Règlement CRA : obligations et responsabilités des distributeurs dans la chaîne de conformité

Le règlement (UE) 2024/2847 relatif à la cyber-résilience (CRA) ne se limite pas à imposer des obligations aux fabricants de produits numériques. Il redéfinit l’ensemble de la chaîne d’approvisionnement en instaurant une logique d’« opérateurs économiques », incluant explicitement le distributeur. Ce dernier, bien que moins exposé que le fabricant, joue un rôle pivot en tant que dernier rempart de conformité avant l’utilisateur final.

Définition et périmètre du rôle du distributeur

Le CRA qualifie le distributeur comme « une personne physique ou morale faisant partie de la chaîne d’approvisionnement, autre que le fabricant ou l’importateur, qui met un produit comportant des éléments numériques à disposition sur le marché de l’Union sans altérer ses propriétés » (art. 3§17). Cette définition exclut toute implication dans la conception, le développement ou la première mise sur le marché du produit. Contrairement au fabricant, qui conçoit et commercialise le produit sous son nom ou sa marque (art. 3§13), ou à l’importateur, qui introduit un produit sur le marché de l’Union (art. 3§16), le distributeur agit en tant qu’intermédiaire.

Son obligation principale, énoncée à l’article 20§1, repose sur une logique de diligence : il doit agir « avec la diligence requise en ce qui concerne les exigences énoncées au présent règlement ». Cette obligation ne couvre pas une conformité technique, mais une vérification documentaire et formelle.

Vérifications préalables à la mise à disposition sur le marché

Avant toute commercialisation, l’article 20§2 du CRA impose au distributeur deux contrôles cumulatifs :

• la présence du marquage CE sur le produit ;
• le respect par le fabricant de ses obligations documentaires, notamment l’identification du produit (numéro de type, de lot ou de série), les coordonnées du fabricant, les informations et instructions destinées à l’utilisateur, la mention de la date de fin de la période d’assistance, ainsi que la fourniture de la déclaration UE de conformité ou de sa version simplifiée.

Ces vérifications, purement documentaires, ne nécessitent pas une réévaluation technique du produit. Elles s’appliquent également, mutatis mutandis, à l’importateur pour ses propres coordonnées.

Gestion des non-conformités et signalements

Lorsque le distributeur a des raisons de croire qu’un produit ou les processus de son fabricant ne respectent pas les exigences essentielles de cybersécurité (annexe I), il ne peut le mettre à disposition sur le marché tant que la non-conformité n’est pas levée (art. 20§3). Si le produit présente un risque de cybersécurité important, il doit en informer sans délai injustifié le fabricant et les autorités de surveillance du marché, désignées en France par l’ANFR.

En cas de non-conformité avérée sur un produit déjà commercialisé, le distributeur doit veiller à ce que des mesures correctives soient prises, ou procéder à son retrait ou à son rappel si nécessaire (art. 20§4). Il est également tenu d’informer le fabricant de toute vulnérabilité détectée, et, en cas de risque important, de signaler immédiatement les autorités compétentes en précisant la nature de la non-conformité et les mesures correctives adoptées.

Coopération avec les autorités et traçabilité

Sur demande motivée d’une autorité de surveillance du marché, le distributeur doit communiquer toutes les informations et documents nécessaires pour démontrer la conformité du produit et des processus du fabricant, dans une langue compréhensible par cette autorité. Il doit également coopérer à toute mesure visant à éliminer les risques identifiés (art. 20§5).

Cette obligation s’inscrit dans le cadre du devoir général de traçabilité prévu à l’article 23 du CRA, qui impose à tout opérateur économique de pouvoir identifier, pendant dix ans, l’opérateur qui lui a fourni le produit ainsi que celui auquel il l’a fourni.

Enfin, si le distributeur apprend que le fabricant a cessé ses activités et ne peut plus se conformer au règlement, il doit en informer sans délai injustifié les autorités de surveillance du marché concernées, ainsi que, dans la mesure du possible, les utilisateurs des produits concernés (art. 20§6).

Risque de requalification en fabricant

L’article 21 du CRA prévoit une conséquence majeure : un distributeur peut être considéré comme un fabricant et soumis à l’intégralité des obligations des articles 13 et 14 dans deux cas :

• lorsqu’il met un produit sur le marché sous son propre nom ou sa propre marque ;
• lorsqu’il apporte une modification substantielle au produit, définie comme une modification physique ou logicielle affectant sa conformité aux exigences de cybersécurité ou altérant son utilisation prévue.

Ce mécanisme de requalification concerne particulièrement les acteurs pratiquant le reconditionnement, le rebranding ou l’intégration de composants logiciels dans les produits commercialisés.

Calendrier et dispositions transitoires

Les distributeurs doivent prêter une attention particulière aux dispositions transitoires de l’article 69 :

• les produits mis sur le marché avant le 11 décembre 2027 ne sont pas soumis aux exigences de sécurité du CRA, sauf en cas de modification substantielle ;
• les obligations de notification des vulnérabilités de l’article 14 s’appliquent dès le 11 septembre 2026 à tous les produits mis à disposition sur le marché, y compris ceux déjà en stock ou vendus avant décembre 2027.

Un distributeur requalifié en fabricant sur un produit antérieur à décembre 2027 devra donc notifier ses failles dès septembre 2026.

Sanctions applicables

Le non-respect des obligations des articles 18 à 23 du CRA, incluant celles du distributeur, est passible d’une amende administrative pouvant atteindre 10 000 000 euros ou, pour une entreprise, 2 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (art. 64§3).

La fourniture d’informations inexactes ou trompeuses aux autorités peut entraîner une sanction pouvant aller jusqu’à 5 000 000 euros ou 1 % du chiffre d’affaires mondial (art. 64§4). Le montant de l’amende est déterminé en fonction de la nature et de la gravité de l’infraction, ainsi que de la taille de l’entreprise concernée (art. 64§5).

Conclusion

Le CRA positionne le distributeur comme un acteur actif de la conformité, bien au-delà d’un simple maillon logistique. Ses obligations – vérifications documentaires, devoir d’alerte, coopération avec les autorités, traçabilité – s’accompagnent d’un risque réel de requalification en fabricant, notamment en cas de rebranding ou de modification substantielle. Une vigilance accrue est donc indispensable pour les acteurs de la distribution impliqués dans la chaîne de valeur des produits numériques.

Source : Lexing