Représentant Autorisé Cyber Resilience Act : Obligations, Tarifs et Choix (2026)

• Obligation pour producteurs hors UE vendant dans l’UE (art. 18 CRA)
• Tarifs publiés : de 490 € à 999 €/an (octobre 2026)
• Le représentant gère relations, documentation et notifications aux autorités
• N’inclut pas évaluation, tests ou SBOM : uniquement mandat et transmission
• Comparatif fournisseurs avec tarifs transparents : REP27, Kadano, Euverify
• Amendes jusqu’à 10 millions € ou 2 % du chiffre d’affaires mondial

Mis à jour 23 octobre 2026 · 8 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 23 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Exigences légales : obligation représentant CRA (art. 18)

Le Cyber Resilience Act (CRA) impose une nouvelle obligation à tous les producteurs de produits avec éléments numériques non établis dans l’Union européenne mais souhaitant mettre ces produits sur le marché UE. Selon l’article 18, ces producteurs doivent nommer un représentant autorisé par mandat écrit. Ce représentant agit comme unique point de contact entre le producteur hors UE et les autorités européennes de surveillance, avec des responsabilités précises :

• Conserver la déclaration UE de conformité et la documentation technique pendant au moins 10 ans après la mise sur le marché ou durant toute la période de support déclarée, si plus longue.
• Fournir informations et documentation aux autorités de surveillance sur demande, démontrant la conformité du produit.
• Collaborer avec les autorités pour éliminer les risques liés aux produits numériques couverts par le mandat.

La loi s’applique à tous les producteurs, quel que soit leur pays d’origine, si les produits sont destinés au marché UE (source). Ne sont pas soumis à l’obligation les importateurs, distributeurs et marketplaces qui n’agissent pas en tant que producteurs. L’absence de nomination du représentant peut entraîner des amendes jusqu’à 10 millions € ou 2 % du chiffre d’affaires mondial, ainsi que le blocage de la commercialisation.

La nomination n’est pas une simple formalité : les autorités peuvent à tout moment demander la documentation technique et la déclaration de conformité via le représentant. En cas d’incidents de sécurité, le représentant doit pouvoir répondre rapidement aux demandes des autorités compétentes.

Comment choisir le représentant CRA : critères, comparaison et différences

Le choix du représentant autorisé pour le CRA est stratégique, tant pour la conformité que pour la gestion efficace des demandes des autorités. Voici les principaux critères à évaluer :

• Clarté du mandat : Le mandat doit se limiter aux responsabilités prévues par l’art. 18, sans extensions non autorisées (ex. évaluation ou tests que la loi attribue à d’autres acteurs).
• Prix transparent : Vérifiez que le prix est publié et que le renouvellement est annoncé à l’avance, évitant les surprises les années suivantes.
• Certificat vérifiable : Privilégiez les fournisseurs proposant un certificat public et vérifiable (ex. QR code) pour prouver la nomination en cas de contrôles ou audits.
• Processus de transmission : Demandez comment sont gérées les demandes des autorités, en quelles langues et avec quels délais de réponse.
• Exclusions et limites : Un fournisseur sérieux liste clairement ce qui est inclus et ce qui ne l’est pas, évitant toute ambiguïté sur les évaluations, tests, SBOM ou support technique.

Tableau comparatif inclusions/frais supplémentaires :

Considérez aussi la présence de services additionnels comme le screening du catalogue produits (utile pour ceux ayant beaucoup de références) et la possibilité de couvrir plusieurs réglementations (ex. RGPD, GPSR) avec un seul fournisseur.

Ce que comprend vraiment le prix : coûts visibles et cachés

Le prix publié par les fournisseurs couvre exclusivement le mandat écrit de représentation et la gestion des demandes des autorités de surveillance. Ne sont pas inclus :

• Évaluation de conformité (tâche des organismes notifiés, pas du représentant)
• Tests de sécurité, génération SBOM ou support technique
• Rédaction ou révision de la documentation technique
• Conseil juridique ou formation (sauf offres spécifiques comme Comply.Land)

Tableau des inclusions :

Attention aux coûts cachés : certains fournisseurs ne publient pas le prix de renouvellement ou appliquent des frais pour demandes supplémentaires, changement de fournisseur ou services hors mandat. Demandez toujours une offre écrite incluant le prix de renouvellement et les conditions de résiliation.

Enfin, considérez que le coût du représentant n’est qu’une petite partie de la conformité CRA : les dépenses majeures concernent l’adaptation technique, la génération de documentation et, pour les produits de classe supérieure, la certification par des organismes notifiés.

Coûts cachés et questions à poser avant de signer

Avant de signer un mandat avec un fournisseur, il est crucial de clarifier certains points pour éviter les surprises :

• Prix de renouvellement : Demandez qu’il soit clairement indiqué dans le contrat ou l’offre écrite, pas seulement sur le site.
• Frais pour demandes supplémentaires : Vérifiez s’il existe des coûts additionnels pour la gestion de demandes hors horaires, urgences ou changement de fournisseur.
• Portée du mandat : Le mandat doit couvrir uniquement l’art. 18 ; les offres incluant évaluations, tests ou autres services sont en conflit avec la réglementation.
• Certificat vérifiable : Un certificat public (ex. QR code) est utile pour prouver la nomination en cas d’audit ou demande des autorités.
• Délais de réponse : Demandez quels sont les délais de transmission des demandes et si le service est actif pendant les jours fériés et hors horaires.

Tableau décisionnel :

Demandez toujours une liste écrite de ce qui est inclus, exclu et des éventuels frais supplémentaires. Un fournisseur transparent vous fournira ces informations sans hésitation.

Comment fonctionne la nomination : étapes et checklist pratique

La nomination du représentant CRA suit une procédure claire, que vous pouvez lancer bien avant l’entrée en vigueur des sanctions (décembre 2027) :

1. Vérifiez votre situation : Êtes-vous un producteur hors UE vendant des produits numériques en Europe ? Si oui, continuez.
2. Identifiez les produits concernés : Recensez tous les produits numériques destinés au marché UE et vérifiez qu’ils entrent dans le périmètre du CRA.
3. Préparez la documentation : Préparez la déclaration UE de conformité et la documentation technique requise par la réglementation.
4. Choisissez le fournisseur : Sélectionnez parmi les fournisseurs avec prix publiés et mandat transparent (voir tableau ci-dessus).
5. Demandez le mandat : Remplissez le formulaire en ligne ou envoyez une demande écrite. Recevez le mandat signé (souvent avec signature électronique eIDAS).
6. Enregistrez le représentant : Inscrivez les données du représentant dans vos politiques internes, runbook et documentation technique.
7. Gestion opérationnelle : En cas de demande des autorités, le représentant reçoit et transmet la communication dans les délais prévus (ex. 2 jours ouvrés pour REP27).

Checklist pour aujourd’hui :

1. Vérifiez votre statut juridique et les marchés desservis
2. Rassemblez et mettez à jour la documentation technique
3. Demandez des devis à plusieurs fournisseurs
4. Comparez inclusions, exclusions et tarifs de renouvellement
5. Signez le mandat et mettez à jour vos procédures internes

Risques, amendes et conséquences sans représentant

L’absence de nomination du représentant autorisé comporte des risques importants :

• Amendes : Jusqu’à 10 millions € ou 2 % du chiffre d’affaires mondial, selon le montant le plus élevé (source).
• Blocage de la commercialisation : Les produits peuvent être retirés du marché UE ou bloqués en douane.
• Retards et inefficacités : Sans point de contact clair, les demandes des autorités peuvent être adressées aux distributeurs, clients ou importateurs, causant retards et dommages réputationnels.
• Complications en cas d’incidents : En cas de vulnérabilités ou incidents de sécurité, l’absence de représentant peut ralentir la réponse et aggraver les conséquences juridiques et commerciales.

Scénario décisionnel :

La nomination rapide du représentant réduit le risque de sanctions et assure une gestion rapide des demandes des autorités, cruciale en cas d’incidents de sécurité avec délais serrés (ex. 24 heures pour notification de vulnérabilités exploitées).

Ce que les fournisseurs ne disent pas toujours : limites, exclusions, risques

Beaucoup de fournisseurs ne mettent pas en avant certains aspects clés du service de représentation CRA :

• Évaluations et tests exclus : Aucun représentant ne peut réaliser d’évaluations de conformité, tests de sécurité ou générer des SBOM : ces tâches sont distinctes, souvent bien plus coûteuses, et incombent aux organismes notifiés ou au producteur.
• Mandat limité par la loi : Le mandat doit couvrir uniquement l’art. 18 ; toute extension (ex. gestion des obligations art. 13) est interdite par la réglementation.
• Prix de renouvellement pas toujours transparent : Certains fournisseurs ne publient pas le prix de renouvellement ou appliquent des frais pour changement de fournisseur ou demandes supplémentaires.
• Responsabilité limitée : Le représentant est responsable uniquement de la transmission et de la conservation des documents, pas de la conformité technique ou de la sécurité du produit.
• Délais de réponse et langues : Tous les fournisseurs ne précisent pas les délais de réponse ni les langues supportées : un détail crucial pour gérer efficacement les demandes des autorités.

Demandez toujours une liste écrite des exclusions et conditions de service, pour éviter malentendus et risques de non-conformité.

Scénarios pratiques : trois exemples réels et solution la plus simple

• SaaS USA : Une société américaine propose un logiciel cloud à des clients UE. Elle doit nommer un représentant CRA, préparer la documentation technique et la déclaration de conformité. Elle peut choisir un fournisseur avec mandat transparent et prix fixe (ex. REP27 ou Euverify). Pas d’évaluation nécessaire si produit de classe basique et normes harmonisées appliquées.
• Vendeur Amazon Chine : Un producteur chinois vend des dispositifs IoT sur Amazon à des clients UE. Il doit nommer un représentant CRA, même si le marketplace gère la logistique. Le représentant doit être indiqué dans la documentation technique et les politiques produit. Le marketplace ne couvre pas cette obligation.
• Boutique en ligne UK : Un magasin en ligne britannique vend du matériel intelligent en UE. Après le Brexit, il est considéré hors UE et doit nommer un représentant CRA, préparer la documentation et choisir un fournisseur avec mandat vérifiable. S’il vend aussi via marketplace, il reste responsable en tant que producteur.

Dans tous ces cas, la solution la plus simple est de choisir un fournisseur avec prix publié, mandat écrit et processus de nomination rapide (ex. REP27 : désignation en 24 heures, certificat QR, prix fixe).