Les quatre rôles du CRA, et le piège de la marque propre
Les quatre rôles du CRA et leurs obligations. Le cas le plus coûteux : revendre sous sa marque fait de vous un fabricant.
Sur cette page
- Le rôle se constate, il ne se déclare pas
- Le fabricant porte l'essentiel du régime
- L'importateur contrôle ce qu'il fait entrer
- Le distributeur exerce une diligence
- L'intendant de logiciels ouverts relève d'un régime à part
- Article 21 : deux situations font de vous un fabricant
- Ce que cela change, concrètement
Le Cyber Resilience Act (CRA) ne répartit pas ses obligations par taille d'entreprise ni par secteur, mais par rôle tenu face au produit. Quatre rôles existent : fabricant, importateur, distributeur, intendant de logiciels ouverts, ce que l'on appelle couramment le logiciel libre ou l'open source. Ce rôle ne se choisit pas et ne se déclare pas, il se constate, et deux situations très ordinaires transforment un revendeur en fabricant au sens du règlement.
Le rôle se constate, il ne se déclare pas
La première question du règlement n'est pas ce que vous vendez, mais ce que vous faites du produit. Cette place dans la chaîne détermine la liste de vos obligations, et elle seule.
Trois rôles suivent le circuit commercial habituel : celui qui conçoit, celui qui fait entrer le produit dans l'Union, celui qui le revend. Le quatrième est propre aux logiciels ouverts et son régime est nettement plus léger. Une même société peut tenir deux rôles à la fois, pour deux produits différents.
Le fabricant porte l'essentiel du régime
Le fabricant est celui dont le nom figure sur le produit et sous lequel le produit est mis sur le marché. C'est lui qui porte les exigences essentielles et la responsabilité de ce qui est déclaré.
Sa charge tient en un petit nombre de pièces, toutes documentaires. Une évaluation des risques de cybersécurité, écrite, et mise à jour pendant toute la période d'assistance (art. 13, paragraphes 2 et 3). Les exigences essentielles de l'annexe I, soit treize propriétés attendues du produit et huit obligations de gestion des vulnérabilités. Lorsqu'une de ces exigences n'est pas applicable, le fabricant en fait figurer une justification claire dans la documentation technique (art. 13, paragraphe 4) : le règlement n'impose pas les treize propriétés à tout le monde, il impose de justifier celles qu'on écarte.
Viennent ensuite les obligations de durée : une période d'assistance d'au moins cinq ans, sauf durée d'utilisation prévue plus courte (art. 13, paragraphe 8), sa date de fin affichée à l'achat (art. 13, paragraphe 19), des mises à jour disponibles dix ans (art. 13, paragraphe 9), une documentation technique conservée dix ans (art. 31). Enfin une déclaration UE de conformité, que le fabricant établit lui-même et dont il porte la responsabilité (art. 28), et le marquage CE.
Ces obligations deviennent applicables le 11 décembre 2027 (art. 71). Une seule ne l'attend pas : le signalement de l'article 14, applicable depuis le 11 septembre 2026. L'article 71, paragraphe 2 avance une seconde partie du texte, mais elle ne s'adresse pas au fabricant : le chapitre IV, articles 35 à 51, applicable depuis le 11 juin 2026, porte la notification des organismes d'évaluation de la conformité et concerne les organismes et les autorités.
L'importateur contrôle ce qu'il fait entrer
L'importateur ne conçoit pas le produit, il le fait entrer sur le marché de l'Union. L'article 3, point 16 le définit par deux éléments qui vont ensemble : être établi dans l'Union, et mettre sur le marché un produit qui porte le nom ou la marque d'une personne établie hors de l'Union. Ce n'est donc pas la provenance du fournisseur qui décide, c'est le nom que porte le produit. Son rôle est un rôle de contrôle : vérifier que ce fabricant établi hors de l'Union a fait ce que le règlement lui demande, avant que le produit n'arrive chez un client européen.
La position est inconfortable, parce que l'importateur dépend d'un fournisseur qui, très souvent, n'a jamais entendu parler du CRA. Le travail utile commence donc dans le contrat et dans les documents exigés à la commande, pas à la réception.
Le texte pose d'abord une règle de fond : l'importateur ne met sur le marché que des produits conformes aux exigences essentielles de l'annexe I, partie I, et dont les processus du fabricant sont conformes à celles de l'annexe I, partie II (art. 19, paragraphe 1). Il doit ensuite s'assurer, avant la mise sur le marché, de quatre choses (art. 19, paragraphe 2) : que la procédure d'évaluation de la conformité de l'article 32 a été menée à bien par le fabricant ; que celui-ci a établi la documentation technique ; que le produit porte le marquage CE de l'article 30 et est accompagné de la déclaration UE de conformité et des informations et instructions destinées à l'utilisateur figurant à l'annexe II, dans une langue aisément compréhensible ; et que le fabricant a respecté l'article 13, paragraphes 15, 16 et 19. Il doit être en mesure de produire les documents qui le prouvent.
Le reste de l'article tient en quatre réflexes. En cas de doute sur la conformité, le produit ne part pas, et si le risque de cybersécurité est important, le fabricant et les autorités de surveillance du marché en sont informés (art. 19, paragraphe 3). L'importateur indique ses propres coordonnées sur le produit, son emballage ou un document d'accompagnement (art. 19, paragraphe 4). Lorsqu'il prend connaissance d'une vulnérabilité, il en informe le fabricant sans retard injustifié, et immédiatement les autorités en cas de risque de cybersécurité important (art. 19, paragraphe 5). Enfin il tient à disposition une copie de la déclaration UE de conformité pendant au moins dix ans à compter de la mise sur le marché, ou pendant la période d'assistance si elle est plus longue, et s'assure que la documentation technique peut être fournie sur demande (art. 19, paragraphe 6).
Le distributeur exerce une diligence
Le distributeur revend un produit déjà mis sur le marché par un autre. L'article 3, point 17 ajoute une condition qu'il ne faut pas lire trop vite : il met le produit à disposition « sans altérer ses propriétés ». C'est la charnière avec l'article 21, car altérer les propriétés d'un produit, c'est y apporter une modification, et une modification substantielle fait basculer le distributeur dans le statut de fabricant. Son régime est le plus léger des trois rôles commerciaux, parce qu'il n'a ni conçu ni importé le produit.
Il lui est demandé d'agir avec la diligence requise, de ne pas revendre ce qu'il sait ou devrait savoir non conforme, et de faire remonter l'information quand il découvre une vulnérabilité. Il n'a pas à refaire l'évaluation du fabricant, mais il ne peut pas ignorer ce qu'il a sous les yeux.
Le texte est court. Le distributeur agit avec la diligence requise au regard des exigences du règlement (art. 20, paragraphe 1). Avant de mettre le produit à disposition, il vérifie deux points, et deux seulement : que le produit porte le marquage CE, et que le fabricant et l'importateur se sont conformés à l'article 13, paragraphes 15, 16, 18, 19 et 20, ainsi qu'à l'article 19, paragraphe 4, et lui ont communiqué tous les documents nécessaires (art. 20, paragraphe 2).
S'il considère ou a des raisons de croire, sur la base des informations en sa possession, que le produit ou les processus du fabricant ne sont pas conformes aux exigences essentielles de l'annexe I, il ne le met pas à disposition, et il informe le fabricant et les autorités de surveillance du marché sans retard injustifié lorsque le risque de cybersécurité est important (art. 20, paragraphe 3). Pour ce qui est déjà en rayon, il fait prendre les mesures correctives nécessaires, au besoin le retrait ou le rappel, informe le fabricant sans retard injustifié de toute vulnérabilité dont il prend connaissance, et les autorités immédiatement en cas de risque important (art. 20, paragraphe 4).
L'intendant de logiciels ouverts relève d'un régime à part
L'intendant de logiciels ouverts est une personne morale, autre que le fabricant, qui apporte un soutien systématique et continu au développement d'un produit répondant aux critères de logiciel libre et ouvert et destiné à des activités commerciales. Il ne vend pas le logiciel, il le fait vivre.
Son régime est volontairement allégé, et il faut y distinguer deux choses que l'on confond souvent. Ce que le règlement lui impose est énuméré à l'article 24, et cette énumération est limitative : une politique de cybersécurité documentée, la coopération avec les autorités de surveillance du marché, et le signalement dans les cas que l'article délimite lui-même.
Ce qu'il ne lui impose pas, en revanche, n'est écrit nulle part sous forme d'exemption : cela se déduit de la structure du texte. Les exigences essentielles de l'annexe I, la documentation technique, la déclaration UE de conformité et le marquage CE sont attachés au fabricant, par l'article 13 puis par les articles 28 à 32. Le règlement ne les étend pas à l'intendant de logiciels ouverts, qui n'y est donc pas soumis. C'est une conséquence de la façon dont le règlement répartit ses obligations par rôle, et non une phrase que l'on pourrait citer. Une seule dispense est, elle, expressément écrite : celle des amendes.
La définition compte, parce qu'elle est étroite. L'article 3, point 14 retient « une personne morale, autre que le fabricant, qui a pour objectif ou finalité de fournir un soutien systématique et continu au développement de produits spécifiques comportant des éléments numériques qui répondent aux critères de logiciels libres et ouverts et sont destinés à des activités commerciales, et qui assure la viabilité de ces produits ».
Quatre conditions doivent donc être réunies, et elles se vérifient une par une : être une personne morale, ne pas être le fabricant du produit, soutenir de façon systématique et continue le développement de produits identifiés, et viser des produits destinés à des activités commerciales. Une contribution ponctuelle, ou le soutien d'une personne physique agissant seule, ne fait pas entrer dans cette catégorie.
Le régime lui-même tient en trois obligations. Une politique de cybersécurité mise en place et documentée de manière vérifiable, qui traite notamment de la documentation, du traitement et de la correction des vulnérabilités et encourage le signalement volontaire de l'article 15 (art. 24, paragraphe 1). La coopération avec les autorités de surveillance du marché, et la communication de cette politique sur demande motivée (art. 24, paragraphe 2). Et le signalement, qui ne s'applique que dans des cas délimités : l'article 14, paragraphe 1 dès lors que l'intendant participe au développement des produits, et l'article 14, paragraphes 3 et 8 lorsque l'incident grave touche les réseaux et systèmes d'information qu'il fournit pour ce développement (art. 24, paragraphe 3). Quant à l'absence d'amende, elle est écrite : les amendes administratives ne s'appliquent pas aux violations du règlement commises par les intendants de logiciels ouverts (art. 64, paragraphe 10, point b)).
Article 21 : deux situations font de vous un fabricant
C'est la disposition la plus courte du règlement, et la plus coûteuse à découvrir tard. Un importateur ou un distributeur est considéré comme un fabricant, et soumis aux obligations des articles 13 et 14, dans deux cas seulement.
Premier cas : il met le produit sur le marché sous son propre nom ou sa propre marque. Second cas : il apporte une modification substantielle à un produit déjà mis sur le marché. Il n'y a pas de troisième cas, et pas de degré intermédiaire : on est fabricant ou on ne l'est pas.
La modification substantielle a une définition précise : une modification apportée après la mise sur le marché qui a une incidence sur la conformité aux exigences essentielles de l'annexe I, partie I, ou qui change l'usage prévu pour lequel le produit a été évalué (art. 3, point 30). Changer un logo n'est pas une modification substantielle. Remplacer le firmware, ouvrir une interface réseau qui n'existait pas, ou détourner un capteur industriel vers un usage grand public, oui.
Ce critère se documente avant de modifier, pas après. L'intégrateur qui tient la trace de ce qu'il change, version par version, sait de quel côté de la ligne il se trouve.
Un point reste ouvert, et nous préférons l'écrire que le lisser. L'article 71, paragraphe 2 ne rend applicable par anticipation que l'article 14, depuis le 11 septembre 2026, et le chapitre IV, depuis le 11 juin 2026. L'article 21, qui porte la requalification, relève du reste du règlement et n'est donc applicable que le 11 décembre 2027. L'article 69, paragraphe 3, de son côté, étend les obligations de l'article 14 à tous les produits mis sur le marché avant cette date. À quelle date exacte un revendeur sous marque propre devient-il tenu de signaler au titre de l'article 14, le texte ne le dit pas : l'articulation des deux dispositions n'est écrite nulle part, et aucune source primaire ne la tranche à ce jour.
En pratique, la question se règle d'elle-même. Le délai en cause est de vingt-quatre heures, et une procédure de signalement ne s'improvise pas le jour où elle sert. Un revendeur sous marque propre a intérêt à se préparer maintenant, sans attendre que le point soit tranché.
Ce que cela change, concrètement
Si vous vendez sous votre marque, votre plan de travail n'est pas celui d'un revendeur, c'est celui d'un fabricant. La seule obligation qui ne peut pas attendre est le signalement, et elle tient en trois choses à mettre en place avant d'en avoir besoin : un point de contact, une procédure écrite, et un accès à la plateforme européenne.
Le reste se prépare dans l'ordre : savoir de quels produits vous êtes fabricant, écrire l'évaluation des risques, puis constituer le dossier technique produit par produit. Le règlement raisonne par produit, pas par entreprise : cet inventaire est le premier travail réel.
Le diagnostic répond à la question du rôle : treize questions au maximum, deux minutes, sans création de compte.
Questions fréquentes
Je fais fabriquer mon produit par un tiers et je le vends sous ma marque. Suis-je fabricant ?
Oui. L'article 21 prévoit qu'un opérateur qui met un produit sur le marché sous son propre nom ou sa propre marque est considéré comme un fabricant et soumis aux articles 13 et 14. Le fait que vous n'ayez écrit aucune ligne de code ne change rien à la qualification.
Qu'est-ce qu'une modification substantielle ?
C'est une modification apportée à un produit après sa mise sur le marché, qui a une incidence sur sa conformité aux exigences essentielles de l'annexe I, partie I, ou qui change l'usage prévu pour lequel il a été évalué (art. 3, point 30). Une personnalisation cosmétique n'y entre pas. Une intervention sur le firmware, sur les interfaces ou sur la destination du produit peut y entrer.
Un distributeur peut-il devenir fabricant sans le savoir ?
Oui, et c'est le risque de l'article 21. Deux gestes courants suffisent : apposer sa propre marque, ou modifier substantiellement le produit avant de le remettre sur le marché. La requalification découle des faits, aucune déclaration préalable n'est nécessaire.
L'intendant de logiciels ouverts risque-t-il une amende ?
Non, et c'est écrit dans le texte : par dérogation, les amendes administratives ne s'appliquent pas aux violations du règlement commises par les intendants de logiciels ouverts (art. 64, paragraphe 10, point b)). La dispense porte sur l'amende administrative et sur elle seule. Les obligations de l'article 24 demeurent : politique de cybersécurité, coopération avec les autorités, signalement. Elles deviennent applicables le 11 décembre 2027, l'article 24 ne figurant pas parmi les dispositions que l'article 71, paragraphe 2 avance.
À partir de quand ces obligations s'appliquent-elles ?
Le règlement devient applicable dans son ensemble le 11 décembre 2027 (art. 71). Deux exceptions, et une seule vous vise. Les obligations de signalement de l'article 14 sont applicables depuis le 11 septembre 2026, et elles couvrent aussi les produits mis sur le marché avant le 11 décembre 2027, lecture confirmée par le rectificatif du 2 juillet 2025 à l'article 69, paragraphe 3. Le chapitre IV, articles 35 à 51, est applicable depuis le 11 juin 2026 : il porte la notification des organismes d'évaluation de la conformité et s'adresse aux organismes et aux autorités, pas aux fabricants. C'est ce qui permet à des organismes notifiés d'exister avant 2027.
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.