Obligations du Cyber Resilience Act pour fabricants hors UE

• Le CRA s'applique aux fabricants hors UE vendant dans l'UE à partir du 11 septembre 2026
• Article 18 : représentant autorisé dans l'UE requis en l'absence d'établissement dans l'UE
• Obligation de déclaration sous 24 heures pour vulnérabilités exploitées (Article 14)
• La procédure d'évaluation de conformité dépend de la classe du produit
• Amendes jusqu'à 15 millions € ou 2,5 % du chiffre d'affaires en cas de manquements

Mis à jour 18 octobre 2026 · 9 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 18 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que la loi exige (avec numéros d'articles)

Le Cyber Resilience Act (CRA) est le nouveau règlement de l'UE pour les produits comportant des éléments numériques, incluant matériel, logiciel et composants. Il s'applique à tout fabricant, quel que soit son lieu d'établissement, si ses produits sont mis sur le marché de l'UE. La loi est entrée en vigueur le 10 décembre 2024. Les obligations de déclaration commencent le 11 septembre 2026 ; la conformité complète (y compris marquage CE et évaluation de conformité) est requise à partir du 11 décembre 2027.

• Article 18 : Les fabricants hors UE doivent désigner un représentant autorisé dans l'UE pour chaque gamme de produits, sauf s'ils disposent d'un établissement dans l'UE. Ce représentant agit comme contact officiel pour les autorités et la surveillance du marché.
• Article 14 : Les fabricants doivent déclarer les vulnérabilités activement exploitées et incidents graves affectant la sécurité des produits. Les délais sont stricts : alerte précoce sous 24 heures, notification complète sous 72 heures, rapport final sous 14 jours après mitigation ou notification. La plateforme de déclaration est gérée par l'ENISA, et le destinataire est déterminé par l'État membre du représentant.
• Annexes I & II : Les fabricants doivent respecter des exigences essentielles en cybersécurité, incluant la gestion des vulnérabilités, le développement sécurisé par conception, et des instructions claires aux utilisateurs dans une langue facilement comprise par utilisateurs et autorités.
• Évaluation de conformité : La procédure requise dépend de la classe du produit. Les produits par défaut peuvent s'auto-évaluer ; la classe importante I doit utiliser des normes harmonisées ou une évaluation tierce ; les classes importantes II et critiques nécessitent un organisme notifié ou un schéma de certification.
• Période de support : Les fabricants doivent fournir des mises à jour de sécurité et gérer les vulnérabilités pendant toute la période de support déclarée (minimum cinq ans).
• Exemptions : Les micro et petites entreprises, ainsi que les gestionnaires de logiciels open-source, sont exemptés d'amendes pour déclaration tardive mais doivent respecter les obligations techniques et de déclaration.

Les importateurs et distributeurs deviennent fabricants s'ils mettent les produits sur le marché sous leur propre nom ou les modifient substantiellement. Sinon, le fabricant d'origine reste responsable de la conformité CRA et des déclarations.

Comment choisir un représentant CRA ou prestataire de conformité

Choisir le bon représentant Article 18 ou prestataire de conformité est crucial pour les fabricants hors UE. Le marché varie largement en prix, transparence et services inclus. Voici les points à considérer :

• Entité juridique et localisation : Vérifiez l'entité juridique et l'établissement dans l'UE du prestataire. Par exemple, REP27 est Europe Services, SE, basé à Prague et inscrit au registre du commerce tchèque. Toujours vérifier avant paiement.
• Portée du mandat : Certains prestataires offrent uniquement le mandat Article 18 (exigé par la loi), d'autres incluent des services additionnels comme la représentation RGPD ou NIS2. Confirmez que le mandat est limité à l'Article 18(3) (comme il se doit) et n'inclut pas des obligations interdites par l'Article 18(2).
• Transparence des prix : Privilégiez les prestataires publiant les tarifs première année et renouvellement. Méfiez-vous des prix d'appel suivis de renouvellements silencieux plus élevés. REP27, par exemple, indique clairement les prix de renouvellement en plus des frais initiaux.
• Vérification et support : Assurez-vous que le prestataire fournit un certificat vérifiable, une méthode de vérification publique, et un service de réception des demandes. Renseignez-vous sur le processus de transfert des demandes des autorités ou CSIRT, les langues supportées et les délais de réponse.
• Services groupés : Si vous avez aussi besoin de représentation RGPD Article 27 ou GPSR Article 16, certains prestataires (ex. REP27) proposent des forfaits combinés à tarif réduit.

Matrice décisionnelle :

Demandez toujours un mandat écrit et un certificat avant de mettre des produits sur le marché de l'UE.

Ce que le prix inclut vraiment : comparaison des prestataires

Les prix et services inclus varient considérablement. Les mandats Article 18 représentent généralement le coût externe le plus bas dans la conformité CRA, mais beaucoup de prestataires ne publient pas tous les détails. Voici une comparaison de ce qui est inclus, non inclus ou peut engendrer des frais supplémentaires pour chaque prestataire (octobre 2026) :

Pour la plupart des fabricants, le mandat Article 18 est un document d'une page plus l'obligation de transférer les demandes. L'évaluation de conformité, les tests techniques et la génération SBOM sont des coûts séparés et non inclus dans les frais de représentant de base.

Coûts cachés et exclusions

Bien que le mandat Article 18 soit une nécessité légale, il ne représente qu'une petite partie du coût total de conformité au CRA. Les éléments les plus coûteux — évaluation de conformité, frais d'organisme notifié, documentation technique et période de support — ne sont pas inclus dans la plupart des forfaits représentants. Voici ce à quoi il faut faire attention :

• Frais d'évaluation de conformité : Pour les produits importants classe II ou critiques, les coûts d'organisme notifié ou de schéma de certification peuvent atteindre plusieurs milliers d'euros et nécessitent plusieurs mois. Prévoyez un budget séparé.
• Documentation technique : Des prestataires comme Reglyze et EmberKat proposent génération de dossier technique, ingestion SBOM et analyse des écarts, mais ce n'est pas inclus dans les mandats standards.
• Frais de renouvellement et par demande : Certains prestataires peuvent facturer des tarifs de renouvellement plus élevés ou des frais par demande/rapport. Demandez toujours une confirmation écrite des tarifs de renouvellement et frais supplémentaires avant signature.
• Délais de préavis et limites de responsabilité : Les renouvellements silencieux et politiques d'annulation floues peuvent entraîner des dépenses imprévues. La responsabilité pour manquements à la conformité est souvent exclue ou limitée par le représentant.
• Coûts de la période de support : La loi impose au moins cinq ans de mises à jour de sécurité et gestion des vulnérabilités, qui doivent être budgétées et pourvus comme une ligne de produit.

REP27 est transparent sur ce qui n'est pas inclus : conseil juridique, évaluation technique et génération SBOM sont hors mandat. Clarifiez toujours exclusions et coûts cachés avec tout prestataire.

Comment fonctionne la nomination : étape par étape

Nommer un représentant Article 18 et atteindre la conformité CRA implique plusieurs étapes concrètes. Voici un processus pratique et opérationnel pour les fabricants hors UE :

1. Déterminez si vos produits sont concernés : Identifiez tous les produits avec éléments numériques (matériel, logiciel, composants ou solutions de traitement de données à distance) mis sur le marché de l'UE.
2. Classez vos produits : Utilisez les définitions du CRA pour déterminer si vos produits sont par défaut, importants classe I/II, ou critiques. Cela influence la voie d'évaluation de conformité.
3. Choisissez un représentant : Sélectionnez un représentant Article 18 avec une entité juridique vérifiable dans l'UE. Confirmez portée, tarifs et conditions de renouvellement par écrit.
4. Signez le mandat : Exécutez un mandat écrit (Article 18(3)) avec le prestataire choisi. Obtenez un certificat et une méthode de vérification publique.
5. Préparez la documentation : Constituez la documentation technique (Annexe VII), SBOM, déclaration UE de conformité et instructions utilisateur dans les langues requises.
6. Installez un canal de déclaration 24h/24 : Assurez-vous d'avoir un canal de réception du personnel pour vulnérabilités et incidents. Préparez des modèles d'alerte précoce et de notification.
7. Inscrivez-vous auprès de l'ENISA : Enregistrez au moins deux personnes habilitées sur la plateforme de déclaration ENISA, idéalement dans des fuseaux horaires différents.
8. Budgetez la conformité continue : Prévoyez les coûts de la période de support (minimum cinq ans de mises à jour), l'évaluation de conformité (si nécessaire) et la maintenance documentaire.
9. Révisez et mettez à jour régulièrement : Planifiez des revues périodiques de votre posture de conformité, documentation et processus de déclaration.

Suivre cette checklist garantit que vous êtes préparé aux exigences légales et pratiques de la conformité CRA.

Risques et amendes en cas de non-conformité

Le CRA introduit des sanctions substantielles en cas de non-conformité. Les manquements aux exigences essentielles de cybersécurité ou aux obligations des fabricants peuvent entraîner des amendes pouvant atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial annuel, selon le montant le plus élevé. Ces pénalités s'appliquent aux fabricants UE et hors UE mettant des produits sur le marché de l'UE.

• Défauts de déclaration : Le non-respect du délai de 24 heures pour la déclaration des vulnérabilités vous expose à des actions coercitives. Les micro et petites entreprises, ainsi que les gestionnaires open-source, sont exemptés d'amendes pour déclaration tardive mais pas de l'obligation de déclaration.
• Risques d'approvisionnement et d'accès au marché : Sans représentant Article 18, les processus d'approvisionnement peuvent être bloqués et vous risquez d'être exclu des ventes aux entreprises ou appels d'offres publics.
• Actions de surveillance du marché : Les autorités peuvent agir contre les fabricants non conformes, incluant retrait ou rappel de produits.
• Risques pour distributeurs/importateurs : Sans représentant, les importateurs ou distributeurs UE peuvent être considérés par défaut comme votre voie de déclaration, ce qui peut entraîner une perte de contrôle sur les communications de conformité.
• Omissions silencieuses : Le défaut de renouveler les mandats ou de maintenir la documentation à jour peut entraîner des manquements non détectés, vous exposant à des sanctions sans avertissement.

La conformité efficace ne consiste pas seulement à éviter les amendes mais aussi à garantir un accès ininterrompu au marché et à maintenir la confiance des clients et partenaires.

Ce que les prestataires ne disent généralement pas

Beaucoup de prestataires insistent sur la nécessité légale du mandat Article 18 mais ne révèlent pas toute la réalité. Voici ce qui est souvent omis :

• Portée du mandat : Le mandat Article 18 se limite au transfert des demandes et au rôle de point de contact. Il n'inclut pas le conseil juridique, l'évaluation technique ni la génération SBOM sauf mention explicite.
• Évaluation de conformité : Pour les produits importants classe II et critiques, les coûts d'organisme notifié ou de schéma de certification sont bien plus élevés que les frais de représentant et peuvent nécessiter plusieurs mois. Ces coûts ne sont jamais inclus dans les mandats de base.
• Période de support : L'obligation d'au moins cinq ans de mises à jour de sécurité et gestion des vulnérabilités représente un coût opérationnel majeur, non couvert par aucun service de représentant.
• Conditions de renouvellement et préavis : Certains prestataires pratiquent des prix bas la première année avec des renouvellements beaucoup plus élevés ou imposent de longs délais de préavis pour résiliation. Obtenez toujours ces conditions par écrit.
• Responsabilité : Les représentants excluent généralement leur responsabilité en cas de manquement à la conformité. Le fabricant reste responsable de toutes les obligations sous le CRA.

La transparence sur ce qui n'est pas inclus est aussi importante que sur ce qui l'est. Demandez toujours une liste complète des exclusions et clarifiez le rôle du prestataire avant signature.

Scénarios réalistes : quelle voie s'applique ?

• Entreprise SaaS américaine : Un fournisseur SaaS basé aux États-Unis vend des logiciels directement à des clients de l'UE. Il doit nommer un représentant Article 18, préparer la documentation technique et SBOM, et mettre en place un canal de déclaration 24h/24. Si le produit est de classe par défaut, l'auto-évaluation peut suffire ; s'il est important ou critique, un organisme notifié est nécessaire. La voie la plus simple est de nommer un représentant (ex. REP27), préparer la documentation et s'enregistrer auprès de l'ENISA.
• Vendeur chinois sur Amazon : Un fabricant en Chine vend des appareils IoT sous son propre nom sur Amazon à des acheteurs de l'UE. Il doit nommer un représentant Article 18 et respecter toutes les exigences du CRA. Si le produit est mis sur le marché par un importateur basé dans l'UE, ce dernier peut assumer les obligations. Sinon, le fabricant d'origine doit gérer la déclaration et la documentation.
• Boutique en ligne britannique : Un détaillant basé au Royaume-Uni expédie des appareils connectés à des clients de l'UE. Il doit nommer un représentant Article 18, préparer les dossiers techniques et assurer un processus de déclaration des vulnérabilités 24h/24. Si la vente passe par un distributeur UE qui met le produit sur le marché sous son propre nom, ce distributeur assume les obligations ; sinon, le détaillant britannique reste responsable.

Pour tous les scénarios, la clé est de cartographier les canaux de vente, déterminer qui met le produit sur le marché, et nommer un représentant si nécessaire. Cela évite les retards d'approvisionnement, assure la conformité et prévient les amendes.

Checklist : comment être conforme dès aujourd'hui

1. Cartographiez vos canaux de vente dans l'UE et identifiez tous les produits avec éléments numériques.
2. Classez chaque produit (par défaut, important I/II, critique) selon les définitions du CRA.
3. Déterminez si vous avez besoin d'un représentant Article 18 (obligatoire pour fabricants hors UE).
4. Demandez un mandat écrit et un certificat auprès du prestataire choisi (ex. REP27, kadano, Euverify).
5. Préparez la documentation technique : dossier Annexe VII, SBOM, déclaration UE de conformité, instructions utilisateur dans les langues de l'UE.
6. Installez un canal de déclaration vulnérabilités 24h/24 avec personnel dédié. Préparez des modèles d'alerte précoce et de notification.
7. Enregistrez au moins deux déclarants sur la plateforme ENISA (dans des fuseaux horaires différents si possible).
8. Prévoyez un budget pour organisme notifié ou schéma de certification si votre produit est important classe II ou critique.
9. Déclarez et prévoyez une période de support d'au moins cinq ans pour mises à jour de sécurité et gestion des vulnérabilités.
10. Planifiez des revues régulières de conformité et mises à jour documentaires.

Suivre ces étapes vous garantit d'être prêt pour les échéances d'application du CRA en 2026-2027 et d'éviter des lacunes coûteuses.