Règlement (UE) 2024/2847 · Chapitre II
Article 19 : l'importateur vérifie le travail du fabricant avant de vendre
Avant de vendre un produit importé, l'importateur vérifie le travail du fabricant. Ce que l'article 19 du CRA exige à partir du 11 décembre 2027.
Ce que dit l’article
À partir du 11 décembre 2027, l'importateur ne met sur le marché que des produits conformes, et il le vérifie avant la vente.
Cet article du Cyber Resilience Act (CRA) le charge de contrôler, dans l'Union, le travail d'un fabricant établi ailleurs. Au 20 octobre 2026, il ne s'applique pas encore.
Vous achetez des thermostats connectés à un fabricant canadien, et vous les vendez en France sous sa marque. Avant la première livraison, vous vérifiez ce que ce fabricant a fait.
Avant la vente, vous vérifiez quatre points. Le contrôle porte sur le produit, mais aussi sur la façon dont le fabricant traite ses failles.
L'évaluation de la conformité
Le fabricant l'a menée à bien, selon la procédure qui convient à la classe de son produit.
La documentation technique
Le fabricant l'a établie : elle prouve, pièces à l'appui, que le produit répond aux exigences.
Le marquage CE et ses pièces
Le produit porte le marquage CE. La déclaration UE de conformité l'accompagne, avec une notice dans une langue que vos clients et les autorités comprennent aisément.
Trois mentions du fabricant
Le numéro du produit, les coordonnées du fabricant, et la fin de sa période d'assistance, celle où il traite les failles.
Vous devez pouvoir fournir les documents qui prouvent vos vérifications. Vérifier ne veut pas dire refaire les essais du fabricant.
Un doute sur la conformité suffit à bloquer la vente. Le produit, ou les processus du fabricant, vous semblent non conformes ? Le produit ne part pas tant qu'il n'a pas été mis en conformité.
Si le risque de cybersécurité est important, vous prévenez aussi le fabricant et les autorités de surveillance du marché. Un risque est important quand il est très susceptible, par ses caractéristiques techniques, de causer un incident grave.
Le risque important peut aussi tenir à des facteurs non techniques : vous prévenez alors les autorités. Pour apprécier un tel risque, les autorités peuvent tenir compte, par exemple, des liens du fabricant avec le gouvernement d'un pays tiers.
Votre nom figure sur le produit. Votre nom ou votre marque, et vos adresses postale et électronique, vont sur le produit, son emballage ou un document joint.
Après la vente, vous corrigez ce qui doit l'être, et vous prévenez le fabricant de toute faille. Un produit livré se révèle non conforme ? Vous prenez sans attendre les mesures correctives : mise en conformité, retrait ou rappel du produit.
Vous apprenez l'existence d'une faille ? Vous en informez le fabricant sans retard injustifié. Si le risque est important, les autorités le sont immédiatement. Le signalement à la plateforme européenne reste l'affaire du fabricant : voyez l'article 14 commenté.
Le texte en détail : article 19, paragraphes 1 à 5, article 3, point 38, et considérant 58
Le paragraphe 1 vise l'annexe I : sa partie I pour le produit, sa partie II pour les processus du fabricant.
Le paragraphe 2 renvoie aux articles 30 et 32 et à l'annexe II. La déclaration est celle de l'article 13, paragraphe 20, les trois mentions ses paragraphes 15, 16 et 19.
La période d'assistance est définie à l'article 3, point 20. L'importateur doit pouvoir fournir « les documents nécessaires prouvant le respect des exigences énoncées dans le présent article ».
Le risque important est défini à l'article 3, point 38. Pour un risque non technique, les autorités appliquent l'article 54, paragraphe 2. Le considérant 58 en donne des exemples.
Le paragraphe 5 vise les autorités des États où le produit a été mis à disposition.
L'article 3, points 49 et 50, renvoie au règlement (UE) 2019/1020 pour le rappel et le retrait (article 3, points 22 et 23).
Le rappel est « toute mesure visant à obtenir le retour d'un produit qui a déjà été mis à la disposition de l'utilisateur final ».
Le retrait est « toute mesure visant à empêcher la mise à disposition sur le marché d'un produit présent dans la chaîne d'approvisionnement ».
La déclaration UE de conformité
Vous en gardez une copie pour les autorités, dix ans au moins, ou toute la période d'assistance si elle est plus longue.
La documentation technique
Vous vous assurez qu'elle peut être fournie aux autorités sur demande. Le texte ne vous oblige pas à la détenir.
Les demandes des autorités
Sur demande motivée, vous remettez les informations et les documents qui démontrent la conformité, et vous coopérez.
La disparition du fabricant
Vous apprenez qu'il a cessé ses activités et ne peut plus respecter le règlement ? Vous prévenez les autorités concernées, et si possible les utilisateurs.
Le texte en détail : article 19, paragraphes 6 à 8, et article 23
Le paragraphe 6 retient la plus longue des deux durées : dix ans après la mise sur le marché, ou la période d'assistance.
Le paragraphe 7 vise la requête motivée d'une autorité. Le paragraphe 8 fait informer les utilisateurs « par tout moyen disponible et dans la mesure du possible ».
L'article 23 s'ajoute : pendant dix ans, l'importateur nomme ses fournisseurs, et les opérateurs qu'il a fournis s'il les connaît.
À qui il s’applique
Cet article vise l'importateur.
Établi dans l'Union, il y met sur le marché un produit à la marque d'une entreprise établie hors de l'Union. Mettre sur le marché, c'est fournir le produit pour la première fois dans l'Union. Le produit peut être un objet connecté ou un logiciel.
Vous achetez hors de l'Union et vendez sous la marque du fabricant
Vous êtes importateur : cet article vous vise.
Vous achetez à un grossiste de l'Union qui l'a déjà importé
Le produit est déjà sur le marché : vous êtes distributeur, au sens de l'article 20.
Vous faites fabriquer hors de l'Union, sous votre marque
Vous êtes fabricant. Le signalement des failles exploitées vous vise depuis le 11 septembre 2026.
Vous apposez votre marque sur un produit existant, ou le modifiez en profondeur
Vous serez considéré comme fabricant à partir du 11 décembre 2027 : voyez l'article 21.
La différence entre les deux derniers cas se joue sur les faits. Dans le doute, préparez dès maintenant le signalement en 24 heures.
L'importateur ne signale pas les failles exploitées, mais son pays peut compter. Prenez un fabricant sans établissement principal dans l'Union, ni mandataire qui y agisse pour lui par mandat écrit.
Il signale au centre de réponse aux incidents de sécurité informatique (CSIRT) du pays de son principal importateur. Pour la France, la liste de l'Agence de l'Union européenne pour la cybersécurité (ENISA) renvoie au CERT-FR.
Le texte en détail : article 3, points 13, 15 et 16, et articles 14 et 21
L'importateur est défini à l'article 3, point 16, le mandataire au point 15.
Le fabricant « fait concevoir, développer ou fabriquer » le produit, et le commercialise sous son nom ou sa marque (article 3, point 13). L'article 21, applicable le 11 décembre 2027, porte la requalification.
L'article 14, paragraphe 7, retient l'État du mandataire, puis de l'importateur, puis du distributeur qui traite le plus de produits du fabricant.
La liste de l'ENISA, mise à jour le 10 septembre 2026, renvoie au CERT-FR pour la France.
Depuis quand
Cet article s'applique le 11 décembre 2027.
Le règlement est en vigueur depuis le 10 décembre 2024, mais seuls deux de ses volets s'appliquent déjà. Les obligations de l'importateur n'en font pas partie.
Un produit mis sur le marché avant le 11 décembre 2027 ne relève du règlement qu'en cas de modification substantielle après cette date. Seul le signalement de l'article 14 vise tous les produits, et il pèse sur le fabricant.
La mise sur le marché s'apprécie exemplaire par exemplaire (FAQ de la Commission ; par analogie, Guide bleu 2022). Le stock encore dans votre entrepôt, fourni à personne, n'est pas mis sur le marché.
Le signalement, lui, n'attend pas 2027 si vous êtes en réalité fabricant. Faire fabriquer sous votre marque vous y soumet depuis le 11 septembre 2026, même pour vos produits déjà vendus.
À partir du 11 décembre 2027, un manquement à cet article expose à une amende administrative. Son plafond est de 10 millions d'euros, ou 2 % du chiffre d'affaires annuel mondial si ce montant est plus élevé.
Les amendes du règlement ne s'appliquent qu'à partir du 11 décembre 2027. La sanction d'un manquement au signalement commis avant cette date n'est pas tranchée à ce jour. L'obligation de signaler, elle, court depuis le 11 septembre 2026.
En France, la loi qui ferait de l'Agence nationale des fréquences (ANFR) l'autorité de surveillance du marché n'est pas adoptée à ce jour. Le détail est sur la page de l'état du droit.
Le texte en détail : articles 64, 69 et 71, et Guide bleu
Seuls l'article 14 et le chapitre IV sont avancés par l'article 71, paragraphe 2. Les produits mis sur le marché avant le 11 décembre 2027 échappent aux exigences (article 69, paragraphe 2).
Son paragraphe 3, rectifié le 2 juillet 2025, maintient le signalement pour ces produits.
Le Guide bleu (2022, section 2.3) exclut le produit encore stocké chez l'importateur, non fourni. La mise sur le marché exige une offre ou un accord de transfert, pas la remise physique.
Les amendes relèvent de l'article 64, paragraphe 3, qui vise les articles 18 à 23.
Ce que vous devez faire
Faites entrer ces vérifications dans vos contrats d'achat avant le 11 décembre 2027.
- Votre rôle, produit par produit La marque du produit et votre place dans la chaîne en décident.
- Vos contrats d'achat Exigez la déclaration UE de conformité, la notice, la date de fin d'assistance et l'accès à la documentation technique.
- Votre dossier de preuves Pour chaque modèle, la trace de vos vérifications avant la première livraison.
- Votre alerte Qui prévenir chez le fabricant, et comment joindre les autorités, le jour où une faille apparaît.
- Vos dates de livraison Pour chaque lot, la preuve de la première fourniture : elle dit si l'exemplaire échappe aux exigences.
Vous découvrez que vous êtes en réalité fabricant ? Le dossier établit le rapport d'écarts de votre produit, sa documentation technique et le projet de déclaration UE de conformité.
Votre produit entre-t-il dans le CRA ? Faites le diagnostic, sans frais et sans compte.
Le texte officiel
Texte officiel de l’article 19
Article 19
Obligations incombant aux importateurs
1. Un importateur ne met sur le marché que des produits comportant des éléments numériques conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et lorsque les processus mis en place par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
2. Avant de mettre sur le marché un produit comportant des éléments numériques, l’importateur veille à ce que:
a) les procédures appropriées d’évaluation de la conformité visées à l’article 32 aient été menées à bien par le fabricant;
b) le fabricant ait établi la documentation technique;
c) le produit comportant des éléments numériques porte le marquage CE visé à l’article 30 et soit accompagné de la déclaration UE de conformité visée à l’article 13, paragraphe 20, ainsi que des informations et instructions destinées à l’utilisateur figurant à l’annexe II, rédigées dans une langue aisément compréhensible par les utilisateurs et les autorités de surveillance du marché;
d) le fabricant ait respecté les exigences prévues à l’article 13, paragraphes 15, 16 et 19.
Aux fins du présent paragraphe, les importateurs doivent être en mesure de fournir les documents nécessaires prouvant le respect des exigences énoncées dans le présent article.
3. Lorsqu’un importateur considère ou a des raisons de croire qu’un produit comportant des éléments numériques ou les processus mis en place par le fabricant ne sont pas conformes au présent règlement, il ne met pas le produit sur le marché tant que ce produit ou les processus mis en place par le fabricant n’ont pas été mis en conformité avec le présent règlement. En outre, lorsque le produit comportant des éléments numériques présente un risque de cybersécurité important, l’importateur en informe le fabricant et les autorités de surveillance du marché.
Lorsqu’un importateur a des raisons de croire qu’un produit comportant des éléments numériques peut présenter un risque de cybersécurité important à la lumière de facteurs de risque non techniques, il en informe les autorités de surveillance du marché. Dès réception de cette information, les autorités de surveillance du marché appliquent les procédures visées à l’article 54, paragraphe 2.
4. L’importateur indique son nom, sa raison sociale ou sa marque déposée et les adresses postale, électronique ou autre moyen numérique, ainsi que, le cas échéant, l’adresse du site internet auxquelles il peut être contacté sur le produit comportant des éléments numériques, sur l’emballage ou dans un document accompagnant le produit comportant des éléments numériques. Les coordonnées sont indiquées dans une langue aisément compréhensible par les utilisateurs et les autorités de surveillance du marché.
5. Tout importateur qui considère ou a des raisons de croire qu’un produit comportant des éléments numériques, qu’il a mis sur le marché n’est pas conforme au présent règlement prend immédiatement les mesures correctives nécessaires pour veiller à ce que ce produit comportant des éléments numériques soit mis en conformité avec le présent règlement, ou pour procéder au retrait ou au rappel du produit, si nécessaire.
Lorsqu’il prend connaissance d’une vulnérabilité du produit comportant des éléments numériques, l’importateur en informe le fabricant sans retard injustifié. En outre, si le produit comportant des éléments numériques présente un risque de cybersécurité important, l’importateur en informe immédiatement les autorités de surveillance du marché des États membres dans lesquels il a mis ce produit à disposition sur le marché, en fournissant des précisions, notamment, sur la non-conformité et toute mesure corrective adoptée.
6. Pendant au moins dix ans à partir de la mise sur le marché du produit comportant des éléments numériques ou pendant la période d’assistance, la période la plus longue étant retenue, l’importateur tient à la disposition des autorités de surveillance du marché une copie de la déclaration UE de conformité et s’assure que la documentation technique peut être fournie à ces autorités, sur demande.
7. Sur requête motivée d’une autorité de surveillance du marché, l’importateur communique à cette dernière toutes les informations et tous les documents nécessaires, sur support papier ou par voie électronique, pour démontrer la conformité du produit comportant des éléments numériques aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, ainsi que la conformité des processus mis en place par le fabricant aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II, dans une langue aisément compréhensible par cette autorité. Il coopère avec cette autorité, à la demande de cette dernière, concernant toute mesure prise en vue d’éliminer les risques de cybersécurité présentés par le produit comportant des éléments numériques qu’il a mis sur le marché.
8. Lorsque l’importateur d’un produit comportant des éléments numériques a connaissance du fait que le fabricant de ce produit a cessé ses activités et, de ce fait, n’est pas en mesure de se conformer aux obligations prévues par le présent règlement, l’importateur informe les autorités de surveillance du marché concernées de cette situation, ainsi que, par tout moyen disponible et dans la mesure du possible, les utilisateurs des produits concernés comportant des éléments numériques mis sur le marché.
Source : règlement (UE) 2024/2847 du 23 octobre 2024, Journal officiel de l’Union européenne, série L, 20 novembre 2024, version française publiée sur EUR-Lex. Seule la publication au Journal officiel fait foi. Le texte sur EUR-Lex.
Questions fréquentes
Importateur ou mandataire : quelle différence ?
Le mandataire agit au nom du fabricant, par mandat écrit (art. 3, point 15, et art. 18). L'importateur met lui-même le produit sur le marché, sans mandat. Il doit pourtant pouvoir joindre le fabricant (Guide bleu, section 3.3).
L'importateur doit-il refaire les essais du fabricant ?
Non. Il vérifie que le fabricant a mené l'évaluation de la conformité (art. 19, paragraphe 2). Le Guide bleu n'impose pas d'essais systématiques, sans les interdire (section 3.3).
Un produit en entrepôt douanier est-il déjà mis sur le marché ?
Non. Un produit en transit, en zone franche ou en entrepôt douanier n'est pas mis sur le marché (Guide bleu, section 2.3).
Un logiciel acheté à un éditeur étranger a-t-il un importateur ?
Oui, si vous êtes établi dans l'Union et le premier à l'y fournir, sous le nom d'un éditeur établi ailleurs (art. 3, point 16).
Combien de temps garder la déclaration UE de conformité ?
Dix ans au moins après la mise sur le marché, ou toute la période d'assistance si elle dure plus (art. 19, paragraphe 6).
Que risque un importateur qui ne respecte pas l'article 19 ?
Jusqu'à 10 millions d'euros d'amende, ou 2 % du chiffre d'affaires annuel mondial si ce montant est plus élevé (art. 64, paragraphe 3). Ces amendes s'appliquent à partir du 11 décembre 2027. Un produit qui présente un risque important peut aussi être retiré ou rappelé (art. 54).
Sources
- Règlement (UE) 2024/2847, texte authentique au Journal officiel
- Rectificatif du 2 juillet 2025 au règlement (UE) 2024/2847, articles 64 et 69
- Commission européenne, « Guide bleu » relatif à la mise en œuvre de la réglementation de l'UE sur les produits 2022, sections 2.3 et 3.3
- Commission européenne, FAQ sur la mise en œuvre du CRA, version 1.4 du 4 septembre 2026, question 7.2 (en anglais)
- Règlement (UE) 2019/1020 sur la surveillance du marché, article 3, points 22 et 23
- ENISA, liste des CSIRT désignés comme coordinateurs
- Assemblée nationale, projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.