Règlement (UE) 2024/2847 · Chapitre II
Article 20 : le distributeur vérifie le marquage CE et alerte
Marquage CE, documents, alerte : ce que l'article 20 du CRA demande au distributeur à partir du 11 décembre 2027, et ce qu'il ne lui demande pas.
Ce que dit l’article
À partir du 11 décembre 2027, le distributeur vérifie le marquage CE et les documents du produit avant de le vendre.
Cet article du Cyber Resilience Act (CRA) lui demande d'agir avec la diligence requise, puis d'alerter. Au 20 octobre 2026, il ne s'applique pas encore.
Une boutique en ligne veut vendre une sonnette vidéo connectée. Avant la mise en vente, elle regarde le marquage CE, la notice et la date de fin des mises à jour de sécurité. Le texte ne lui demande pas de tester la sonnette.
Vous ne refaites ni le travail du fabricant ni celui de l'importateur. Vos vérifications portent sur la forme, et elles tiennent en deux points.
Le marquage CE
Sur le produit, ou à défaut sur son emballage. Pour un logiciel, sur sa déclaration UE de conformité ou sur son site internet.
Les mentions et les documents
Le fabricant et l'importateur ont rempli leurs obligations d'information, et vous ont transmis les documents nécessaires.
Ces mentions sont l'identification du produit, les coordonnées du fabricant et de l'importateur, et la notice. S'y ajoutent la date de fin de la période d'assistance, celle où le fabricant traite les failles, et la déclaration UE de conformité.
L'évaluation de la conformité et la documentation technique ne vous reviennent pas. Quand le fabricant est établi hors de l'Union, c'est l'importateur qui les vérifie.
Un doute fondé sur la conformité bloque la vente. Un client vous montre qu'une caméra de votre catalogue diffuse ses images sans mot de passe. Vous avez alors des raisons de la croire non conforme. Vous ne la vendez plus tant qu'elle n'a pas été mise en conformité.
Le doute peut aussi porter sur les processus du fabricant, comme sa gestion des failles. Si le risque de cybersécurité est important, vous prévenez le fabricant et les autorités de surveillance du marché, sans retard injustifié. Un risque est important quand il est très susceptible, par ses caractéristiques techniques, de causer un incident grave.
Après la vente, vous veillez à ce que les mesures correctives soient prises. Ce sont la mise en conformité, le retrait ou le rappel du produit, si nécessaire.
Vous apprenez l'existence d'une faille ? Vous en informez le fabricant sans retard injustifié. Si le risque est important, vous prévenez aussi immédiatement les autorités des pays où vous avez vendu le produit.
Le texte en détail : article 20, paragraphes 1 à 4, et articles 3, 13, 19 et 30
Le paragraphe 1 impose d'agir « avec la diligence requise en ce qui concerne les exigences énoncées au présent règlement ».
Le paragraphe 2, point a), vise le marquage CE. Le point b) vise l'article 13, paragraphes 15, 16, 18, 19 et 20, et l'article 19, paragraphe 4, sur les coordonnées de l'importateur.
L'article 30, paragraphe 1, fixe la place du marquage CE, y compris pour un logiciel. Le Guide bleu de la Commission (2022, section 3.4) parle d'« exigences formelles ».
Le paragraphe 3 joue « sur la base des informations en sa possession ». Il vise la non-conformité aux exigences essentielles de l'annexe I, du produit ou des processus.
Le risque de cybersécurité important est défini à l'article 3, point 38.
Le paragraphe 4 dit que les distributeurs « veillent à ce que soient prises les mesures correctives nécessaires ».
L'article 3, points 49 et 50, renvoie au règlement (UE) 2019/1020 pour le rappel et le retrait (article 3, points 22 et 23).
Le rappel est « toute mesure visant à obtenir le retour d'un produit qui a déjà été mis à la disposition de l'utilisateur final ».
Le retrait est « toute mesure visant à empêcher la mise à disposition sur le marché d'un produit présent dans la chaîne d'approvisionnement ».
Les distributeurs « veillent à ce que soient prises les mesures correctives nécessaires ». L'importateur, lui, les prend « immédiatement » (article 19, paragraphe 5).
Les demandes des autorités
Sur demande motivée, vous communiquez les informations et les documents qui démontrent la conformité, et vous coopérez à leurs mesures.
La disparition du fabricant
Vous apprenez qu'il a cessé ses activités et ne peut plus respecter le règlement ? Vous prévenez les autorités sans retard injustifié, et si possible les utilisateurs.
Le texte en détail : article 20, paragraphes 5 et 6
Le paragraphe 5 porte la coopération sur requête motivée. Le Guide bleu (section 3.4) n'attend pas du distributeur qu'il détienne la documentation technique.
Le paragraphe 6 fait informer les autorités « sans retard injustifié », et les utilisateurs « par tout moyen disponible et dans la mesure du possible ».
À qui il s’applique
Cet article vise le distributeur.
Il fait partie de la chaîne d'approvisionnement, sans être le fabricant ni l'importateur. Il met le produit à disposition dans l'Union, sans altérer ses propriétés.
Un grossiste en matériel réseau, un magasin qui vend des fours connectés, un revendeur de licences logicielles : tous sont distributeurs.
Vous revendez tel quel un produit déjà sur le marché
Vous êtes distributeur : cet article vous vise.
Vous êtes le premier à fournir dans l'Union un produit à la marque d'une entreprise établie ailleurs
Vous êtes importateur : voyez l'article 19.
Vous apposez votre marque, ou vous modifiez le produit en profondeur
Vous serez considéré comme fabricant à partir du 11 décembre 2027 : voyez l'article 21.
Vous faites fabriquer sous votre marque
Vous êtes fabricant. Le signalement des failles exploitées vous vise depuis le 11 septembre 2026.
Tous les intermédiaires ne sont pas distributeurs. Une place de marché en ligne qui se borne à mettre en relation vendeurs et acheteurs n'en est pas un. Si elle vend elle-même le produit, elle le devient pour ce produit.
Le texte en détail : article 3, points 13, 17 et 22, article 21, et considérants 20 et 78
Le distributeur est défini à l'article 3, point 17 : il met le produit à disposition « sans altérer ses propriétés ». La mise à disposition est définie au point 22.
Le considérant 78 écarte le simple fournisseur de place de marché en ligne. S'il distribue un produit, il en est le distributeur ; s'il vend sous sa propre marque, il en est le fabricant.
Selon le considérant 20, héberger un logiciel sur un dépôt ouvert n'est pas, en soi, une mise à disposition sur le marché.
L'article 21 considère le distributeur comme fabricant s'il vend sous son propre nom ou sa propre marque, ou modifie substantiellement le produit. Il s'applique le 11 décembre 2027.
Le fabricant « fait concevoir, développer ou fabriquer » le produit, et le commercialise sous son nom ou sa marque (article 3, point 13).
Depuis quand
Cet article s'applique le 11 décembre 2027.
Le règlement est en vigueur depuis le 10 décembre 2024, mais seuls deux de ses volets s'appliquent déjà. Les obligations du distributeur n'en font pas partie.
Un produit mis sur le marché avant le 11 décembre 2027 ne relève du règlement qu'en cas de modification substantielle après cette date. Seul le signalement de l'article 14 vise tous les produits, et il pèse sur le fabricant.
La mise sur le marché s'apprécie exemplaire par exemplaire (FAQ de la Commission ; par analogie, Guide bleu 2022). Elle a lieu au plus tard quand le produit vous est fourni. Un modèle que vous vendez depuis 2025 devra être conforme pour chaque exemplaire mis sur le marché à partir du 11 décembre 2027.
Le signalement des failles exploitées ne vise pas le distributeur. Il vise le fabricant depuis le 11 septembre 2026, y compris le revendeur qui fait fabriquer sous sa marque.
À partir du 11 décembre 2027, un manquement à cet article expose à une amende administrative. Son plafond est de 10 millions d'euros, ou 2 % du chiffre d'affaires annuel mondial si ce montant est plus élevé.
Les amendes du règlement ne s'appliquent qu'à partir du 11 décembre 2027. La sanction d'un manquement au signalement commis avant cette date n'est pas tranchée à ce jour. L'obligation de signaler, elle, court depuis le 11 septembre 2026.
En France, la loi qui ferait de l'Agence nationale des fréquences (ANFR) l'autorité de surveillance du marché n'est pas adoptée à ce jour. Le détail est sur la page de l'état du droit.
Le texte en détail : articles 64, 69 et 71, FAQ de la Commission et Guide bleu
Seuls l'article 14 et le chapitre IV sont avancés par l'article 71, paragraphe 2. Les produits mis sur le marché avant le 11 décembre 2027 échappent aux exigences (article 69, paragraphe 2).
La Commission l'applique au distributeur, à la question 7.5 de sa FAQ. Voyez l'article 69 commenté.
Pour le Guide bleu (2022, section 2.3), la première fourniture par le fabricant ou l'importateur à un distributeur est une mise sur le marché. Toute fourniture ultérieure est une mise à disposition.
Le même Guide ne demande pas au distributeur de vérifier qu'un produit déjà sur le marché suit une législation modifiée (section 3.4).
Les amendes relèvent de l'article 64, paragraphe 3, qui vise les articles 18 à 23.
Ce que vous devez faire
Faites de la vérification une étape de votre référencement, avant le 11 décembre 2027.
- Votre rôle, produit par produit Vous êtes distributeur tant que vous revendez le produit tel quel, sous la marque d'un autre.
- Votre fiche de référencement Marquage CE, identification, coordonnées, notice, date de fin d'assistance, déclaration UE : vérifiés avant la mise en vente.
- Vos fournisseurs Réclamez les documents manquants, et gardez dix ans le nom de qui vous a fourni.
- Votre alerte Qui prévenir chez le fabricant, et comment joindre les autorités, le jour où un client signale une faille.
- Votre stock au 11 décembre 2027 Gardez la date de chaque livraison : un exemplaire reçu avant cette date échappe aux exigences.
Vous vendez sous votre marque ? Vous êtes peut-être fabricant. Le dossier établit alors le rapport d'écarts de votre produit, sa documentation technique et le projet de déclaration UE de conformité.
Votre produit entre-t-il dans le CRA ? Faites le diagnostic, sans frais et sans compte.
Le texte officiel
Texte officiel de l’article 20
Article 20
Obligations des distributeurs
1. Lorsqu’ils mettent un produit comportant des éléments numériques à disposition sur le marché, les distributeurs agissent avec la diligence requise en ce qui concerne les exigences énoncées au présent règlement.
2. Avant de mettre un produit comportant des éléments numériques à disposition sur le marché, les distributeurs vérifient que:
a) le produit comportant des éléments numériques porte le marquage CE;
b) le fabricant et l’importateur se sont conformés aux obligations énoncées à l’article 13, paragraphes 15, 16, 18, 19 et 20, et à l’article 19, paragraphe 4, et ont communiqué tous les documents nécessaires au distributeur.
3. Lorsqu’un distributeur considère ou a des raisons de croire, sur la base des informations en sa possession, qu’un produit comportant des éléments numériques ou les processus mis en place par le fabricant ne sont pas conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, il ne met pas le produit comportant des éléments numériques à disposition sur le marché tant que ce produit ou les processus mis en place par le fabricant n’a pas été mis en conformité avec le présent règlement. En outre, lorsque le produit comportant des éléments numériques présente un risque de cybersécurité important, le distributeur en informe le fabricant et les autorités de surveillance du marché sans retard injustifié.
4. Les distributeurs sachant ou ayant des raisons de croire, sur la base des informations en sa possession, qu’un produit comportant des éléments numériques, qu’ils ont mis à disposition sur le marché, ou bien les processus mis en place par son fabricant ne sont pas conformes au présent règlement veillent à ce que soient prises les mesures correctives nécessaires pour mettre ce produit comportant des éléments numériques ou les processus mis en place par son fabricant en conformité, ou pour retirer ou rappeler le produit, si nécessaire.
Lorsqu’ils prennent connaissance d’une vulnérabilité du produit comportant des éléments numériques, les distributeurs en informent le fabricant sans retard injustifié. En outre, si le produit comportant des éléments numériques présente un risque de cybersécurité important, les distributeurs en informent immédiatement les autorités de surveillance du marché des États membres dans lesquels ils ont mis ce produit à disposition sur le marché, en fournissant des précisions, notamment, sur la non-conformité et toute mesure corrective adoptée.
5. Sur requête motivée d’une autorité de surveillance du marché, les distributeurs communiquent à cette dernière toutes les informations et tous les documents, sur support papier ou par voie électronique, nécessaires pour démontrer la conformité du produit comportant des éléments numériques et des processus mis en place par son fabricant avec le présent règlement dans une langue aisément compréhensible par cette autorité. Ils coopèrent avec cette autorité, à sa demande, à toute mesure prise en vue d’éliminer les risques de cybersécurité présentés par le produit comportant des éléments numériques qu’ils ont mis à disposition sur le marché.
6. Lorsque le distributeur d’un produit comportant des éléments numériques apprend, sur la base des informations en sa possession, que le fabricant de ce produit a cessé ses activités et, de ce fait, n’est pas en mesure de se conformer aux obligations prévues par le présent règlement, il informe sans retard injustifié les autorités de surveillance du marché concernées de cette situation, ainsi que, par tout moyen disponible et dans la mesure du possible, les utilisateurs des produits concernés comportant des éléments numériques mis sur le marché.
Source : règlement (UE) 2024/2847 du 23 octobre 2024, Journal officiel de l’Union européenne, série L, 20 novembre 2024, version française publiée sur EUR-Lex. Seule la publication au Journal officiel fait foi. Le texte sur EUR-Lex.
Questions fréquentes
Le distributeur doit-il vérifier la documentation technique ?
Non. Il vérifie le marquage CE, les mentions et les documents qui accompagnent le produit (art. 20, paragraphe 2). La documentation technique relève du fabricant, et sa vérification de l'importateur (art. 19, paragraphe 2).
Le distributeur doit-il garder la déclaration UE de conformité ?
L'article 20 ne lui fixe aucune durée de conservation. Il vérifie qu'elle accompagne le produit, en copie ou en version simplifiée (art. 20, paragraphe 2, et art. 13, paragraphe 20). Pendant dix ans, il doit pouvoir dire qui lui a fourni le produit (art. 23).
Héberger un logiciel sur un dépôt public fait-il de moi un distributeur ?
Non, pas à ce seul titre (considérant 20). Le fournisseur d'un tel service n'est distributeur que s'il met le logiciel à disposition sur le marché, dans le cadre d'une activité commerciale.
Dois-je prévenir mes clients d'une faille dans un produit que je vends ?
L'article 20 vous fait prévenir le fabricant, et les autorités si le risque est important (paragraphe 4). Informer les utilisateurs d'une faille exploitée revient au fabricant (art. 14, paragraphe 8). Dans l'article 20, vous prévenez les utilisateurs quand le fabricant a cessé ses activités (paragraphe 6).
Que risque un distributeur qui ne respecte pas l'article 20 ?
Jusqu'à 10 millions d'euros d'amende, ou 2 % du chiffre d'affaires annuel mondial si ce montant est plus élevé (art. 64, paragraphe 3). Ces amendes s'appliquent à partir du 11 décembre 2027. Requalifié fabricant, vous répondez des articles 13 et 14, avec un plafond de 15 millions d'euros ou 2,5 % (art. 64, paragraphe 2).
Sources
- Règlement (UE) 2019/1020 sur la surveillance du marché, article 3, points 22 et 23
- Règlement (UE) 2024/2847, texte authentique au Journal officiel
- Commission européenne, FAQ sur la mise en œuvre du CRA, version 1.4 du 4 septembre 2026, questions 7.2 et 7.5 (en anglais)
- Commission européenne, « Guide bleu » relatif à la mise en œuvre de la réglementation de l'UE sur les produits 2022, sections 2.3 et 3.4
- Assemblée nationale, projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.