Vendre depuis l'étranger ne vous sort pas du CRA
Un développeur basé hors UE qui vend son outil à des clients européens reste fabricant au sens de l'article 3, mêmes délais qu'en France.
Je reçois souvent la même question par email, depuis que le test de périmètre est en ligne : un éditeur installé hors de l’Union européenne est-il concerné par le Cyber Resilience Act ? La réponse ne dépend pas de son adresse.
Le fabricant n’a pas de frontière
L’article 3, point 13 définit le fabricant comme celui qui développe ou fabrique un produit, ou le fait développer, et le commercialise sous son nom ou sa marque, à titre onéreux, gratuit ou monétisé. Rien dans cette définition ne parle du pays où vit ce développeur.
Le cas d’un développeur basé au Canada
Prenons un développeur solo installé à Montréal. Il vend un outil en ligne de commande sur Gumroad, 9 $ par licence. La moitié de ses clients sont en France, en Allemagne, aux Pays-Bas.
Il n’a jamais eu de société en Europe. Il n’a pas de bureau, pas d’employé, pas d’adresse postale sur le continent. Il pense, à tort, que le règlement ne le concerne pas parce qu’il n’y est pas établi.
Le CRA s’applique au produit mis sur le marché de l’Union, pas à l’adresse de son auteur. Dès qu’un client européen achète et installe son outil, il place un produit sur le marché de l’UE au sens du règlement. Il devient fabricant, avec les mêmes obligations qu’un éditeur basé à Lyon.
Le règlement prévoit une option pour les fabricants hors UE : désigner un mandataire établi dans l’Union (article 18). C’est facultatif. Ça ne change ni le statut de fabricant ni les délais de notification, ça ajoute un point de contact local en plus.
Ce qui compte depuis le 11 septembre
Depuis le 11 septembre 2026, si une faille de son outil est activement exploitée, notre développeur de Montréal a les mêmes 24 heures pour l’alerte précoce et les mêmes 72 heures pour la notification complète que n’importe quel fabricant européen, au CSIRT coordinateur de l'État membre concerné et à l’ENISA. Le compte à rebours démarre quand il en a connaissance.
Aucune amende n’est attachée à ce délai avant le 11 décembre 2027, date à partir de laquelle l’article 64 s’applique aussi bien aux fabricants établis dans l’Union qu'à ceux qui vendent depuis l’extérieur.
Vérifier son propre cas
Le test de périmètre traite ce cas parmi d’autres, avec les articles cités à chaque réponse : https://crakit.eu/fr/champ-d-application/
Ce n’est pas un conseil juridique.
Ce n’est pas un conseil juridique.