La surveillance du marché

Les pouvoirs des autorités

Les autorités de surveillance du marché exercent les pouvoirs prévus par le règlement (UE) 2019/1020, tel que modifié par le CRA. Elles peuvent notamment :

• exiger le dossier technique et la déclaration UE de conformité ;
• demander toute information nécessaire pour établir la conformité ;
• acheter des produits dans le commerce, y compris sous une identité d’emprunt, pour les soumettre à des essais ;
• réaliser des inspections ;
• dans des cas justifiés, demander l’accès à des éléments du code source afin d’évaluer la conformité aux exigences essentielles, dans le respect de la confidentialité ;
• ordonner des mesures correctives, restreindre ou interdire la mise à disposition, ordonner le retrait ou le rappel.

La procédure « risque significatif »

Lorsqu’une autorité a des raisons suffisantes de considérer qu’un produit présente un risque significatif de cybersécurité, elle procède à une évaluation. Si la non-conformité est établie, elle enjoint à l’opérateur de prendre des mesures correctives adaptées dans un délai raisonnable.

Si l’opérateur n’agit pas, l’autorité restreint ou interdit la mise à disposition, ordonne le retrait ou le rappel, et informe la Commission et les autres États membres. S’ouvre alors une phase où les autres États peuvent objecter ; à défaut, la mesure est réputée justifiée et étendue.

Une procédure de sauvegarde de l’Union permet à la Commission d’intervenir en cas de désaccord entre États membres ou de risque à l’échelle de l’Union.

La non-conformité formelle

Distincte du risque : elle porte sur les manquements documentaires. Sont visés notamment :

• le marquage CE manquant ou apposé en violation des règles ;
• l’absence du numéro d’identification de l’organisme notifié lorsqu’il est requis ;
• la déclaration UE de conformité absente ou non conforme à l’annexe V ;
• la documentation technique indisponible, incomplète ou non conservée ;
• l’absence des coordonnées du fabricant ou du point de contact pour le signalement ;
• l’absence des informations à l’utilisateur de l’annexe II.

Elle donne lieu à injonction de régularisation et, si elle persiste, aux mêmes mesures que la non-conformité de fond.

Les opérations coordonnées

La Commission et le groupe de coopération administrative (ADCO) peuvent organiser des opérations de contrôle coordonné (sweeps), portant sur une catégorie de produits ou une exigence particulière, simultanément dans plusieurs États membres.

Ces campagnes sont annoncées et leurs résultats publiés. Elles constituent le mode de contrôle le plus probable pour les produits de grande diffusion.

Fiche réflexe : vous recevez une demande d’une autorité

À imprimer et à conserver avec les procédures de crise.

1. Accuser réception immédiatement, en confirmant l’interlocuteur unique côté entreprise — nommé à l’avance, avec un suppléant.
2. Qualifier la demande : quelle autorité, quel État membre, quel produit, quelle version, quel fondement juridique, quel délai de réponse.
3. Geler les preuves : figer les versions du dossier technique, du SBOM et des journaux correspondant à la version visée. Ne rien modifier rétroactivement.
4. Constituer la réponse : le dossier technique tel qu’il existait au moment de la mise sur le marché, la déclaration, et les pièces demandées — sans y ajouter de documents antidatés, ce qui relèverait de la fourniture d’informations trompeuses.
5. Faire valider par la direction juridique avant tout envoi.
6. Répondre dans le délai imparti, en demandant formellement une prorogation si le délai est intenable — une demande motivée vaut mieux qu’un silence.
7. Consigner l’intégralité des échanges dans le registre, avec horodatage.
8. Informer le comité et, si l’événement peut avoir un effet matériel, la direction générale.

Ce que révèle une demande

Une demande d’autorité est un test de votre archivage, pas de votre sécurité. La question n’est pas « votre produit est-il sûr ? » mais « pouvez-vous produire, en quelques jours, le dossier exact d’une version livrée il y a quatre ans ? ». La réponse se prépare des années à l’avance : voir Conservation des preuves.