Prendre des mesures correctives et coopérer avec la surveillance du marché

Si la non-conformité du produit aux exigences du CRA est constatée — même après la vente — une action immédiate est obligatoire. Selon le risque, le problème doit être corrigé par une mise à jour logicielle, le produit doit être retiré du marché, ou les unités déjà vendues doivent être rappelées. Si une autorité de surveillance du marché demande des informations ou le dossier technique, la coopération doit être totale et rapide.

Texte juridique

L'article 13(17) du règlement (UE) 2024/2847 dispose que les fabricants qui ont des raisons de considérer qu'un produit n'est pas conforme au présent règlement prennent immédiatement les mesures correctives nécessaires pour :

rendre le produit conforme, ou
le retirer du marché, ou
le rappeler

et en informent les autorités de surveillance du marché et les distributeurs.

L'article 13(18) exige que les fabricants fournissent aux autorités de surveillance du marché, sur demande, toutes les informations et la documentation nécessaires pour démontrer la conformité, dans une langue aisément compréhensible par ces autorités.

Exigences clés

Action immédiate — aucun délai une fois la non-conformité identifiée ; la réponse doit être proportionnée au niveau de risque
Choix de la mesure corrective — sélectionner la mesure appropriée :
- Mise à jour logicielle : pour les vulnérabilités ou non-conformités remédiables par correctif
- Retrait : cesser de mettre le produit à disposition (ventes futures)
- Rappel : pour les produits déjà dans la chaîne d'approvisionnement ou chez les utilisateurs finaux en cas de risque grave
Notification des autorités — informer les autorités de surveillance du marché des États membres concernés sans délai injustifié
Notification des distributeurs — informer les distributeurs en aval afin qu'ils cessent de vendre ou transmettent les informations aux clients
Documentation sur demande — fournir le dossier technique, les enregistrements de tests et la déclaration UE de conformité aux autorités de surveillance du marché sur demande, dans les délais fixés par celles-ci

Obligation de surveillance proactive

Cette obligation corrective est déclenchée non seulement par une action des autorités, mais aussi par la propre connaissance du fabricant, notamment :

Les résultats des tests internes
Les signalements de vulnérabilités par les utilisateurs
Les divulgations de CVE affectant le produit
Les données de surveillance post-commercialisation

Preuves éventuellement requises

Documentation du processus de surveillance post-commercialisation
Enregistrements des actions correctives (mises à jour publiées, retraits, rappels)
Notifications adressées aux autorités de surveillance du marché
Notifications adressées aux distributeurs et aux utilisateurs
Enregistrements de la correspondance avec les autorités de surveillance du marché