Ne pas mettre sur le marché des produits non conformes

En cas de doute quant à la conformité d'un produit aux exigences de cybersécurité du CRA, il doit être retenu hors du marché de l'UE jusqu'à ce que le problème soit résolu. Le seuil des « raisons de croire » est bas — il inclut les préoccupations résultant des propres vérifications de l'importateur, des réclamations de clients ou des informations communiquées par le fabricant.

Texte juridique

L'article 19(2) du règlement (UE) 2024/2847 dispose que lorsqu'un importateur considère ou a des raisons de croire qu'un produit comportant des éléments numériques n'est pas conforme aux exigences essentielles énoncées à l'Annexe I ou à toute autre exigence applicable du présent règlement, il ne met pas le produit sur le marché jusqu'à ce que le produit ait été mis en conformité avec ces exigences.

Lorsque le produit présente un risque significatif en matière de cybersécurité, l'importateur en informe également le fabricant et l'autorité de surveillance du marché compétente.

Exigences clés

Seuil bas — les « raisons de croire » ne requièrent pas de certitude ; le doute suffit à déclencher l'obligation de retenir le produit
Retenir jusqu'à la mise en conformité — le produit ne peut être mis sur le marché tant que la non-conformité n'est pas corrigée
Notifier le fabricant — informer le fabricant de la non-conformité identifiée
Escalader les risques significatifs — notifier l'autorité nationale de surveillance du marché si le produit présente un risque significatif en matière de cybersécurité

Preuves éventuellement requises

Enregistrements d'évaluation de la non-conformité
Correspondance avec le fabricant concernant le problème identifié
Journal des actions correctives et documentation des résultats
Notifications adressées aux autorités de surveillance du marché (le cas échéant)