Les acteurs et leurs responsabilités
Les opérateurs économiques
Le fabricant
Il porte l’essentiel des obligations : concevoir conformément aux exigences essentielles, conduire l’analyse de risques, suivre la procédure d’évaluation, constituer le dossier technique, établir la déclaration UE de conformité, apposer le marquage CE, déterminer et respecter la période de support, traiter les vulnérabilités, signaler, informer les utilisateurs, coopérer avec les autorités, conserver les preuves.
Est fabricant toute personne physique ou morale qui développe ou fabrique un produit, ou qui le fait concevoir, développer ou fabriquer, et qui le commercialise sous son propre nom ou sa propre marque, à titre onéreux ou gratuit.
Le mandataire
Toute personne physique ou morale établie dans l’Union ayant reçu un mandat écrit du fabricant pour agir en son nom. Le mandat doit au moins lui permettre de tenir le dossier technique et la déclaration UE de conformité à disposition des autorités, de leur fournir les informations demandées et de coopérer.
Un fabricant établi hors de l’Union doit désigner un mandataire.
L’importateur
Il ne met sur le marché que des produits conformes. Avant de le faire, il vérifie que la procédure d’évaluation a été suivie, que le fabricant a constitué le dossier technique, que le marquage CE est apposé, que les informations à l’utilisateur sont fournies, et que le point de contact figure sur le produit. Il indique ses propres coordonnées. S’il a des raisons de croire à une non-conformité ou à un risque significatif, il en informe le fabricant et les autorités.
Le distributeur
Il agit avec la diligence requise : vérification de la présence du marquage CE, des informations à l’utilisateur et des coordonnées des opérateurs en amont. Il s’abstient de mettre à disposition un produit dont il sait ou devrait savoir qu’il n’est pas conforme.
La bascule de responsabilité
C’est le point le plus exposé pour une organisation qui revend ou personnalise.
Un importateur ou un distributeur est réputé fabricant — et assume donc toutes les obligations du fabricant — lorsqu’il met un produit sur le marché sous son propre nom ou sa propre marque, ou lorsqu’il apporte une modification substantielle à un produit déjà mis sur le marché.
Conséquences directes pour vos activités :
| Situation | Statut | Ce que cela implique |
|---|---|---|
| Vous revendez un produit tiers sous sa marque | Distributeur | Vérifications documentaires |
| Vous revendez un produit tiers sous votre marque (marque blanche, OEM) | Fabricant | Dossier technique, SBOM, marquage CE, période de support, signalement — tout |
| Vous intégrez un produit tiers dans votre solution | Fabricant de la solution | Idem, plus diligence sur le composant |
| Vous modifiez substantiellement un produit tiers | Fabricant | Idem, et nouvelle évaluation |
| Vous distribuez sans modification, sous la marque d’origine | Distributeur | Vérifications documentaires |
Cette table doit être confrontée au catalogue commercial avant toute autre action : elle révèle souvent des produits dont personne ne pensait que vous étiez le fabricant.
Les autorités
| Acteur | Rôle |
|---|---|
| Commission européenne | Actes délégués (mise à jour des annexes III et IV, obligation de certification des produits critiques) et actes d’exécution (spécifications communes, format du SBOM), orientations |
| ENISA | Opère la plateforme de signalement unique, contribue à la base européenne de vulnérabilités, produit des rapports techniques et un rapport bisannuel sur les tendances |
| CSIRT désignés coordinateurs | Destinataires des signalements dans chaque État membre, coordination de la divulgation, possibilité de différer la diffusion d’une notification pour un motif justifié |
| Autorités de surveillance du marché | Contrôles, demandes de dossier technique, essais, injonctions, restrictions, retraits, rappels |
| ADCO | Groupe de coopération administrative des autorités de surveillance : coordination, opérations conjointes, contrôles coordonnés |
| Autorités notifiantes | Désignent, notifient et surveillent les organismes d’évaluation de la conformité |
| Organismes notifiés | Réalisent les évaluations des modules B, C et H pour les produits qui ne peuvent pas s’auto-évaluer |
En France
Le règlement laisse aux États membres la désignation des autorités. Sont en cause : l’ANSSI, dont le positionnement en tant qu’autorité de surveillance du marché et le CERT-FR en tant que CSIRT coordinateur sont les hypothèses les plus documentées, et le cas échéant les administrations compétentes en matière de surveillance du marché des produits.
Page à tenir à jour. Les désignations nationales et leurs modalités pratiques — guichet, format des échanges, langue — sont un point permanent de la veille. Ne pas figer ici une organisation qui n’est pas encore officielle.