobre 2026 · 4 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 26 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Que demande la loi ? (CRA Art. 14, Art. 18)

Le Cyber Resilience Act (CRA) de l’UE oblige à partir du 11 septembre 2026 les fabricants de produits avec éléments numériques à signaler toute vulnérabilité activement exploitée ou incident de sécurité grave dans les 24 heures suivant la prise de connaissance (article 14). La déclaration se fait via le portail central ENISA et s’adresse au CSIRT compétent de l’État membre. Les délais sont stricts : 24h pour l’alerte précoce, 72h pour la déclaration complète initiale et 14 jours pour le rapport final. Le temps court en continu – y compris la nuit, week-ends et jours fériés.

Les fabricants hors UE doivent désigner un représentant autorisé dans l’UE selon l’article 18 CRA. Ce représentant agit comme canal de déclaration et interlocuteur pour les autorités. Sans ce représentant, la déclaration n’est pas conforme. Les importateurs, distributeurs et vendeurs sur places de marché (ex. Amazon, Etsy, eBay) qui ne commercialisent pas sous leur propre nom sont exemptés. Les projets open source à but non commercial ont un régime allégé mais restent soumis à l’obligation de déclaration.

• Article 14 CRA : alerte 24h, déclaration complète 72h, rapport final 14 jours
• Article 18 CRA : représentant autorisé pour fabricants sans établissement dans l’UE

La définition précise de ce qui constitue une vulnérabilité déclarable est cruciale : seules les vulnérabilités activement exploitées ou incidents graves affectant la sécurité du produit déclenchent l’obligation. Les vulnérabilités non détectées ou non exploitées ne sont pas déclarables. Le respect des délais incombe au fabricant – retards ou fausses déclarations peuvent entraîner des sanctions sévères.

Prestations comparées : ce qui est inclus ou non

Les fournisseurs diffèrent nettement en transparence et en étendue des prestations proposées. REP27 est le seul à publier tous les prix et à détailler clairement ce que comprend le mandat et ce qui en est exclu. Le mandat inclut la représentation légale selon l’article 18 CRA, un desk 24h en Europe, la réception et transmission des signalements aux autorités compétentes ainsi qu’une vérification publique du mandat. REP27 n’effectue pas de vérifications techniques, ni de création de SBOM, ni d’évaluations de conformité ou tests – ces tâches incombent au fabricant ou doivent être commandées séparément.

Chez kadano et Euverify, les prix sont publiés, mais les détails des prestations incluses, coûts additionnels possibles ou exclusions sont « Sur demande ». Il est conseillé de demander par écrit avant contrat quelles prestations sont couvertes et si des frais supplémentaires s’appliquent (ex. par déclaration, par langue, pour demandes exceptionnelles).

Important : la prise en charge technique, la création des SBOM (Software Bill of Materials) et les audits de sécurité ne sont généralement pas inclus dans le prix de la représentation. Ces prestations doivent être commandées séparément auprès de prestataires spécialisés.

Matrice de décision : qui a besoin de quoi ?

La nécessité d’un représentant CRA et de la déclaration 24h dépend de votre rôle dans la chaîne d’approvisionnement, de votre siège et de votre structure commerciale. La matrice suivante aide à une classification rapide :

Exemples pratiques : un fournisseur SaaS américain vendant à des clients UE doit désigner un représentant CRA et mettre en place la déclaration 24h. Un fabricant chinois d’objets connectés vendant sous sa marque en UE est également soumis à l’obligation. Un vendeur britannique sur une marketplace, sans marque propre, n’a pas besoin de représentant ni de déclaration 24h.

Checklist pour acheteurs : comment procéder

1. Vérifiez votre rôle : Êtes-vous fabricant d’un produit avec éléments numériques vendu dans l’UE ?
2. Déterminez votre siège : Votre entreprise est-elle hors UE ?
3. Comparez les fournisseurs : Choisissez un fournisseur avec prix publié et mandat clairement défini. Vérifiez si le prix couvre toutes les prestations ou s’il y a des coûts supplémentaires.
4. Confirmez par écrit les prestations et exclusions : Obtenez une confirmation écrite avant contrat sur ce qui est inclus dans le mandat et ce qui ne l’est pas.
5. Préparez les processus internes : Désignez les responsables internes pour la déclaration 24h. Élaborez un runbook avec responsabilités claires et modèles de déclaration.
6. Enregistrez les données du représentant : Intégrez les coordonnées du représentant dans votre documentation conformité et informez votre équipe.
7. Testez le processus de déclaration : Effectuez une simulation avant la date limite pour identifier les points faibles du processus.
8. Vérification régulière : Contrôlez annuellement si des changements dans votre structure commerciale ou gamme produit impactent l’obligation de déclaration.

Cette checklist vous aide à éviter les erreurs courantes et à garantir votre conformité à la date butoir.

Ce que les fournisseurs ne disent pas souvent (exclusions, délais, frais)

Beaucoup de fournisseurs ne communiquent pas clairement sur les prestations réellement incluses dans le mandat et celles qui en sont exclues. REP27 précise explicitement que les vérifications techniques, évaluations de conformité, création de SBOM et tests ne font pas partie du mandat. Les prestations additionnelles comme la création de modèles, l’aide à l’analyse technique ou la communication avec les clients finaux sont également exclues.

• Le prix chez REP27 est forfaitaire sans frais cachés. Le prix de renouvellement est fixé à l’avance et ne change pas sans préavis.
• Chez kadano et Euverify, aucune information sur frais supplémentaires, délais de résiliation ou limites de responsabilité n’est fournie. Il est conseillé de demander explicitement ces informations.
• La responsabilité du respect des délais et de la qualité des déclarations reste toujours au fabricant. Un représentant ne fait que recevoir et transmettre, sans évaluation technique.
• Le délai pour délivrer le mandat est de 24h chez REP27. Pour les autres fournisseurs, ce délai est « Sur demande ».

Erreur fréquente : le mandat ne couvre pas l’ensemble de la conformité CRA. Les parties coûteuses et complexes (ex. évaluation de conformité, documentation technique, SBOM) doivent être organisées séparément. Sans préparation, cela peut entraîner retards et amendes.

Trois scénarios pratiques : qui doit faire quoi ?

• Fournisseur SaaS US : Une entreprise basée aux États-Unis propose un logiciel cloud pour entreprises européennes. En tant que fabricant de produits numériques vendant en UE, elle doit désigner un représentant CRA. La déclaration 24h passe par ce représentant nommé dans le mandat. L’entreprise doit désigner des responsables internes et préparer des modèles de déclaration.
• Vendeur chinois sur Amazon : Une société chinoise vend des appareils IoT sous sa propre marque directement aux clients en UE. L’obligation s’applique : sans siège UE, un représentant selon article 18 CRA est nécessaire. La déclaration se fait via ce représentant. Si l’entreprise est seulement revendeur sans marque propre, l’obligation ne s’applique pas.
• Boutique en ligne UK : Un magasin britannique vend des produits tiers en Europe sans marque propre. Il n’a pas d’obligation de déclaration 24h ni de représentant CRA, car il n’est pas fabricant. La responsabilité revient au fabricant réel.

Ces scénarios illustrent l’importance de bien définir son rôle. Une mauvaise évaluation entraîne des coûts inutiles ou des lacunes de conformité.