CRA : quelles sont les obligations du distributeur ?

Le règlement (UE) 2024/2847 relatif à la cyber-résilience (CRA) (1) ne se limite pas à responsabiliser les fabricants de produits comportant des éléments numériques. Il structure l’ensemble de la chaîne d’approvisionnement autour d’une logique d’« opérateurs économiques » (art. 3§12), parmi lesquels figure le distributeur. Si les obligations du distributeur sont moins étendues que celles du fabricant, elles n’en demeurent pas moins déterminantes pour la sécurité du marché intérieur, puisqu’elles constituent le dernier filtre de conformité avant l’utilisateur final.

Le distributeur, un opérateur économique au rôle circonscrit

Le CRA définit le distributeur comme « une personne physique ou morale faisant partie de la chaîne d’approvisionnement, autre que le fabricant ou l’importateur, qui met un produit comportant des éléments numériques à disposition sur le marché de l’Union sans altérer ses propriétés » (art. 3§17).
Cette définition trace une frontière nette avec le fabricant, qui conçoit ou développe le produit et le met sur le marché sous son nom ou sa marque (art. 3§13), et avec l’importateur, qui introduit sur le marché de l’Union un produit portant le nom d’une personne établie hors de l’Union (art. 3§16).
Le distributeur n’intervient ni dans la conception, ni dans le développement, ni dans la première mise sur le marché du produit. Son obligation, telle que posée à l’article 20§1, n’est donc pas une obligation de conformité technique, mais une obligation de diligence : il doit agir « avec la diligence requise en ce qui concerne les exigences énoncées au présent règlement ».

Les vérifications préalables à la mise à disposition sur le marché

Avant toute mise à disposition, l’article 20§2 du CRA, impose au distributeur de vérifier deux éléments cumulatifs :
• d’une part, la présence du marquage CE sur le produit ;
• d’autre part, le respect par le fabricant de ses obligations documentaires prévues à l’article 13, paragraphes 15, 16, 18, 19 et 20 – à savoir l’identification du produit (numéro de type, de lot ou de série), les coordonnées du fabricant, les informations et instructions destinées à l’utilisateur figurant à l’annexe II, la mention de la date de fin de la période d’assistance, ainsi que la fourniture de la déclaration UE de conformité ou de sa version simplifiée. Le même contrôle s’applique, mutatis mutandis, à l’égard de l’importateur au titre de l’article 19, paragraphe 4, s’agissant de ses propres coordonnées.
Il s’agit d’un contrôle formel et documentaire, non d’une réévaluation technique du produit.

La conduite à tenir en cas de doute sur la conformité au CRA

Lorsque le distributeur considère ou a des raisons de croire, sur la base des informations en sa possession, qu’un produit comportant des éléments numériques (ou les processus mis en place par son fabricant) n’est pas conforme aux exigences essentielles de cybersécurité énoncées à l’annexe I, il ne peut mettre ce produit à disposition sur le marché tant que la non-conformité n’a pas été levée (art. 20§3).
Si le produit présente un risque de cybersécurité important, le distributeur doit en informer sans retard injustifié à la fois le fabricant et les autorités de surveillance du marché.
Pour la France, l’autorité de surveillance du marché désignée est l’ANFR (2).

Les obligations réactives : mesures correctives et signalement des vulnérabilités

L’article 20§4 du CRA, organise le volet correctif : lorsque le distributeur sait ou a des raisons de croire qu’un produit déjà mis à disposition, ou les processus de son fabricant, ne sont pas conformes au CRA, il veille à ce que des mesures correctives soient prises pour mettre le produit en conformité, ou procède à son retrait ou à son rappel si nécessaire.
Le texte impose en outre une obligation spécifique de remontée d’information : dès qu’il prend connaissance d’une vulnérabilité, le distributeur en informe le fabricant sans retard injustifié ; si le risque est important, il informe immédiatement les autorités de surveillance du marché des États membres concernés, en précisant la nature de la non-conformité et les mesures correctives adoptées.

Coopération avec les autorités et traçabilité

Sur requête motivée d’une autorité de surveillance du marché, le distributeur communique toutes les informations et documents nécessaires pour démontrer la conformité du produit et des processus du fabricant, dans une langue aisément compréhensible par cette autorité, et coopère à toute mesure destinée à éliminer les risques identifiés (art. 20§5).
Cette obligation s’articule avec le devoir général de traçabilité de l’article 23 du CRA, qui impose à tout opérateur économique de pouvoir identifier, pendant dix ans, l’opérateur qui lui a fourni le produit, ainsi que celui auquel il l’a fourni.
Enfin, lorsqu’il apprend que le fabricant a cessé ses activités et ne peut plus se conformer au règlement CRA, le distributeur en informe sans retard injustifié les autorités de surveillance du marché concernées, ainsi que, dans la mesure du possible, les utilisateurs des produits en cause (art. 20§6).

Le risque de requalification en fabricant

L’article 21 du CRA prévoit une conséquence structurante : un distributeur est considéré comme un fabricant, et soumis à ce titre à l’intégralité des obligations des articles 13 et 14, dès lors :
• qu’il met un produit comportant des éléments numériques sur le marché sous son propre nom ou sa propre marque, ou
• qu’il lui apporte une modification substantielle au sens de l’article 3§30, c’est-à-dire une modification physique ou logicielle qui affecte sa conformité aux exigences de cybersécurité ou altère son utilisation prévue.
Ce mécanisme de requalification mérite une attention particulière de la part des distributeurs pratiquant le reconditionnement, le rebranding ou l’intégration de composants logiciels dans les produits qu’ils commercialisent.

Le calendrier

Un point de vigilance crucial pour les distributeurs concerne les dispositions transitoires de l’article 69 :
• les produits mis sur le marché avant le 11 décembre 2027 ne sont pas soumis aux exigences de sécurité du CRA (sauf s’ils font l’objet d’une modification substantielle) ;
• mais par dérogation, les obligations de notification des vulnérabilités de l’article 14 s’appliqueront dès le 11 septembre 2026 à tous les produits mis à disposition sur le marché, y compris ceux déjà en stock ou vendus avant décembre 2027. Un distributeur requalifié en fabricant sur un « vieux » produit devra donc quand même notifier ses failles dès la rentrée 2026.

Sanctions applicables

Le manquement aux obligations des articles 18 à 23 du CRA, qui couvrent notamment les obligations du distributeur, est passible d’une amende administrative pouvant atteindre 10.000.000 euros ou, si l’auteur de l’infraction est une entreprise, 2 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu (art. 64§3).
La fourniture d’informations inexactes ou trompeuses aux autorités peut, quant à elle, coûter jusqu’à 5 000 000 EUR ou 1 % du chiffre d’affaires mondial (art. 64§4).
Le montant est fixé en tenant compte, notamment, de la nature et de la gravité de l’infraction, ainsi que de la taille de l’entreprise concernée (art. 64§5).

Conclusion

Le CRA fait du distributeur un acteur actif de la conformité, et non un simple maillon logistique.
Les obligations du distributeur – vérification documentaire préalable, devoir d’alerte, coopération avec les autorités, traçabilité – s’accompagnent d’un risque réel de requalification en fabricant, dès lors que son intervention dépasse la simple mise à disposition.
Pour limiter leur exposition, il est recommandé aux distributeurs plusieurs actions contractuelles, qui doivent être menées dès à présent :
• auditer les contrats de distribution : insérer des clauses de garantie de conformité documentaire obligeant le fabricant tiers à fournir spontanément les éléments requis ;
• mettre en place des protocoles d’alerte : formaliser la procédure interne permettant de remonter au fabricant, sous 24h, toute faille identifiée par les clients du distributeur afin de respecter le devoir d’information sans retard.

---

• Règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques et modifiant les règlements (UE) n° 168/2013 et (UE) 2019/1020 et la directive (UE) 2020/1828 (règlement sur la cyber-résilience) (Texte présentant de l’intérêt pour l’EEE)
• Voir l’article « CRA : Une gouvernance nationale articulée entre ANSSI et ANFR » du 20-4-2026