Représentant agréé Cyber Resilience Act pour fabricants hors UE : fournisseurs & tarifs (2026)

• L'article 18 du CRA exige que les fabricants hors UE nomment un représentant agréé dans l'UE.
• REP27 — Europe Services, SE : 490 €/an (renouvellement 440 €), prix publié, périmètre clair.
• Kadano : 999 €/an, prix vérifié, basé en Autriche.
• Euverify : 590 £/an, prix vérifié, basé en Irlande.
• Le service n'inclut pas l'évaluation de conformité ni les conseils juridiques.
• Non nécessaire pour les fabricants basés dans l'UE ou les importateurs mettant les produits sous leur propre nom.

Mis à jour 16 octobre 2026 · 7 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 16 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Exigences légales : article 18 du CRA

Le Cyber Resilience Act (CRA), règlement (UE) 2024/2847, est une loi majeure de l'UE imposant des exigences obligatoires en cybersécurité à tous les produits comportant des éléments numériques — matériel ou logiciel — mis sur le marché de l'UE. L'article 18 du CRA exige spécifiquement que tout fabricant établi hors UE nomme un représentant agréé établi dans l'UE. Ce représentant agit comme point de contact officiel pour les autorités de surveillance du marché de l'UE, détient la déclaration de conformité et la documentation technique, et est responsable de transmettre les demandes réglementaires au fabricant.

La loi s'applique à une large gamme de produits, y compris les dispositifs embarqués, logiciels, SaaS, IoT et composants vendus séparément. Le rôle du représentant est strictement défini : il n'assume pas la responsabilité juridique du fabricant, ni ne fournit de conseils techniques ou juridiques. Sa mission principale est de garantir que les autorités peuvent joindre rapidement et efficacement le fabricant, notamment en cas de vulnérabilité ou d'incident.

• Article 14 instaure une obligation de signalement en 24 heures pour les vulnérabilités exploitées activement, à partir du 11 septembre 2026. Les fabricants doivent notifier l'ENISA via une plateforme unique, avec une notification complète sous 72 heures et un rapport final sous 14 jours.
• Article 71(2) fixe les dates d'application : obligations de signalement dès le 11 septembre 2026, obligations complètes (marquage produit et évaluation de conformité) à partir du 11 décembre 2027.
• Le non-respect de l'article 18 (absence de représentant) est passible d'amendes pouvant atteindre 10 millions € ou 2 % du chiffre d'affaires mondial (article 69(1)), tandis que les manquements aux exigences essentielles peuvent atteindre 15 millions € ou 2,5 % (article 69(2)).

Important : si un fabricant hors UE ne nomme pas de représentant, l'importateur ou le distributeur peut devenir responsable par défaut, ce qui peut entraîner des perturbations commerciales ou des retards d'approvisionnement.

Comment choisir un représentant agréé CRA

Choisir le bon représentant agréé CRA est une décision cruciale pour la conformité. Le marché est récent et les fournisseurs diffèrent en transparence, périmètre et conditions de renouvellement. Voici comment faire un choix éclairé :

• Personne morale : Vérifiez que le fournisseur est une société enregistrée dans l'UE avec une identité juridique claire. Par exemple, REP27 est Europe Services, SE, enregistrée à Prague depuis 2014 (IČO 03571785).
• Prix publié et conditions de renouvellement : Exigez un fournisseur publiant les prix de la première année et du renouvellement. REP27 affiche 490 €/an (renouvellement 440 €), avec remises sur forfaits. Beaucoup ne publient pas les prix de renouvellement, ce qui peut engendrer des coûts inattendus.
• Périmètre du mandat : Le mandat doit être limité à l'article 18(3). Les fournisseurs ne doivent pas prétendre couvrir d'autres obligations légales (comme l'article 13), ce qui n'est pas autorisé par le CRA.
• Vérification du certificat : Privilégiez un fournisseur offrant un certificat vérifiable, par exemple un QR code consultable sur une page publique. C'est essentiel pour les achats et audits réglementaires.
• Gestion des demandes : Comprenez comment le fournisseur transmet les demandes des autorités — langues supportées, délais de réponse, et frais éventuels par demande.

Voici un comparatif des inclusions, exclusions et frais supplémentaires possibles pour chaque fournisseur :

Demandez toujours un contrat type et obtenez par écrit toutes les exclusions et conditions de renouvellement avant de décider.

Ce que le prix inclut réellement

La plupart des prix publiés pour un représentant agréé CRA couvrent uniquement le mandat de base de l'article 18. Cela signifie généralement :

• Une lettre de nomination signée (mandat) avec la personne morale du représentant dans l'UE
• Un certificat vérifiable (parfois avec QR code ou inscription dans un registre public)
• La transmission des demandes des autorités européennes au fabricant
• Optionnel : un bureau de demandes ou canal de support pour les questions réglementaires, parfois multilingue

Ce qui n'est pas inclus :

• Conseils juridiques ou représentation en justice
• Évaluation de conformité, tests de sécurité, ou génération de SBOM
• Réponse aux incidents ou remédiation technique
• Rédaction ou revue de documentation technique

Le tarif publié de REP27 est de 490 €/an pour le mandat CRA, avec un renouvellement à 440 €/an. Des options groupées sont disponibles : 690 €/an pour représentation CRA et RGPD article 27, 990 €/an pour CRA, RGPD et NIS2, et 200 € supplémentaires pour GPSR article 16. Tous les prix sont hors TVA et facturés annuellement à l'avance. Pour les clients hors UE, la TVA tchèque ne s'applique pas ; pour les clients UE avec numéro de TVA valide, l'autoliquidation s'applique.

Kadano facture 999 €/an pour le mandat par défaut ou Important, Classe I (détails sur demande). Euverify facture 590 £/an pour la représentation CRA uniquement (inclusions sur demande). Ni Kadano ni Euverify ne publient les inclusions détaillées ni conditions de renouvellement en octobre 2026.

En résumé : les frais du représentant sont généralement la plus petite part des coûts de conformité CRA. La majorité des dépenses provient de l'ingénierie interne, de la documentation et, pour les produits à risque élevé, des évaluations par organismes notifiés.

Coûts cachés et exclusions

Bien que le prix publié pour un représentant agréé CRA soit clair, les acheteurs doivent connaître plusieurs coûts cachés ou exclus pouvant impacter significativement le budget total de conformité :

• Évaluation de conformité : Pour les produits Important Classe II et Critiques, l'évaluation par un organisme notifié est obligatoire et peut coûter plusieurs milliers d'euros, avec des délais de plusieurs mois. Ceci n'est inclus dans aucun tarif de représentant.
• Ingénierie interne : Le coût de préparation de la documentation technique, des SBOM et des engagements de période de support est à la charge du fabricant. Pour les produits de classe par défaut, ces coûts sont majoritairement internes.
• Conseils juridiques et services DPO : Aucun fournisseur de ce guide ne propose de conseils juridiques, services DPO ou évaluations de conformité dans le cadre du représentant CRA. REP27 exclut explicitement ces services.
• Frais par demande : Certains fournisseurs peuvent facturer des frais supplémentaires pour la transmission ou gestion des demandes des autorités, bien que REP27 ne publie aucun frais de ce type. Toujours confirmer par écrit.
• Augmentation des prix au renouvellement : Beaucoup ne publient pas les prix de renouvellement, ce qui peut entraîner des hausses inattendues. REP27 est transparent sur ce point.
• Délais de préavis et résiliation : Vérifiez les délais de préavis et conditions d'annulation dans le contrat. Les renouvellements tacites et prix d'appel la première année sont fréquents sur le marché.

Tableau des exclusions :

En résumé, clarifiez toujours ce qui est inclus ou non, et prévoyez un budget conséquent pour l'ingénierie, la documentation et, si nécessaire, l'évaluation par un organisme notifié.

Comment se déroule la nomination : étapes

Nommer un représentant agréé CRA est un processus structuré. Voici comment cela se passe généralement, avec des conseils pratiques pour chaque étape :

1. Déterminer l'applicabilité : Confirmez que votre produit est concerné (tout produit avec éléments numériques, matériel ou logiciel, vendu dans l'UE).
2. Vérifier l'établissement : Si votre société n'est pas établie dans l'UE, vous devez nommer un représentant.
3. Rechercher les fournisseurs : Comparez les entités juridiques, prix publiés, conditions de renouvellement et périmètre de service. Demandez des contrats types et clarifiez les exclusions.
4. Signer le mandat : Concluez un accord écrit (mandat) avec le fournisseur choisi. Assurez-vous que le mandat est limité aux obligations de l'article 18.
5. Recevoir la documentation : Obtenez la lettre de désignation signée et le certificat vérifiable. REP27 fournit des signatures électroniques eIDAS et un QR code pour vérification publique.
6. Mettre à jour les dossiers techniques : Inscrivez les coordonnées du représentant dans votre documentation technique, déclarations de conformité et, le cas échéant, sur les étiquettes produit.
7. Préparer le reporting : Élaborez un guide de procédures pour le signalement des vulnérabilités (article 14), incluant qui peut déclarer un incident, qui a accès à la plateforme, et des modèles pour alertes et notifications.
8. Regrouper si nécessaire : Si vous avez besoin de représentation RGPD article 27, NIS2 ou GPSR, envisagez des forfaits groupés pour économies et simplicité administrative.

Matrice de décision :

Risques et amendes

Les risques de non-conformité au CRA sont importants, tant financièrement qu'opérationnellement. La loi prévoit des amendes et autres conséquences sévères :

• Absence de nomination : Ne pas nommer un représentant agréé quand c'est requis peut entraîner des amendes jusqu'à 10 millions € ou 2 % du chiffre d'affaires mondial (article 69(1)).
• Manquements aux exigences essentielles : Les amendes peuvent atteindre 15 millions € ou 2,5 % du chiffre d'affaires mondial (article 69(2)).
• Retard de signalement : Manquer le délai de 24 heures pour signaler une vulnérabilité exploitée (article 14) peut déclencher des actions coercitives, retraits du marché et atteintes à la réputation.
• Retards d'approvisionnement : L'absence de représentant peut bloquer les cycles de vente, car les équipes achats exigent souvent une preuve de représentation UE avant l'achat.
• Perte de contrôle : Sans représentant, l'importateur ou distributeur devient le contact par défaut, ce qui peut entraîner une perte de contrôle sur le signalement d'incidents et les interactions réglementaires.
• Oublis silencieux : Gérer plusieurs mandats avec des dates de renouvellement différentes augmente le risque d'oublis accidentels, conduisant à la non-conformité.

REP27 souligne que la valeur principale du mandat est ce qu'il évite : perte de temps lors d'incidents, retards dans les demandes de documentation, blocages d'achats et oublis de couverture. Ces risques opérationnels sont aussi importants que les pénalités financières.

Ce que les fournisseurs ne disent généralement pas

Beaucoup de fournisseurs sur le marché de la représentation CRA ne divulguent pas clairement des détails contractuels et opérationnels importants. Les acheteurs doivent être vigilants sur les points suivants :

• Prix de renouvellement : Certains proposent un prix bas la première année mais ne publient pas les tarifs de renouvellement, qui peuvent augmenter brusquement. REP27 est l'un des rares à afficher clairement ces prix.
• Délais de préavis : Les renouvellements tacites et longs délais de résiliation sont fréquents. Demandez toujours ces conditions par écrit.
• Dérive du périmètre : Certains prétendent couvrir des obligations au-delà de l'article 18, comme l'article 13, ce qui n'est pas permis par le CRA. Assurez-vous que le mandat est limité à ce que la loi autorise.
• Frais par demande : Des frais supplémentaires pour la gestion ou transmission des demandes des autorités peuvent s'appliquer, même si REP27 n'en mentionne aucun. Clarifiez toujours à l'avance.
• Limites de responsabilité : Les fournisseurs divulguent rarement leurs plafonds de responsabilité ou exclusions de dommages, ce qui peut être critique en cas de litige.
• Exclusions : Aucun fournisseur ne couvre l'évaluation de conformité, les tests de sécurité, la génération SBOM ou les conseils juridiques. Ces responsabilités restent à la charge du fabricant.

En résumé, exigez une divulgation complète et écrite des prix de renouvellement, délais de préavis, frais par demande et conditions de responsabilité avant de signer un contrat.

Matrice de décision : avez-vous besoin d'un représentant agréé CRA ?

Utilisez cette matrice pour déterminer si vous avez besoin d'un représentant agréé CRA selon votre modèle commercial et votre présence sur le marché :

Cette matrice couvre la plupart des scénarios pratiques pour fabricants et vendeurs. En cas de doute, consultez la loi ou un spécialiste pour votre produit et modèle de vente spécifiques.

Liste de contrôle : étapes pour la conformité CRA

Suivez cette liste pour assurer une conformité efficace au CRA :

1. Déterminez si votre produit est dans le périmètre CRA (matériel/logiciel avec éléments numériques).
2. Vérifiez si vous êtes établi hors UE.
3. Identifiez si vous vendez directement aux clients UE ou via marketplaces (Amazon, Etsy, eBay).
4. Recherchez et comparez les fournisseurs de représentants CRA selon entité juridique, prix et périmètre.
5. Demandez des contrats types et clarifiez toutes exclusions et conditions de renouvellement par écrit.
6. Signez le mandat article 18 avec le fournisseur choisi.
7. Recevez et vérifiez votre lettre de désignation et certificat (de préférence avec vérification publique).
8. Mettez à jour votre documentation technique et déclarations produit pour inclure le représentant.
9. Préparez votre guide de signalement des vulnérabilités (obligations article 14 dès septembre 2026).
10. Prévoyez un budget pour l'ingénierie interne, la documentation et, si applicable, l'évaluation par organisme notifié.
11. Révisez vos engagements de période de support (minimum cinq ans de mises à jour de sécurité).
12. Surveillez les dates de renouvellement et délais de préavis pour éviter les oublis tacites.

Scénarios réalistes

• Fournisseur SaaS US : Vend un produit cloud aux clients UE. Doit nommer un représentant CRA et mettre en place un canal de signalement des vulnérabilités en 24 heures. REP27 propose un prix publié, une nomination rapide et un certificat vérifiable. Le fournisseur SaaS doit aussi préparer la documentation technique et un guide de signalement, mais l'évaluation de conformité est probablement auto-déclarée sauf pour produits Important Classe II ou Critiques.
• Vendeur chinois Amazon : Expédie des dispositifs IoT de marque vers l'UE. A besoin d'un représentant CRA pour accès au marché, car Amazon et les douanes UE peuvent exiger une preuve de représentation. Le vendeur doit garantir la conformité CRA, nommer un représentant (ex. REP27, Kadano, Euverify) et mettre à jour la documentation produit. Si vente sous propre nom, l'obligation s'applique ; si l'importateur re-marque, l'importateur assume la responsabilité.
• Revendeur UK en ligne : Vend des appareils connectés B2B à des entreprises UE. A besoin d'un représentant CRA sauf si un importateur basé UE prend les obligations. Le revendeur doit clarifier avec ses partenaires qui est responsable, nommer un représentant si nécessaire, et se préparer au signalement des vulnérabilités dès septembre 2026.

Ces scénarios illustrent l'application pratique de la loi et les étapes nécessaires à la conformité, quel que soit la taille ou le secteur de l'entreprise.