Un mandataire CRA, ou représentant autorisé, est une personne ou une société établie dans l'Union qu'un fabricant peut désigner par mandat écrit pour conserver les documents de conformité, répondre aux demandes motivées des autorités, coopérer avec la surveillance du marché et exécuter les autres tâches que le mandat prévoit. La désignation est facultative au titre du Cyber Resilience Act, y compris pour les fabricants hors UE. Le rôle est utile lorsqu'un fabricant souhaite un contact réglementaire dans l'Union, mais le mandat ne peut pas inclure la cybersécurité du produit, la gestion des vulnérabilités, l'établissement de la documentation technique ni les procédures de production en série, et il ne retire pas ses obligations à l'importateur.
Synthèse
- La désignation est facultative. Les fabricants CRA peuvent désigner un mandataire, mais le CRA n'exige pas cette désignation comme condition d'accès au marché de l'Union.
- Le mandat a un minimum et une limite. Au minimum, le mandataire doit pouvoir conserver la déclaration UE de conformité et la documentation technique, les fournir aux autorités sur demande motivée et coopérer aux actions de réduction des risques. Le mandat peut ajouter d'autres tâches, par exemple organiser l'évaluation de la conformité, établir la déclaration de conformité ou transmettre des signalements, s'il le prévoit par écrit.
- Certaines obligations ne peuvent pas figurer dans le mandat. La cybersécurité du produit, l'analyse de risques, la gestion des vulnérabilités, les mises à jour de sécurité, l'établissement de la documentation technique et les procédures de production en série sont exclues par l'article 18, paragraphe 2.
- Les obligations de l'importateur sont distinctes. L'importateur existe en raison de la chaîne d'approvisionnement ; le mandataire existe uniquement en vertu d'un mandat écrit. Une même entité UE peut cumuler les deux rôles, mais les documents et les obligations restent distincts.
- L'exposition aux sanctions suit l'obligation enfreinte. Les manquements aux obligations du fabricant relèvent du niveau de sanction le plus élevé ; les manquements au mandat du mandataire relèvent du niveau applicable aux importateurs/distributeurs.
- Les échéances comptent. Le signalement par le fabricant s'applique depuis le 11 septembre 2026 ; la majeure partie de la préparation opérationnelle utile au mandataire vise l'entrée en vigueur du régime, le 11 décembre 2027.
Faut-il désigner un mandataire ?
Le choix d'un mandataire est une décision opérationnelle, pas une condition d'accès au marché CRA. Les facteurs ci-dessous résument le raisonnement habituel. Aucun ne crée d'obligation juridique ; le CRA ne sanctionne pas l'absence de mandataire.
| Facteur | Pencher vers la désignation | Pencher contre la désignation |
|---|---|---|
| Présence UE du fabricant | Le fabricant est établi hors de l'Union et n'a aucun bureau UE crédible pour prendre en charge la correspondance de surveillance du marché. | Le fabricant est établi dans l'Union, ou dispose d'une filiale UE qui traite déjà la correspondance réglementaire. |
| Autres instruments UE | Le produit relève aussi du MDR, qui impose un mandataire aux fabricants hors UE de dispositifs médicaux, ou vous utilisez déjà un représentant ou prestataire de conformité RED. Réutiliser la même structure pour le périmètre CRA peut simplifier l'exploitation. | Le produit ne relève que du CRA, sans obligation MDR de mandataire en parallèle et sans accord RED de représentation existant. |
| Correspondance avec les autorités | Vous souhaitez que la correspondance avec les autorités de surveillance du marché passe par un contact local UE, dans la langue et le fuseau horaire de l'État membre concerné. | Vous êtes à l'aise pour traiter les réponses aux demandes motivées directement depuis le siège du fabricant. |
| Garde documentaire | Vous souhaitez que la conservation pendant dix ans de la DoC et de la documentation technique soit assurée par un dépositaire établi dans l'Union. | Vous exploitez déjà une plateforme interne de preuves qui maintient la documentation accessible aux autorités sur demande. |
| Route importateur | Plusieurs importateurs et distributeurs UE, et vous voulez un mandataire unique nommé pour tout le canal, plutôt que d'éparpiller la responsabilité. | Un importateur UE de confiance et unique gère déjà la vérification et la conservation documentaire. |
La plupart des fabricants hors UE actifs dans des secteurs réglementés finissent par désigner un mandataire parce que la simplification opérationnelle dépasse le coût du mandat, et non parce que le CRA les y oblige.
Ce que le mandat peut couvrir
Le mandat écrit fait du mandataire, au minimum, un dépositaire documentaire et une interface avec les autorités. L'article 18, paragraphe 3 exige qu'il autorise le mandataire à effectuer au moins les trois tâches ci-dessous, et le mandataire exécute les tâches que le mandat précise.
| Tâche | Ce que fait le mandataire |
|---|---|
| Garde documentaire | Conserver la déclaration UE de conformité et la documentation technique pendant au moins 10 ans après la mise sur le marché, ou pendant la période de support si elle est plus longue. |
| Demandes des autorités | Fournir les informations et documents nécessaires pour démontrer la conformité lorsqu'une autorité de surveillance du marché formule une demande motivée. |
| Coopération sur les risques | Coopérer avec les autorités de surveillance du marché, à leur demande, aux actions prises pour éliminer les risques produit. |
| Tâches supplémentaires, si le mandat les prévoit | L'article 18, paragraphe 2 n'exclut ni la réalisation ou l'organisation de l'évaluation de la conformité, ni l'établissement de la déclaration UE de conformité, ni l'apposition du marquage CE, ni le signalement au titre de l'article 14. Le mandat peut donc les inclure. Une tâche qui n'est pas inscrite dans le mandat n'incombe pas au mandataire. |
Le mandat est lui-même un document contrôlé : le mandataire en fournit une copie aux autorités de surveillance du marché à leur demande.
Ce qui ne peut pas figurer dans le mandat
L'article 18, paragraphe 2 écarte du mandat trois groupes d'obligations du fabricant : l'article 13, paragraphes 1 à 11, l'article 13, paragraphe 12, premier alinéa, et l'article 13, paragraphe 14. Aucune formulation du mandat ne peut les y ajouter.
| Bloc exclu | Ce qu'il couvre |
|---|---|
| Obligations produit et vulnérabilités | Cybersécurité du produit, analyse de risques, diligence sur les composants, détermination de la période de support, disponibilité des mises à jour de sécurité et règles relatives aux logiciels substantiellement modifiés. |
| Établissement de la documentation technique | L'établissement de la documentation technique avant la mise sur le marché est exclu. Le mandataire peut conserver le dossier qui en résulte dans le cadre du mandat, mais ne peut pas l'établir. |
| Contrôles de production en série | Les procédures qui maintiennent la conformité des produits d'une production en série sont exclues. |
La frontière pratique : ingénierie, analyse de risques, gestion des vulnérabilités, établissement de la documentation technique et procédures de la série de production restent à la charge du fabricant. Réaliser ou organiser l'évaluation de la conformité, établir la déclaration de conformité, apposer le marquage CE et assurer le signalement au titre de l'article 14 ne figurent pas sur la liste des exclusions : le mandat peut les inclure s'il les nomme. Le mandataire n'est pas un fabricant de substitution.
Mandataire ou importateur
Le rôle de mandataire naît d'un mandat écrit. Le rôle d'importateur naît de la route commerciale lorsqu'une entité établie dans l'Union met sur le marché de l'Union un produit dont la marque est celle d'un fabricant hors UE. Aucun de ces rôles ne se substitue à l'autre, dans un sens comme dans l'autre.
| Mandataire | Importateur UE | |
|---|---|---|
| Déclencheur | Facultatif. Un fabricant peut désigner un mandataire par mandat écrit. | Statut par définition. Toute entité établie dans l'Union qui met sur le marché un produit portant le nom ou la marque d'un fabricant hors UE est importateur. |
| Créé par | Mandat écrit du fabricant à une personne physique ou morale établie dans l'Union. | La route commerciale d'approvisionnement. Pas de désignation, pas de mandat. |
| Portée | Au minimum : conserver la DoC et la documentation technique pendant au moins dix ans après la mise sur le marché, ou pendant la période d'assistance si elle est plus longue, les fournir à la surveillance du marché sur demande motivée et coopérer aux mesures correctives. D'autres tâches seulement si le mandat les nomme. L'article 13, paragraphes 1 à 11, l'établissement de la documentation technique et les procédures de production en série sont exclus. | Vérifier l'évaluation de la conformité, le marquage CE, la DoC et les instructions destinées à l'utilisateur ; conserver les documents pendant dix ans ou plus ; coopérer avec les autorités ; signaler toute non-conformité présumée et toute connaissance de vulnérabilités. |
| Substitut de l'autre ? | Non. La désignation d'un mandataire ne retire pas les obligations d'importateur à l'entité qui met le produit sur le marché de l'Union. | Non. Les obligations de l'importateur existent indépendamment. Elles ne créent ni ne retirent une désignation de mandataire. |
| Même entité autorisée ? | Oui. Une même structure UE peut détenir le mandat et le rôle d'importateur, avec des documents écrits séparés et une indemnité couvrant les deux fonctions. | Idem. |
Conséquence pratique : le choix d'un mandataire est indépendant de l'identité de l'importateur du produit. L'importateur UE ne libère pas le fabricant d'une obligation de cybersécurité, et le mandataire ne libère pas l'importateur d'une obligation d'importateur. Si vous souhaitez qu'un seul partenaire UE porte les deux casquettes, c'est admis ; il faut un mandat écrit distinct du contrat commercial d'approvisionnement, ainsi qu'une indemnité couvrant les deux fonctions.
Que rechercher lors de la désignation d'un mandataire
Si votre paysage fournisseurs comporte des acteurs déjà actifs en MDR, RED ou RoHS, c'est un point de départ raisonnable. Les vérifications spécifiques au CRA ci-dessous distinguent un mandataire sérieux d'un acteur qui ne tiendra pas à la première lettre d'autorité.
| Vérification | À quoi ressemble un bon signal |
|---|---|
| Domicile | Personne morale établie dans un État membre de l'Union, avec un siège social enregistré et un point de contact local. |
| Assurance | Responsabilité civile professionnelle dont la couverture est explicitement étendue au périmètre CRA et aux classifications produit de l'CRA. |
| Expérience sectorielle | Historique démontrable au titre du MDR, de l'acte délégué cybersécurité de la RED ou de la directive RoHS. Ce sont les acteurs qui pivotent aujourd'hui de façon crédible vers une activité CRA. |
| Garde documentaire | Plateforme respectant l'obligation de conservation de dix ans prévue par le mandat, avec piste d'audit infalsifiable et exports prêts pour les autorités. |
| Responsabilité nommée | Personne physique nommée et responsable devant les autorités, et non simple boîte aux lettres juridique générique. |
| Langue | Capacité de coopérer aux mesures correctives dans la langue de l'autorité de l'État membre concerné. |
Le mandat lui-même doit énumérer en clair les tâches CRA, rappeler les obligations que l'article 18, paragraphe 2 exclut, fixer les modalités de préavis et de résiliation, et définir la passation lorsqu'un fabricant change de mandataire. Faites-le relire par un conseil familier du droit de la conformité produit dans l'Union.
Pièges courants
| Affirmation | Pourquoi elle échoue |
|---|---|
| « Nous sommes hors UE, donc nous devons désigner un mandataire. » | Au titre du CRA, la désignation est facultative, même pour les fabricants hors UE. MDR peut imposer un mandataire aux fabricants hors UE de dispositifs médicaux ; la RED a ses propres règles d'opérateurs économiques, mais ne rend pas la désignation CRA obligatoire. |
| « Notre importateur UE est aussi notre mandataire ; un seul contrat couvre les deux. » | Les rôles sont juridiquement distincts. Les obligations de l'importateur s'attachent à l'entité qui met le produit sur le marché ; les obligations de mandataire s'attachent à l'entité qui détient le mandat écrit. Vous pouvez retenir la même structure, mais documentez les deux fonctions séparément. |
| « Le mandataire ne peut jamais établir notre déclaration UE de conformité. » | L'article 18, paragraphe 2 n'exclut que le premier alinéa de l'article 13, paragraphe 12, c'est-à-dire l'établissement de la documentation technique. La déclaration et le marquage CE relèvent du troisième alinéa, donc le mandat peut les inclure. Vérifiez ce que le mandat nomme. |
| « Nous avons délégué la gestion des vulnérabilités au mandataire. » | La gestion des vulnérabilités relève de l'article 13, paragraphe 8, que l'article 18, paragraphe 2 exclut du mandat. Le mandat ne peut pas l'inclure. |
| « Le signalement ne peut jamais figurer dans le mandat. » | L'article 18, paragraphe 2 n'exclut pas l'article 14. Un mandat peut inclure la transmission des notifications, mais seulement s'il nomme cette tâche. Un mandataire dont le mandat ne dit rien du signalement ne l'a pas reçu. |
| « Le mandat couvre tous nos produits pour toujours. » | Les mandats sont écrits, limités dans le temps et délimités par produit. Mettez-les à jour à chaque nouvelle ligne de produits, à chaque modification substantielle et à chaque changement de mandataire. |
| « Nous n'avons pas besoin de mandat CRA ; notre mandat MDR suffit. » | Le périmètre du mandat MDR est propre aux dispositifs médicaux et ne s'étend pas automatiquement aux obligations CRA. Re-rédigez un mandat dédié au CRA listant les tâches de garde documentaire et de coopération avec les autorités, les tâches supplémentaires éventuelles et les obligations que l'article 18, paragraphe 2 exclut. |
| « Le mandataire est responsable des défauts produit. » | Le mandataire exécute les tâches énumérées dans le mandat. L'article 18 ne règle pas la responsabilité du fait des produits défectueux : demandez un avis juridique et rédigez le mandat avec soin. |
Foire aux questions
La désignation d'un mandataire est-elle obligatoire au titre du CRA ?
Non. Le CRA rend la désignation facultative, même pour les fabricants établis hors de l'Union. Le libellé est permissif : un fabricant peut désigner un mandataire par mandat écrit. Le MDR peut encore imposer un mandataire aux fabricants hors UE de dispositifs médicaux lorsque ce régime s'applique ; la RED peut impliquer un mandataire par mandat, mais ce n'est pas une obligation de désignation CRA.
Pourquoi un fabricant hors UE désignerait-il malgré tout un mandataire au titre du CRA ?
Pour la simplification opérationnelle, pas par obligation juridique. Un point de contact juridique unique établi dans l'Union réduit la friction avec les autorités de surveillance du marché, qui préfèrent souvent correspondre avec une entité de leur juridiction et dans leur langue. Le mandataire peut tenir localement la déclaration de conformité et la documentation technique pendant la durée de conservation requise. Beaucoup de fabricants hors UE utilisent déjà un mandataire MDR ou un représentant de conformité RED et trouvent plus simple d'étendre cet accord au périmètre CRA. Un mandataire UE nommé raccourcit aussi les cycles de réponse lorsque arrive une demande motivée d'autorité.
Que peut-on déléguer, ou non, à un mandataire CRA ?
L'article 18, paragraphe 2 écarte certaines obligations du mandat : l'article 13, paragraphes 1 à 11, qui comprend les exigences essentielles, l'analyse de risques, la gestion des vulnérabilités et les mises à jour de sécurité, l'établissement de la documentation technique et les procédures de la série de production. D'autres tâches peuvent figurer dans le mandat s'il les prévoit, par exemple réaliser ou organiser l'évaluation de la conformité, établir la déclaration de conformité ou assurer le signalement. Le mandat doit, au minimum, couvrir trois éléments : tenir la DoC et la documentation technique pendant au moins dix ans après la mise sur le marché, ou pendant la période d'assistance si elle est plus longue, ou pendant la période d'assistance si elle est plus longue, fournir aux autorités les informations et documents sur demande motivée, et coopérer aux mesures destinées à éliminer les risques.
Quelle est la différence entre un mandataire CRA et un importateur UE ?
Ce sont des rôles indépendants. L'importateur est une entité établie dans l'Union qui met sur le marché de l'Union un produit portant le nom ou la marque d'un fabricant hors UE ; il porte les obligations d'importateur, qu'un mandataire existe ou non. Le mandataire, lorsqu'il est désigné, prend en charge les tâches énumérées dans le mandat. Ces deux rôles ne se substituent pas : le rôle d'importateur est déclenché par la route commerciale, celui de mandataire par un mandat écrit. Une même entité UE peut détenir les deux, avec des documents séparés.
Mon importateur ou mon distributeur UE peut-il jouer le rôle de mandataire ?
Oui. Le CRA n'interdit pas à une même entité UE de cumuler un rôle commercial d'importateur ou de distributeur et un mandat de mandataire. Les fonctions restent juridiquement distinctes : l'importateur ou le distributeur porte des obligations issues de la relation commerciale d'approvisionnement, tandis que le mandataire porte des obligations issues d'un mandat écrit. Pour les cumuler, prévoyez un mandat CRA distinct, une responsabilité civile professionnelle suffisante pour les deux rôles et une délimitation contractuelle nette entre les fonctions.
Le mandataire est-il responsable des défauts produit ou seulement des obligations documentaires ?
Le mandataire exécute les tâches énumérées dans le mandat. L'article 18 ne règle pas la responsabilité du fait des produits défectueux, et les obligations du fabricant que le texte exclut ne peuvent pas être absorbées dans le mandat. Le droit national de certains États membres peut ajouter une exposition, le mandat doit donc être rédigé avec soin.
Un mandataire CRA équivaut-il à un mandataire MDR ou RED ?
Non. Les régimes se recoupent mais ne sont pas interchangeables. Le MDR rend la désignation obligatoire pour les fabricants hors UE de dispositifs médicaux et impose des obligations plus larges, propres au secteur médical, dont le signalement de vigilance. La RED utilise son propre cadre de mandataire et d'opérateurs économiques, mais ne rend pas la désignation CRA obligatoire. Le CRA, lui, la rend facultative, avec un minimum de documentation, de demandes des autorités et de coopération aux mesures correctives, et avec les exclusions de l'article 18, paragraphe 2. Un mandataire MDR ou représentant de conformité RED en place constitue un bon point de départ, mais le mandat doit être re-rédigé au périmètre CRA et tenir compte de ces exclusions.
Le mandataire signe-t-il la déclaration UE de conformité ?
Seulement si le mandat écrit le prévoit. L'article 18, paragraphe 2 exclut le premier alinéa de l'article 13, paragraphe 12, c'est-à-dire l'établissement de la documentation technique. L'établissement de la déclaration UE de conformité figure au troisième alinéa, que l'exclusion ne couvre pas. Consultez la page sur la déclaration de conformité pour voir comment un mandataire est nommé dans la déclaration. Dans tous les cas, le mandataire tient la DoC et la documentation technique à la disposition des autorités de surveillance du marché.
Peut-on changer de mandataire après désignation ?
Oui. Le mandat est un contrat entre le fabricant et le mandataire, et chaque partie peut y mettre fin dans les conditions prévues. Au changement, le nouveau mandataire reprend la garde de la documentation technique et de la déclaration de conformité, et le fabricant met à jour les coordonnées communiquées aux autorités de surveillance du marché. Prévoyez une étape de transfert explicite dans le modèle de mandat.