Le règlement sur la cyberrésilience, règlement (UE) 2024/2847, ne s'arrête pas au fabricant. Tous les maillons entre le fabricant et l'utilisateur ont des obligations, et pour un revendeur elles sont plus qu'une formalité : l'importateur ou le distributeur qui met sur le marché de l'UE un produit non conforme est celui que l'autorité de surveillance du marché trouve en premier. Les articles 19 et 20 fixent les obligations, et l'article 21 dit quand un revendeur cesse d'en être un.

Deux définitions d'abord. Un importateur met sur le marché de l'UE un produit d'un fabricant établi hors de l'Union. Un distributeur met à disposition sur le marché un produit qu'un importateur ou un fabricant y a déjà mis : un revendeur, un détaillant, un intégrateur qui vend du logiciel en boîte. Les obligations du CRA pour chacun se ressemblent dans la forme et diffèrent en profondeur.

L'importateur : article 19

Uniquement des produits conformes. Article 19, paragraphe 1 : les importateurs ne mettent sur le marché que des produits qui respectent la partie I de l'annexe I et dont les processus du fabricant respectent la partie II.

Une liste de vérification avant la mise sur le marché. Article 19, paragraphe 2 : l'importateur s'assure que le fabricant a mené la procédure d'évaluation de la conformité appropriée (article 32), a établi la documentation technique, que le produit porte le marquage CE et est accompagné de la déclaration UE de conformité et des informations utilisateur de l'annexe II dans une langue que les utilisateurs et les autorités comprennent, et que le fabricant a respecté l'article 13, paragraphes 15, 16 et 19 : l'identification sur le produit, le contact pour les vulnérabilités, et la date de fin de la période d'assistance affichée à l'achat. L'importateur doit pouvoir produire les documents prouvant chaque point.

S'arrêter, et prévenir. Article 19, paragraphe 3 : un importateur qui considère ou a des raisons de croire que le produit ou les processus du fabricant ne sont pas conformes ne le met pas sur le marché tant qu'ils ne le sont pas ; lorsque le produit présente un risque de cybersécurité important, l'importateur en informe le fabricant et les autorités de surveillance du marché.

Le nom sur le produit. Article 19, paragraphe 4 : le nom, la raison sociale ou la marque de l'importateur et ses coordonnées figurent sur le produit, son emballage ou un document d'accompagnement.

Après la vente. Article 19, paragraphe 5 : mesures correctives, retrait ou rappel lorsqu'un produit mis sur le marché se révèle non conforme ; toute vulnérabilité dont l'importateur prend connaissance est transmise au fabricant sans retard injustifié ; un risque de cybersécurité important est signalé immédiatement aux autorités de chaque État membre où le produit a été mis à disposition.

Dix ans de conservation. Article 19, paragraphe 6 : une copie de la déclaration UE de conformité tenue à la disposition des autorités de surveillance du marché, et la documentation technique pouvant être fournie sur demande, pendant au moins dix ans après la mise sur le marché ou pendant la période d'assistance, la plus longue des deux. Article 19, paragraphe 7 : toutes les informations et documents à une autorité sur demande motivée, dans une langue qu'elle comprend.

Si le fabricant disparaît. Article 19, paragraphe 8 : un importateur qui apprend que le fabricant a cessé ses activités et ne peut plus se conformer en informe les autorités et, dans la mesure du possible, les utilisateurs.

Le distributeur : article 20

La diligence requise. Article 20, paragraphe 1.

Une liste plus courte. Article 20, paragraphe 2 : le distributeur vérifie que le produit porte le marquage CE et que le fabricant et l'importateur ont respecté leurs obligations d'identification, de contact, d'information utilisateur, de période d'assistance et de déclaration (article 13, paragraphes 15, 16, 18, 19 et 20, et article 19, paragraphe 4) et ont fourni les documents nécessaires.

S'arrêter, et prévenir. Article 20, paragraphe 3 : lorsque le distributeur considère ou a des raisons de croire, sur la base des informations en sa possession, que le produit ou les processus ne sont pas conformes à l'annexe I, il ne met pas le produit à disposition tant qu'ils ne le sont pas, et signale un risque de cybersécurité important au fabricant et aux autorités.

Après la vente. Article 20, paragraphe 4 : veille à ce que des mesures correctives, un retrait ou un rappel soient pris ; transmet les vulnérabilités au fabricant sans retard injustifié ; signale un risque de cybersécurité important aux autorités des États membres concernés. Article 20, paragraphe 5 : informations et documents à une autorité sur demande motivée. Article 20, paragraphe 6 : la même obligation que l'importateur si le fabricant cesse ses activités.

Le standard du distributeur est « sur la base des informations en sa possession » : un revendeur n'est pas tenu d'auditer le produit, mais il est tenu d'agir sur ce qu'il sait.

Quand le revendeur devient le fabricant : article 21

« Un importateur ou un distributeur est considéré comme un fabricant aux fins du présent règlement et est soumis aux articles 13 et 14 lorsqu'il met sur le marché un produit comportant des éléments numériques sous son nom ou sa marque ou lorsqu'il procède à une modification substantielle d'un produit comportant des éléments numériques déjà mis sur le marché. »

Deux voies d'entrée. Votre nom ou votre marque sur le produit : mettre en marque blanche un appareil ou rebaptiser un logiciel fait de vous le fabricant de ce produit, avec la totalité de l'article 13 (les 22 exigences, le dossier technique, la période d'assistance, le marquage CE) et la notification de l'article 14. Une modification substantielle : changer un produit déjà sur le marché d'une façon qui affecte sa conformité ou sa finalité. Un revendeur qui ajoute son propre micrologiciel, ou intègre le produit dans un ensemble qui change ce qu'il fait, a généralement franchi la ligne.

Où se situent les sanctions

Les articles 18 à 23, les obligations de la chaîne, sont dans le deuxième palier de sanctions de l'article 64, paragraphe 3 : jusqu'à 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial. Le revendeur devenu fabricant au titre de l'article 21 est dans le premier palier pour les articles 13 et 14. Les paliers, et qui les applique.

Quoi mettre en place

Un dossier d'entrée par produit : la déclaration de conformité du fabricant, l'emplacement du marquage CE, les informations utilisateur de l'annexe II dans la bonne langue, la date de fin de la période d'assistance, et la date à laquelle l'importateur a vérifié chaque point. Un circuit pour que les vulnérabilités signalées par les clients atteignent le fabricant, daté. Une décision, écrite, sur la question de savoir si ce que vous faites au produit (marque, regroupement, modification) fait de vous son fabricant au titre de l'article 21. Et un dossier conservé dix ans ou la période d'assistance. Le pack distribution rédige ces documents pour un produit ; les dates qu'ils portent sont ce qu'une autorité lit.

Sources

  • Règlement (UE) 2024/2847, article 3, points 16 et 17, pour les définitions, article 19, paragraphes 1 à 8, article 20, paragraphes 1 à 6, article 21 (cité), article 64, paragraphe 3. Lu dans le texte du Journal officiel sur EUR-Lex le 11 septembre 2026.

Ceci n'est pas un avis juridique. Les articles 19 à 21 tiennent sur deux pages ; les références de paragraphes sont là pour qu'un revendeur puisse lire sa propre liste.