Obligations des producteurs hors UE selon le Cyber Resilience Act

• Obligation de représentant UE (Art. 18 CRA) pour producteurs hors UE
• Déclaration des vulnérabilités sous 24 heures (Art. 14 CRA) via le représentant
• REP27 : mandat CRA 490 €/an (tarif publié, octobre 2026)
• Services inclus et limites variables selon fournisseurs, toujours vérifier
• Non inclus : évaluation de conformité, tests, SBOM, reporting technique
• Importateurs/distributeurs sans vente en leur nom non concernés

Mis à jour 21 octobre 2026 · 4 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 21 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Exigences légales : articles clés du CRA

Le Cyber Resilience Act (CRA, Règlement UE 2024/2847) impose des obligations strictes aux producteurs de produits comportant des éléments numériques destinés à être vendus dans l’Union européenne. Si le producteur n’a pas d’établissement dans l’UE, il doit nommer un représentant autorisé dans l’Union selon l’Article 18. Ce représentant sert de point de contact unique pour toutes les communications officielles avec les autorités européennes de surveillance du marché et gère la réception et la transmission des demandes formelles.

Une autre obligation majeure est la déclaration des vulnérabilités : l’Article 14 CRA impose au producteur de notifier sous 24 heures toute vulnérabilité activement exploitée ou incident grave impactant la sécurité du produit. La déclaration se fait via la plateforme ENISA et le CSIRT coordinateur, déterminé selon le lieu du représentant. Le représentant autorisé est donc essentiel pour garantir la rapidité et la précision des communications, notamment pour les entreprises avec des fuseaux horaires différents ou sans personnel en Europe.

Important : l’obligation concerne uniquement les producteurs. Les importateurs et distributeurs ne doivent pas nommer de représentant CRA, sauf s’ils mettent le produit sur le marché en leur nom. Ceux qui vendent via des marketplaces (Amazon, Etsy, eBay) doivent évaluer s’ils sont considérés comme producteurs selon la définition CRA. Les produits déjà sur le marché avant l’entrée en vigueur du CRA restent soumis aux obligations de déclaration.

• Article 18 CRA : Nomination d’un représentant UE pour producteurs hors UE
• Article 14 CRA : Déclaration des vulnérabilités sous 24 heures
• Exclusions : Importateurs/distributeurs ne vendant pas en leur nom

Comment choisir le représentant CRA : critères, comparatif et questions clés

Le choix du représentant CRA est une décision stratégique impactant la conformité, la rapidité de réponse aux incidents et la transparence des coûts. Les critères principaux à considérer sont :

• Prix publié et clarté sur le renouvellement : Seuls certains fournisseurs (ex. REP27) publient des tarifs et conditions de renouvellement transparents ; d’autres exigent un contact direct pour les détails.
• Services inclus : Vérifiez toujours ce qui est compris dans le mandat : réception et transmission des demandes, certificat vérifiable, support pour la déclaration, présence d’un desk actif 24/7.
• Exclusions explicites : Aucun représentant ne peut offrir évaluation de conformité, tests de sécurité, génération de SBOM ou reporting technique : ces tâches restent à la charge du producteur.
• Vérification du mandat : Préférez ceux qui fournissent un certificat avec QR code et page de vérification publique.
• Questions à poser : Qui signe le mandat ? Quel est le processus en cas de demande des autorités ? En quelles langues répondent-ils ? Quels sont les coûts de renouvellement et éventuels frais supplémentaires ?

Voici un tableau comparatif des services déclarés :

La transparence sur inclusions, exclusions et tarifs est un signe de fiabilité : méfiez-vous de ceux qui ne précisent pas clairement leur offre.

Ce que le prix comprend vraiment : transparence, limites et comparaison pratique

Le mandat du représentant CRA couvre uniquement la représentation légale et la gestion des communications avec les autorités européennes. Le prix publié par REP27 (490 €/an, 440 € renouvellement) inclut :

• Mandat écrit Art. 18 CRA, signé électroniquement
• Certificat vérifiable avec QR code et page publique
• Réception et transmission de toutes les demandes des autorités de surveillance du marché
• Gestion de la déclaration des vulnérabilités selon les délais CRA

Ne sont pas inclus :

• Évaluation de conformité du produit (tâche des organismes notifiés, pas du représentant)
• Tests de sécurité ou génération de SBOM
• Rédaction ou envoi de rapports techniques
• Support opérationnel ou conseil technique

La plupart des fournisseurs ne publient pas de détails sur les services inclus : kadano (999 €/an) et Euverify (590 £/an) ne précisent pas ce qui est inclus ou exclu. Il est essentiel de toujours demander une liste détaillée avant signature.

Attention aussi aux renouvellements automatiques et politiques de facturation : REP27 garantit une seule facture annuelle et un prix de renouvellement annoncé à l’avance.

Coûts cachés et risques : ce qu’il faut vraiment évaluer pour la conformité CRA

Le coût du mandat de représentant n’est qu’une petite partie de la conformité CRA. Les coûts principaux, souvent cachés ou sous-estimés, sont :

• Évaluation de conformité : Pour les produits de classe importante ou critique, l’intervention d’un organisme notifié est obligatoire, avec des coûts pouvant largement dépasser ceux du représentant.
• Support technique et mises à jour : Le producteur doit garantir au moins cinq ans de mises à jour de sécurité, avec des ressources dédiées.
• Gestion des incidents et reporting : Le défaut de déclaration rapide d’une vulnérabilité peut entraîner sanctions, blocage commercial et atteinte à la réputation.
• Renouvellements et coûts supplémentaires : Certains fournisseurs appliquent des frais additionnels pour demandes hors horaires, langues supplémentaires ou gestion d’incidents complexes. REP27 déclare ne pas appliquer de frais supplémentaires, mais d’autres ne précisent pas.

Le risque opérationnel majeur est l’absence d’un canal de déclaration actif 24/7 : le desk du représentant doit être joignable en permanence, y compris nuits et jours fériés, pour respecter le délai de 24 heures.

En résumé, la conformité CRA nécessite planification, ressources internes et choix éclairé du représentant, sans se baser uniquement sur le prix le plus bas.

Fonctionnement de la nomination : étapes opérationnelles et bonnes pratiques

La nomination du représentant CRA suit un schéma précis, essentiel pour garantir conformité et réactivité face aux demandes des autorités :

1. Évaluez la nécessité : Êtes-vous producteur hors UE vendant des produits numériques dans l’Union ? Si oui, poursuivez.
2. Choisissez le fournisseur : Analysez les prix publiés, services inclus, modalités de vérification du mandat et présence d’un desk actif 24/7.
3. Demandez le service : Remplissez le formulaire de demande sur le site du fournisseur choisi.
4. Signez le mandat : Recevez et signez le mandat écrit Art. 18 CRA, de préférence avec signature électronique reconnue (ex. eIDAS).
5. Recevez le certificat : Obtenez le certificat vérifiable (QR code, page publique) et intégrez-le à la documentation technique.
6. Mettez à jour les procédures internes : Intégrez les données du représentant dans les politiques de sécurité, runbook de gestion d’incidents et documentation technique.
7. Préparez la déclaration : Pré-remplissez les modèles pour la déclaration des vulnérabilités (alerte précoce, notification 72h, rapport final) et nommez au moins deux submitters avec accès à la plateforme ENISA.
8. Vérifiez la disponibilité : Assurez-vous que le représentant est joignable 24/7 pour transmettre les déclarations dans les délais.

Bonne pratique : demandez toujours une simulation de déclaration au fournisseur avant signature, pour évaluer temps de réponse et clarté des procédures.

Checklist pour la conformité CRA (producteurs hors UE)

1. Vérifiez si vous vendez des produits numériques dans l’UE
2. Classez le produit selon le CRA (par défaut, important I/II, critique)
3. Nominez un représentant UE avec mandat Art. 18
4. Préparez canaux et procédures pour déclaration des vulnérabilités 24/7
5. Documentez la nomination dans la documentation technique et les politiques internes
6. Nominez au moins deux submitters avec accès à la plateforme ENISA
7. Pré-remplissez les modèles de déclaration (alerte précoce, notification, rapport final)
8. Allouez des ressources pour au moins 5 ans de mises à jour de sécurité
9. Vérifiez la couverture du représentant dans tous les pays UE concernés
10. Simulez une déclaration pour tester la réactivité opérationnelle

Ce que les fournisseurs ne disent souvent pas : exclusions, limites et risques pratiques

• Le mandat couvre uniquement la représentation légale : Aucun représentant ne peut offrir évaluation de conformité, tests de sécurité, SBOM ou support technique dans le prix de base.
• Les coûts principaux sont internes : La conformité CRA nécessite des ressources d’ingénierie, support et mises à jour, non incluses dans le service de représentation.
• Renouvellements automatiques et prix non publiés : Certains fournisseurs ne déclarent pas le prix de renouvellement ou appliquent des augmentations non transparentes. REP27 publie tarifs et renouvellements à l’avance.
• Desk pas toujours actif : La disponibilité 24/7 n’est pas toujours garantie : demandez toujours comment la déclaration hors horaires est gérée.
• Responsabilité limitée : Le représentant n’assume pas de responsabilité technique sur le produit, seulement pour la transmission des communications.
• Frais à la demande : Certains fournisseurs peuvent appliquer des coûts supplémentaires pour demandes complexes, langues additionnelles ou gestion d’incidents hors horaires : vérifiez toujours avant signature.

Matrice décisionnelle : qui doit nommer le représentant CRA

Cette matrice aide à déterminer rapidement l’obligation de nomination selon le rôle et le modèle commercial.

Scénarios pratiques : trois exemples réels et la solution la plus simple

• SaaS USA : Une entreprise américaine propose une plateforme logicielle à des clients UE. Elle doit nommer un représentant CRA, préparer les canaux de déclaration des vulnérabilités et intégrer le certificat dans la documentation technique. Solution : REP27 propose mandat à 490 €/an, desk actif 24/7, certificat vérifiable.
• Vendeur Amazon Chine : Si le vendeur est producteur du produit numérique, il doit nommer un représentant CRA et préparer la documentation de déclaration. S’il est seulement revendeur/importateur, l’obligation ne s’applique pas. Solution : évaluer la définition de producteur selon le CRA et nommer un représentant uniquement si nécessaire.
• Boutique UK : Un magasin en ligne britannique qui produit et vend des dispositifs numériques en UE doit nommer un représentant CRA et préparer les procédures de déclaration. S’il importe des produits tiers sans modification ni marque, il n’a pas d’obligation. Solution : clarifier le rôle dans la chaîne d’approvisionnement et choisir un fournisseur avec tarifs publiés et desk actif.

Dans tous les scénarios, choisir un fournisseur transparent réduit risques et coûts inattendus.