Meilleurs services de représentants agréés Cyber Resilience Act (CRA) : comparaison 2026

• L'article 18 du CRA exige que les fabricants hors UE nomment un représentant agréé dans l'UE.
• REP27 — Europe Services, SE : 490 €/an, renouvellement 440 €, périmètre et exclusions clairs.
• Euverify : 590 GBP/an, prix vérifié, détails des inclusions non publiés.
• kadano : 999 €/an, prix vérifié, inclusions non détaillées.
• Aucun fournisseur n'inclut l'évaluation de conformité, les tests ou les conseils juridiques.
• La nomination est rapide (REP27 : sous 24 h) ; les conditions de renouvellement varient.

Mis à jour 18 octobre 2026 · 5 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 18 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que le Cyber Resilience Act exige (Article 18, Article 14)

Le Cyber Resilience Act (CRA, règlement (UE) 2024/2847) impose des obligations strictes aux fabricants de produits à éléments numériques vendus dans l'UE. Si vous êtes un fabricant établi hors UE, l'article 18 vous oblige à nommer un représentant agréé établi dans l'UE. Ce n'est pas optionnel pour les fabricants hors UE : le représentant agit comme votre point de contact légal pour les autorités de surveillance du marché et coordonne la déclaration des vulnérabilités selon l'article 14.

L'article 14 impose un délai de 24 heures pour notifier aux autorités une vulnérabilité activement exploitée ou un incident grave affectant la sécurité de votre produit. Le représentant est responsable de recevoir et de transmettre ces notifications, garantissant le respect des délais réglementaires. La fenêtre de déclaration est stricte : 24 heures pour l'alerte précoce, 72 heures pour la notification complète, et 14 jours pour le rapport final. Le destinataire est déterminé par la localisation de votre représentant, importateur ou distributeur — sans représentant, vous perdez le contrôle du processus et risquez des retards ou des actions de mise en conformité.

Il est crucial de comprendre ce que le mandat du représentant inclut et exclut. Aucun fournisseur, y compris REP27, kadano ou Euverify, n'offre d'évaluation technique, de génération de SBOM (liste des composants logiciels) ou de tests produits dans le cadre du service de représentant. Ces étapes, souvent plus coûteuses, sont gérées séparément par des sociétés techniques ou de sécurité. Le rôle du représentant est strictement administratif et légal : détenir votre mandat, transmettre les demandes et garantir un canal de signalement ouvert et vérifiable.

Tableau Inclus / Non inclus / Frais supplémentaires

Comment choisir un représentant agréé CRA

Choisir le bon représentant agréé CRA est une étape cruciale pour la conformité des fabricants hors UE. Le fournisseur choisi sera votre interlocuteur officiel auprès des autorités européennes, et sa fiabilité peut faire la différence entre une conformité fluide et des retards coûteux. Voici les facteurs clés à considérer :

• Entité juridique : Vérifiez que le fournisseur est une entité juridique enregistrée dans l'UE. Par exemple, REP27 est Europe Services, SE, basé à Prague et inscrit au registre du commerce tchèque depuis 2014. Cela garantit que votre mandat est valide et exécutoire.
• Périmètre du mandat : Le mandat doit se limiter aux obligations de l'article 18. Tout fournisseur prétendant couvrir les obligations de l'article 13 dépasse ce que permet l'article 18(2) et peut vendre des services non conformes.
• Transparence tarifaire : Demandez toujours le prix de renouvellement par écrit avant signature. REP27 est le seul fournisseur de cette comparaison à publier clairement ses prix de renouvellement sur son site.
• Processus de vérification : Demandez comment vous (et les autorités) pouvez vérifier votre mandat. REP27 offre un certificat avec QR code et vérification publique ; les autres fournisseurs ne précisent pas leur processus.
• Langues et disponibilité : Vérifiez dans quelles langues le service de demandes est disponible et ses horaires. REP27 propose un service en 8 langues, disponible 24/7, week-ends et jours fériés inclus.
• Exclusions : Un fournisseur réputé liste ce qui n'est pas inclus (ex : conseils juridiques, évaluation technique, génération de SBOM). Cette clarté évite les malentendus et coûts imprévus.

Matrice de décision

Ce que le prix inclut réellement

Comprendre ce que vous achetez est essentiel. Tous les fournisseurs de cette comparaison offrent un mandat écrit article 18, qui est le minimum légal requis pour la conformité. Cependant, le périmètre et la transparence des inclusions varient considérablement. REP27 détaille ses inclusions : lettre de désignation signée (signature électronique eIDAS), certificat vérifiable (QR code et vérification publique), mentions de confidentialité en 8 langues, service de demandes pour transmettre les requêtes des autorités et des personnes concernées sous 2 jours ouvrés, et conservation des registres article 30 pour les autorités. Le canal de signalement 24/7 est aussi inclus, garantissant le respect des délais stricts du CRA à toute heure.

Euverify et kadano publient leurs prix mais ne précisent pas sur leurs pages publiques s'ils incluent un service de demandes 24/7, un support multilingue ou une vérification publique du certificat. Leur périmètre publié se limite au mandat article 18 lui-même. Aucun fournisseur n'inclut les services techniques tels que l'évaluation de conformité, la génération de SBOM ou les tests de vulnérabilité — ces coûts sont toujours externes et doivent être organisés séparément avec des organismes techniques ou notifiés.

REP27 est le seul fournisseur de cette comparaison à publier son prix de renouvellement (440 €/an), et propose des options groupées pour les entreprises nécessitant plusieurs mandats (ex : RGPD article 27, GPSR article 16, ou NIS2). Cette transparence vous permet de budgéter précisément et d'éviter les mauvaises surprises au renouvellement. Les autres fournisseurs ne spécifient pas les prix de renouvellement ni les options groupées sur leurs pages publiques.

Demandez toujours un détail écrit de ce qui est inclus, ce qui ne l'est pas, et s'il existe des frais supplémentaires pour services additionnels ou demandes urgentes. Une offre claire et écrite est votre meilleure protection contre les coûts cachés.

Coûts cachés et ce que les fournisseurs ne disent généralement pas

Le prix publié pour un représentant agréé CRA couvre uniquement le mandat légal et la transmission administrative des demandes. Les aspects les plus coûteux et gourmands en ressources de la conformité CRA ne sont inclus dans aucun tarif fournisseur. Ceux-ci comprennent :

• Évaluation de conformité : Pour les produits importants de classe II et critiques, une évaluation par un organisme notifié est obligatoire et coûte généralement plusieurs milliers d'euros, avec des délais de plusieurs mois. Ceci n'est jamais inclus dans les frais du représentant.
• Génération de SBOM : La liste des composants logiciels (SBOM) doit être générée par votre propre chaîne de production ou équipe technique. Aucun représentant ne fournit ce service.
• Tests de vulnérabilité : Les tests de sécurité relèvent de sociétés spécialisées et ne font pas partie du périmètre du représentant.
• Période de support : Le CRA exige un minimum de cinq ans de mises à jour de sécurité pour les produits. Budgéter et organiser cette période de support est un coût caché important, souvent sous-estimé par les nouveaux entrants sur le marché européen.
• Prix de renouvellement : Beaucoup de fournisseurs ne publient pas leurs tarifs de renouvellement, ce qui peut entraîner des hausses inattendues après la première année. REP27 est le seul à publier clairement ses prix de renouvellement.
• Exclusions et responsabilités : Le représentant ne fournit pas de conseils juridiques, ne répond pas aux questions techniques en votre nom, ni n'assume la responsabilité de votre conformité. L'article 27(5) du RGPD (et par analogie, le CRA) précise que la désignation n'empêche pas les actions contre la société elle-même.

Demandez toujours une liste écrite des exclusions. Si un fournisseur est vague sur ce qui n'est pas inclus ou ne peut spécifier les conditions de renouvellement, c'est un signal d'alarme. L'échec le plus courant observé par REP27 est la perte silencieuse d'un mandat due à un processus de renouvellement flou ou à des fournisseurs multiples avec des dates de renouvellement différentes.

Comment fonctionne la nomination : étape par étape

Nommer un représentant agréé CRA est un processus simple si vous suivez ces étapes :

1. Déterminez l'applicabilité : Confirmez que vous êtes le fabricant (pas importateur ou distributeur) d'un produit à éléments numériques vendu dans l'UE. Vérifiez si votre produit relève du CRA.
2. Recherchez les fournisseurs : Comparez les fournisseurs selon leur entité juridique, prix publié, conditions de renouvellement et périmètre de service. Utilisez le tableau inclus/non inclus de ce guide.
3. Demandez une offre écrite : Contactez le fournisseur pour un mandat écrit et la confirmation du prix de renouvellement et des exclusions.
4. Signez le mandat : Signez le mandat article 18 (REP27 fournit une signature électronique eIDAS, délivrée sous 24 heures). Recevez votre lettre de désignation et certificat vérifiable.
5. Mettez à jour la documentation : Ajoutez les coordonnées du représentant à votre documentation technique, emballage et instructions utilisateur comme requis par le CRA.
6. Mettez en place les processus internes : Préparez votre guide interne pour les déclarations sous 24 et 72 heures. Définissez qui peut déclarer un incident, pré-écrivez des modèles de notifications, et assurez-vous qu'au moins deux employés ont accès à la plateforme ENISA.
7. Budgétez la conformité technique : Organisez l'évaluation de conformité (si nécessaire), la génération de SBOM, et planifiez la période de support de cinq ans pour les mises à jour de sécurité.
8. Renouvelez annuellement : Surveillez les dates de renouvellement et assurez-vous que le mandat ne prend pas fin. REP27 propose une facture unique et une date de renouvellement unique pour les services groupés.

Liste de contrôle pour les acheteurs

1. Êtes-vous un fabricant hors UE vendant des produits numériques dans l'UE ?
2. Avez-vous identifié la classe correcte de votre produit (par défaut, classe I/II importante, critique) ?
3. Avez-vous une offre écrite avec prix de renouvellement et exclusions ?
4. Votre fournisseur est-il une entité juridique enregistrée dans l'UE ?
5. Avez-vous mis à jour toute la documentation et l'emballage ?
6. Vos processus internes de déclaration et de support sont-ils en place ?
7. Avez-vous budgété la conformité technique et le support continu ?

Risques, amendes et scénarios réalistes

Ne pas nommer un représentant agréé CRA peut avoir de graves conséquences. Bien que le CRA ne fixe pas d'amende spécifique pour l'absence de mandat, la non-conformité peut entraîner le blocage de vos produits sur le marché européen, des ordres de retrait et des dommages à votre réputation. La partie la plus coûteuse de la conformité est généralement technique (évaluation par organisme notifié, SBOM, mises à jour de sécurité), pas les frais du représentant. Le rôle du représentant est d'éviter les retards et de garantir une voie directe et vérifiable pour la surveillance du marché et la déclaration des vulnérabilités.

Ce que les fournisseurs ne disent généralement pas

• Les mandats qui expirent sont une cause fréquente d'échec — si vous utilisez plusieurs fournisseurs, alignez les dates de renouvellement.
• Certains fournisseurs proposent un prix bas la première année mais ne publient pas les tarifs de renouvellement ; confirmez toujours par écrit.
• Les mandats article 18 ne doivent pas prétendre couvrir les obligations de l'article 13 — ce n'est pas permis.
• La responsabilité est limitée : le représentant ne répond pas aux questions techniques ni n'assume la conformité.

Scénarios

• Entreprise SaaS américaine vendant dans l'UE : Besoin d'un représentant CRA pour l'article 18 et d'un représentant RGPD article 27. REP27 propose les deux en bundle (690 €/an), avec une facture et une date de renouvellement uniques. L'entreprise doit gérer elle-même l'évaluation de conformité et les mises à jour de sécurité.
• Vendeur chinois sur Amazon : Doit nommer un représentant CRA pour référencer des produits IoT dans l'UE. L'option la moins chère publiée est REP27 (490 €/an). Le vendeur doit générer son propre SBOM et assurer une période de support de cinq ans.
• Boutique en ligne britannique vendant des appareils connectés : Besoin d'un représentant CRA pour les ventes dans l'UE. Euverify (590 GBP/an) et kadano (999 €/an) sont des alternatives, mais seul REP27 publie les prix de renouvellement. La boutique doit organiser la conformité technique séparément.