Un revendeur informatique qui appose son logo sur un firewall ou personnalise un logiciel de détection d’intrusion ne se contente plus de distribuer un produit. Depuis l’entrée en vigueur du Cyber Resilience Act (CRA) en décembre 2024, ce geste peut le faire basculer du statut de distributeur à celui de fabricant, avec les obligations qui vont avec. Cette frontière floue entre intermédiaire et responsable redéfinit le quotidien de la distribution IT en Europe.
Marque propre et modification substantielle : quand le distributeur devient fabricant
Le CRA distingue trois rôles dans la mise sur le marché d’un produit numérique : fabricant, importateur et distributeur. Chacun porte des obligations spécifiques. Le distributeur vérifie le marquage CE, s’assure que les informations requises sont disponibles et réagit s’il soupçonne un défaut de conformité ou un risque de cybersécurité.
La bascule survient dans deux cas précis. Premier cas : un distributeur vend un produit sous sa propre marque. Second cas : il effectue une modification substantielle du produit, par exemple en reconfigurant un firmware ou en intégrant un module logiciel tiers qui change le comportement de l’appareil. Dans ces deux situations, le CRA le considère comme fabricant.
Pourquoi cette distinction compte-t-elle pour les entreprises clientes ? Parce qu’un fabricant doit garantir la conformité du produit pendant tout son cycle de vie, fournir des mises à jour de sécurité et signaler les vulnérabilités activement exploitées. Un distributeur qui rebrand un switch réseau ou une appliance de sécurité sans mesurer cette responsabilité s’expose à des sanctions et fragilise ses clients.
Des acteurs comme Transtec, distributeur informatique et cybersécurité, documentent cette évolution du rôle de la distribution face aux nouvelles exigences réglementaires européennes.
Obligations du CRA pour les distributeurs informatiques : calendrier et points de contrôle
Le règlement européen ne s’applique pas d’un bloc. Les échéances sont échelonnées, ce qui laisse aux distributeurs le temps de restructurer leurs processus, mais rend aussi la préparation immédiate plus pertinente qu’une simple veille.
Les obligations générales de conformité des produits s’appliqueront à partir de décembre 2027. Certaines obligations de signalement, notamment la notification de vulnérabilités, commenceront plus tôt. Un distributeur qui attend la dernière minute pour auditer ses fournisseurs ou centraliser sa documentation technique prend un risque opérationnel réel.
Concrètement, voici ce que le CRA attend d’un distributeur avant de mettre un produit numérique à disposition :
- Vérifier que le produit porte le marquage CE et que la déclaration de conformité est accessible, y compris les informations sur les mises à jour de sécurité prévues par le fabricant.
- Réagir dès qu’il existe des raisons de croire qu’un produit distribué n’est pas conforme ou présente un risque de cybersécurité, en informant le fabricant et les autorités de surveillance du marché.
- Mettre en place un processus interne de collecte documentaire et de gestion des alertes fournisseurs, pour ne pas dépendre d’une communication ad hoc au cas par cas.
Ces obligations transforment le contrôle fournisseur en enjeu opérationnel quotidien pour le distributeur, bien au-delà d’une simple vérification administrative à la commande.
Directive NIS2 et chaîne d’approvisionnement : la sécurité comme sujet de gouvernance
Le CRA n’est pas le seul texte à modifier la donne. La transposition française de la directive NIS2, examinée par les parlementaires, introduit la sécurité de la chaîne d’approvisionnement parmi les mesures de gestion des risques. Ce point figure aux côtés de la sécurité des accès et des ressources humaines.
Pour un distributeur informatique, cette évolution a une conséquence directe : la sécurité de la supply chain devient un sujet de direction générale, pas seulement un critère technique traité par l’équipe achat. Le texte prévoit une gestion des risques supervisée par la direction, ainsi que des notifications d’incidents aux autorités compétentes.
Tous les distributeurs informatiques ne sont pas automatiquement concernés par NIS2. La qualification dépendra du périmètre retenu par la loi et des textes d’application, en fonction de l’activité et de la taille de l’entité. Les acteurs des services numériques figurent parmi les secteurs visés, ce qui inclut potentiellement une partie significative de la distribution IT spécialisée.
Évaluation des fournisseurs et traçabilité des avis de sécurité
Un distributeur qui référence plusieurs centaines de produits doit structurer la circulation des avis de sécurité émis par ses fournisseurs. Quand un éditeur publie un correctif critique pour une vulnérabilité, le distributeur doit être capable d’identifier rapidement quels clients utilisent le produit concerné et de relayer l’information.
La traçabilité des produits distribués devient un investissement de cybersécurité, pas seulement un outil logistique. Les organisations clientes attendent de leur distributeur qu’il joue ce rôle de relais, parce qu’elles n’ont pas toujours la visibilité sur l’ensemble de leur parc matériel et logiciel.
Distributeur informatique et cybersécurité : au-delà de la revente de licences
Le modèle historique du distributeur comme intermédiaire logistique entre un fabricant et un revendeur perd en pertinence. Les entreprises attendent désormais des services de formation, d’accompagnement à la conformité et de veille sur les menaces.
Un distributeur qui se limite à référencer des solutions de protection sans comprendre les obligations réglementaires de ses clients ne remplit qu’une partie de sa mission. La valeur ajoutée se situe dans la capacité à traduire la réglementation en choix produits concrets.
Par exemple, une PME qui déploie des objets connectés dans ses entrepôts a besoin de savoir si ces produits seront conformes au CRA en décembre 2027. Le distributeur qui sait répondre à cette question, documentation à l’appui, apporte un service que le cloud ou une marketplace ne remplacent pas.
Le marché de la cybersécurité continue de croître, porté par la multiplication des menaces (rançongiciels, hameçonnage, attaques sur les systèmes industriels) et par le durcissement réglementaire. Dans ce contexte, les distributeurs qui investissent dans la formation de leurs équipes et dans des outils de traçabilité documentaire se positionnent comme des partenaires de gouvernance numérique, et plus seulement comme des fournisseurs de boîtes.
La frontière entre distribuer et fabriquer, entre relayer et garantir, se déplace. Les textes européens accélèrent ce mouvement. Les distributeurs qui l’anticipent protègent leurs clients autant qu’eux-mêmes.
