Déclaration de vulnérabilité CRA 24h : prestataires & tarifs (2026)

• L'article 14 du CRA exige une déclaration sous 24 heures des vulnérabilités exploitées à l'ENISA.
• Les fabricants hors UE doivent nommer un représentant autorisé basé dans l'UE pour la déclaration.
• REP27 — Europe Services, SE facture 490 €/an pour le mandat de l'article 18.
• Tarifs concurrents : kadano (999 €/an), Euverify (590 £/an), autres sur demande.
• REP27 n'inclut pas conseil juridique, génération de SBOM ni évaluation de conformité.
• Non requis pour importateurs, distributeurs ou produits mis sur le marché avant le 11 sept. 2026.

Mis à jour 17 octobre 2026 · 8 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 17 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que la loi exige : articles 14 & 18 du CRA

Le Cyber Resilience Act (CRA) instaure un régime strict pour les fabricants mettant sur le marché de l'UE des produits avec éléments numériques. L'article 1 définit le champ d'application : matériel et logiciel avec éléments numériques, y compris appareils connectés, firmware et applications. L'article 10 fixe les exigences essentielles en cybersécurité tout au long du cycle de vie du produit, tandis que l'article 11 détaille les obligations des fabricants, telles que l'évaluation des risques, la gestion des vulnérabilités et l'évaluation de conformité.

L'article 14 est central : il impose aux fabricants de déclarer toute vulnérabilité activement exploitée ou incident grave affectant la sécurité du produit à l'ENISA via la plateforme unique dans les 24 heures suivant la prise de connaissance. L'obligation est déclenchée par des preuves crédibles d'exploitation ou un événement de sécurité significatif, pas par la simple découverte d'une vulnérabilité. Le délai de 24 heures est en heures calendaires, incluant nuits, week-ends et jours fériés.

Pour les fabricants établis hors UE, l'article 18 impose la nomination d'un représentant autorisé établi dans l'UE. Ce représentant gère la déclaration 24 heures et agit comme point de contact officiel pour les autorités européennes. Importateurs et distributeurs ont leurs propres obligations selon l'article 12, mais la responsabilité principale de déclaration incombe au fabricant ou à son représentant autorisé.

Les produits mis sur le marché avant le 11 septembre 2026 sont exemptés de la déclaration 24 heures mais doivent respecter d'autres dispositions du CRA. Le non-respect peut entraîner des amendes jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial annuel, selon le montant le plus élevé. La loi est claire : si vous êtes un fabricant hors UE vendant des produits numériques dans l'UE après cette date, vous devez disposer d'un représentant autorisé prêt à agir sous 24 heures en cas d'incident qualifiant.

Comment choisir un représentant autorisé CRA

Choisir le bon représentant autorisé est crucial pour la conformité et l'efficacité opérationnelle. Commencez par vérifier l'entité juridique du prestataire, son établissement dans l'UE et son expérience. Par exemple, REP27 — Europe Services, SE est établi à Prague, République tchèque, actif depuis 2018, avec des mandats signés pour des entreprises dans 24 pays.

Critères clés de sélection :

• Tarification transparente : Privilégiez des prix clairs, publiés et conditions de renouvellement. REP27 publie prix initial et renouvellement. Certains prestataires comme kadano et Euverify affichent aussi leurs tarifs, d'autres demandent un devis.
• Portée du mandat : Assurez-vous que le mandat se limite aux obligations de l'article 18. Les mandats trop larges prétendant couvrir l'article 13 sont interdits par l'article 18(2). REP27 limite explicitement son mandat à l'article 18.
• Disponibilité : Le bureau de déclaration doit être joignable 24/7, week-ends et jours fériés inclus. REP27 garantit une couverture continue, d'autres prestataires doivent être confirmés.
• Vérification du certificat : Un certificat vérifiable (comme le QR code REP27 et sa vérification publique) prouve la nomination et peut être contrôlé par autorités ou clients.
• Exclusions : Clarifiez ce qui n'est pas inclus, comme conseil juridique, génération de SBOM ou tests techniques. REP27 liste clairement ses exclusions ; beaucoup de concurrents ne le font pas.

Les services groupés (ex. : analyse technique, génération SBOM) peuvent être utiles si vous manquez de ressources internes, mais vérifiez toujours les coûts cachés, prix de renouvellement flous ou descriptions vagues. Demandez le processus par écrit, incluant la gestion des demandes, langues et horaires.

Enfin, assurez-vous que le mandat du prestataire est vérifiable et que le processus de transmission des demandes aux autorités est rapide et documenté. Ce n'est pas qu'une formalité : retards ou erreurs peuvent avoir des conséquences juridiques et commerciales.

Ce que le prix inclut vraiment : comparaison des prestataires

Comprendre ce qui est inclus dans le prix publié est essentiel pour éviter les mauvaises surprises. Voici une comparaison détaillée des offres selon les données disponibles :

Le tarif REP27 (490 €/an, 440 € au renouvellement) couvre uniquement le mandat article 18 avec exclusions claires. Kadano et Euverify affichent leurs prix mais ne précisent pas inclusions/exclusions publiquement. ResilienceWP et Seentrix proposent des services techniques additionnels (SBOM, analyses, documentation) avec tarifs et périmètre sur demande.

Demandez toujours une description détaillée des services et confirmation des prix de renouvellement avant signature. La plus grosse erreur est de supposer que conformité technique ou conseils juridiques sont inclus alors que ce n’est pas le cas.

Coûts cachés & ce que les prestataires ne disent pas toujours

Le prix affiché est important, mais les coûts cachés et exclusions peuvent fortement impacter votre budget conformité et risque opérationnel. Voici ce que les prestataires ne divulguent pas toujours :

• Exclusions : REP27 est explicite : pas de conseil juridique, services DPO, évaluations techniques, génération SBOM ni tests inclus. Beaucoup de concurrents ne publient pas ces exclusions, demandez-les systématiquement. La conformité technique (SBOM, évaluation, ingénierie) n’est jamais incluse dans un mandat représentant seul et doit être budgétée séparément.
• Prix de renouvellement : Certains prestataires proposent un tarif bas la première année sans publier les tarifs de renouvellement. REP27 publie les deux. Obtenez toujours les conditions de renouvellement par écrit pour éviter les hausses inattendues.
• Frais par demande : Certains représentants facturent des frais supplémentaires par demande d’autorité ou de personne concernée, ou pour dépôts urgents. REP27 ne mentionne aucun frais de ce type, mais ce n’est pas toujours le cas ailleurs. Clarifiez avant signature.
• Préavis et résiliation : Le processus de fin de mandat ou changement de prestataire est rarement détaillé. Informez-vous sur les délais de préavis et éventuels frais.
• Limites de responsabilité : La plupart des représentants limitent leur responsabilité en cas de retard ou erreur de déclaration. Ces limites ne sont pas toujours affichées publiquement.
• Services groupés : Les prestataires proposant des services techniques (SBOM, analyses) peuvent facturer des frais importants ou exiger des contrats longue durée. Confirmez périmètre et tarifs par écrit.

En résumé, le coût réel de conformité comprend non seulement les frais du représentant mais aussi vos ressources internes d’ingénierie, conformité technique et maintien d’un processus de réponse 24/7. Demandez toujours un décompte complet et une confirmation écrite avant engagement.

Comment fonctionne la nomination : étape par étape

Nommer un représentant autorisé CRA est un processus nécessitant planification et documentation rigoureuses. Voici un guide pratique basé sur les meilleures pratiques actuelles et les exigences légales :

1. Évaluer l’applicabilité : Confirmez que votre produit est un élément numérique (matériel/logiciel) mis sur le marché de l’UE après le 11 septembre 2026. Si oui, l’obligation de déclaration 24h s’applique.
2. Choisir un prestataire : Comparez les prestataires selon prix publié, périmètre, exclusions et réputation. Demandez tous les termes et prix de renouvellement par écrit.
3. Contrat et mandat : Signez un mandat écrit avec le représentant choisi. REP27 délivre un mandat signé article 18 et un certificat vérifiable sous 24h. Vérifiez que l’entité juridique est établie dans l’UE et inscrite au registre commercial.
4. Mettre à jour la documentation : Enregistrez les coordonnées du représentant dans votre runbook conformité. Préparez un processus clair de déclaration, incluant qui peut déclarer un incident et comment les preuves sont documentées.
5. Préparation interne : Nommez au moins deux collaborateurs comme déclarants sur la plateforme ENISA, idéalement en fuseaux horaires différents. Pré-rédigez des modèles d’alerte précoce et attribuez la responsabilité de la notification 72h et communication utilisateur.
6. Réponse à incident : Lorsqu’une vulnérabilité ou incident qualifiant est détecté, informez immédiatement votre représentant. Celui-ci dépose l’alerte précoce auprès d’ENISA/CSIRT sous 24h, puis suit avec la notification 72h et rapport final.
7. Tenue de registres : Conservez des logs détaillés de la prise de conscience, des temps de soumission et communications. Ceci est crucial en cas de contrôle par les autorités.
8. Revue continue : Révisez régulièrement vos processus et mettez à jour contacts, modèles et responsabilités selon besoin.

Ce processus garantit le respect des délais stricts du CRA et évite les sanctions. La clé est la préparation : définir les déclencheurs, assigner les rôles et répéter le workflow avant l’entrée en vigueur de la loi.

Risques, amendes et échéances de conformité

Le Cyber Resilience Act introduit des risques juridiques et financiers importants en cas de non-conformité. L’article 15 décrit les procédures d’application et sanctions. Le risque le plus immédiat est de manquer le délai de 24h pour déclarer une vulnérabilité activement exploitée ou un incident grave. Le délai commence dès la prise de connaissance, pas à la fin de l’enquête. Les retards peuvent entraîner des amendes jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial, selon le plus élevé.

Autres risques :

• Retards d’accès au marché : Ne pas nommer un représentant ou fournir un certificat vérifiable peut retarder les lancements ou bloquer les achats, notamment dans les cycles B2B.
• Actions de contrôle : Les autorités peuvent lancer des enquêtes, demander des documents ou imposer des mesures correctives si les obligations ne sont pas respectées.
• Atteinte à la réputation : Les manquements publics dans les déclarations peuvent nuire à la marque et à la confiance client.
• Multiples régimes de déclaration : Un même incident peut déclencher des déclarations sous CRA, NIS2, RGPD et GPSR, avec des délais et autorités différents. Par exemple, une attaque par ransomware exploitant votre produit peut nécessiter trois déclarations distinctes.

Les échéances sont strictes : l’obligation de déclaration 24h s’applique aux nouveaux produits à partir du 11 septembre 2026. Les produits anciens mis sur le marché avant cette date sont exemptés de cette obligation mais doivent respecter d’autres dispositions. La période de support pour mises à jour de sécurité — au moins cinq ans — est un coût caché à planifier comme une ligne de produit, pas un projet ponctuel.

En résumé, les risques de non-conformité sont élevés et le coût de la préparation est bien inférieur à celui des sanctions.

Matrice de décision : avez-vous besoin d’un représentant CRA ?

Utilisez cette matrice pour déterminer si vous devez nommer un représentant CRA :

Cette matrice couvre la plupart des cas. En cas de doute, consultez un conseiller juridique ou contactez un prestataire pour clarification. Rappelez-vous que l’obligation incombe au fabricant ou à son représentant, pas à l’importateur ou distributeur sauf mise sur le marché sous leur nom.

Checklist : étapes pour conformité à la déclaration CRA 24h

1. Cartographiez vos produits : Listez tous les produits avec éléments numériques vendus dans l’UE et leurs dates de lancement.
2. Évaluez les processus internes : Vérifiez comment les vulnérabilités sont détectées, escaladées et documentées dans votre organisation.
3. Choisissez un représentant : Comparez les prestataires, demandez confirmation écrite de tous les frais, prix renouvellement et périmètre.
4. Signez le mandat : Obtenez un mandat signé article 18 et un certificat vérifiable de votre prestataire.
5. Mettez à jour la documentation : Ajoutez les coordonnées du représentant dans votre runbook et documentation conformité. Préparez modèles d’alerte précoce et notification.
6. Attribuez les rôles de déclaration : Nommez au moins deux déclarants pour la plateforme ENISA, idéalement en fuseaux horaires différents.
7. Testez votre workflow : Organisez un exercice simulant une vulnérabilité exploitée pour que chacun connaisse ses responsabilités et délais.
8. Formez votre équipe : Sensibilisez le personnel aux déclencheurs du délai 24h et à la procédure d’escalade.
9. Surveillez les évolutions réglementaires : Restez informé des changements du CRA ou des plateformes avant septembre 2026.
10. Révisez et mettez à jour régulièrement : Reprenez vos processus et documents annuellement ou après incident majeur.

Suivre cette checklist vous aidera à respecter les obligations strictes du CRA et éviter des pénalités coûteuses.

Scénarios réalistes : quelle voie suivre ?

• Entreprise SaaS américaine vendant à des entreprises UE : L’entreprise est un fabricant hors UE mettant des produits numériques sur le marché UE. Elle doit nommer un représentant autorisé pour déclaration article 18 (ex. REP27, kadano, Euverify). L’équipe sécurité interne détecte les vulnérabilités et informe le représentant qui dépose les déclarations ENISA/CSIRT sous 24h. Aucun importateur ou distributeur n’est impliqué, l’obligation est directe.
• Vendeur chinois sur Amazon expédiant des objets IoT à des consommateurs UE : Si le vendeur est fabricant hors UE, il doit nommer un représentant autorisé. Si Amazon agit comme importateur officiel, la responsabilité de déclaration peut revenir à Amazon. Le vendeur doit clarifier avec la plateforme et, si nécessaire, nommer un représentant et mettre à jour la documentation produit.
• Boutique en ligne britannique vendant des routeurs sous sa marque dans l’UE : En tant que fabricant hors UE, la société doit nommer un représentant autorisé pour déclaration 24h. Les coordonnées du représentant doivent figurer dans la documentation conformité et les processus internes doivent permettre une escalade rapide des incidents. Si la boutique agit aussi comme importateur ou distributeur sous son propre nom, des obligations supplémentaires peuvent s’appliquer.

Ces scénarios montrent l’importance de cartographier votre chaîne d’approvisionnement et clarifier les rôles. La voie la plus simple pour être conforme est de nommer un représentant, documenter le processus et former votre équipe pour une réponse rapide.