Art. 3(17)Un importateur est toute personne physique ou morale établie dans l'Union qui met sur le marché un produit comportant des éléments numériques portant le nom ou la marque d'une personne physique ou morale établie en dehors de l'Union.
11 décembre 2024 — Le CRA entre en vigueur
Le règlement est juridiquement en vigueur. Les produits mis sur le marché à compter de cette date devront être conformes au CRA une fois les dates d'application atteintes.
11 septembre 2026 — Les obligations de signalement des vulnérabilités s'appliquent
Le signalement des vulnérabilités et incidents à l'ENISA conformément à l'art. 14 devient obligatoire. Il s'agit de la première échéance ferme. Les fabricants doivent avoir mis en place leurs processus de signalement avant cette date.
11 juin 2027 — Notification des organismes d'évaluation de la conformité
Les États membres doivent notifier à la Commission les organismes d'évaluation de la conformité.
11 décembre 2027 — Le règlement s'applique intégralement
Toutes les exigences du CRA s'appliquent à tous les produits concernés. Aucun nouveau produit non conforme ne peut être mis sur le marché de l'UE.
Avant de mettre sur le marché de l'UE un produit comportant des éléments numériques, les importateurs doivent vérifier que le fabricant a effectué l'évaluation de la conformité appropriée, établi la documentation technique, apposé le marquage CE, et mis à disposition la déclaration UE de conformité ou la déclaration de performance.
Lorsqu'un importateur considère ou a des raisons de croire qu'un produit comportant des éléments numériques n'est pas conforme aux exigences essentielles de cybersécurité, il ne doit pas mettre le produit sur le marché jusqu'à ce que la conformité soit assurée.
Les importateurs doivent indiquer leur nom, leur raison sociale enregistrée ou leur marque commerciale, leur adresse postale et, lorsqu'elle est disponible, leur adresse de site web ou de courriel, sur le produit lui-même, sur son emballage ou dans un document accompagnant le produit.
Tant qu'un produit comportant des éléments numériques relève de la responsabilité de l'importateur, celui-ci doit veiller à ce que les conditions de stockage et de transport ne compromettent pas sa conformité aux exigences essentielles de cybersécurité.
Si un importateur apprend qu'un produit qu'il a mis sur le marché n'est pas conforme, il doit immédiatement prendre des mesures correctives — y compris le retrait ou le rappel si nécessaire. Lorsque le produit présente un risque significatif de cybersécurité, l'importateur doit immédiatement notifier l'autorité nationale compétente.
Les importateurs doivent conserver une copie de la déclaration UE de conformité ou de la déclaration de performance pendant 10 ans après la mise sur le marché du produit, et veiller à ce que la documentation technique puisse être mise à la disposition des autorités de surveillance du marché sur demande.
Sur demande motivée d'une autorité compétente, les importateurs doivent fournir toutes les informations et la documentation — sur support papier ou électronique — nécessaires pour démontrer la conformité d'un produit comportant des éléments numériques. Ils doivent également coopérer à toute action corrective requise.
Un importateur ou un distributeur est considéré comme un fabricant — et est donc soumis à l'ensemble des articles 13 et 14 — s'il met sur le marché un produit comportant des éléments numériques sous son propre nom ou sa propre marque, ou s'il procède à une modification substantielle d'un produit déjà mis sur le marché.
Toute personne physique ou morale — autre que le fabricant, l'importateur ou le distributeur d'origine — qui procède à une modification substantielle d'un produit et le met à disposition sur le marché est considérée comme le fabricant. Cette personne est alors soumise aux articles 13 et 14, soit pour la partie affectée du produit, soit, si la modification affecte la cybersécurité de l'ensemble du produit, pour l'intégralité du produit.
Tous les opérateurs économiques doivent être en mesure, sur demande des autorités de surveillance du marché, d'identifier (a) tout opérateur économique qui leur a fourni un produit et (b) tout opérateur économique auquel ils ont fourni un produit. Les registres doivent être conservés pendant 10 ans à compter de chaque transaction.
Explorez la bibliothèque complète des obligations, comprenez votre rôle ou consultez le calendrier.