24 órás sérülékenység-jelentést nyújtó szolgáltatók: Piaci áttekintés & árak (2026)

• A 24 órás jelentési kötelezettség 2026.09.11-től érvényes digitális termékgyártókra (CRA 14. cikk)
• A REP27, kadano és Euverify kínálják a megfelelő képviseletet
• Árak: REP27-től 490 EUR/év, kadano 999 EUR/év, Euverify 590 GBP/év
• Szolgáltatások eltérőek: megbízás, jelentési csatorna, nincs műszaki vizsgálat vagy SBOM-készítés
• Nem kötelező importőröknek, forgalmazóknak vagy tisztán piactéri kereskedőknek

Frissítve 26 October 2026 · 4 ellenőrzött források

Összehasonlított szolgáltatók

Árak a szolgáltatók weboldalán közzétett információk alapján 26 October 2026, áfát nem tartalmazva, hacsak másként nincs feltüntetve. Minden sor a forrásához linkel.

Mit ír elő a törvény? (CRA 14. és 18. cikk)

Az EU Cyber Resilience Act (CRA) 2026. szeptember 11-től kötelezi a digitális elemeket tartalmazó termékek gyártóit, hogy a súlyosan kihasznált sérülékenységeket vagy súlyos biztonsági incidenseket 24 órán belül jelentsék (14. cikk). A jelentést az ENISA központi portálján keresztül kell megtenni, és a tagállam illetékes CSIRT-jének címezni. A határidők szigorúak: 24 óra az előzetes figyelmeztetésre, 72 óra az első teljes jelentésre, 14 nap a zárójelentésre. Az időmérés valós időben történik – éjjel, hétvégén és ünnepnapokon is.

Az EU-n kívüli gyártóknak a 18. cikk szerint képviselőt kell kijelölniük az EU-ban. Ez a képviselő a jelentési csatorna és az illetékes hatóságok kapcsolattartója. Képviselő nélkül a jelentés nem jogszerű. Az importőrök, forgalmazók és piactéri kereskedők (pl. Amazon, Etsy, eBay), akik nem saját néven forgalmaznak termékeket, mentesülnek a kötelezettség alól. A nem kereskedelmi nyílt forráskódú projektekre enyhébb jelentési szabályok vonatkoznak, de jelentési kötelezettségük megmarad.

• CRA 14. cikk: 24 órás előzetes figyelmeztetés, 72 órás teljes jelentés, 14 napos zárójelentés
• CRA 18. cikk: Képviselő kijelölése EU-n kívüli gyártóknak

A jelentési kötelezettséget kiváltó sérülékenység pontos meghatározása kulcsfontosságú: csak aktívan kihasznált vagy súlyos biztonsági incidens minősül jelentendőnek. Fel nem fedezett vagy nem kihasznált sérülékenységek nem jelentendők. A határidők betartásáért a gyártó felelős – késedelmek vagy hibás jelentések súlyos szankciókat vonhatnak maguk után.

Szolgáltatások összehasonlítása: Mi tartozik bele, mi nem?

A szolgáltatók jelentősen eltérnek átláthatóságban és a kínált szolgáltatások körében. A REP27 az egyetlen, amely minden árat közzétesz és pontosan felsorolja, mi tartozik a megbízásba, és mi nem. A megbízás magában foglalja a CRA 18. cikk szerinti jogi képviseletet, egy 24 órás európai ügyfélszolgálatot, a bejelentések fogadását és továbbítását az illetékes hatóságok felé, valamint a megbízás nyilvános hitelesítését. A REP27 kifejezetten nem végez műszaki vizsgálatokat, SBOM-készítést, megfelelőségértékelést vagy tesztelést – ezek a gyártó feladatai vagy külön megrendelést igényelnek.

A kadano és az Euverify árai nyilvánosak, de a szolgáltatások részletei, esetleges többletköltségek vagy kizárások „Kérésre” állapotban vannak. Érdemes szerződéskötés előtt írásban tisztázni, hogy pontosan milyen szolgáltatások tartoznak bele, és vannak-e külön díjak bizonyos műveletekért (pl. jelentésenként, nyelvenként, rendkívüli kérések esetén).

Fontos: A műszaki feldolgozás, SBOM (Software Bill of Materials) készítése és biztonsági ellenőrzések alapvetően nem részei a képviseleti árnak. Ezeket külön, szakosodott szolgáltatóknál kell megrendelni.

Döntési mátrix: Kinek mire van szüksége?

Hogy szüksége van-e CRA-képviselőre és 24 órás jelentésre, az az ellátási láncban betöltött szerepétől, székhelyétől és értékesítési struktúrájától függ. Az alábbi mátrix segít gyorsan tájékozódni:

Gyakorlati példák: Egy amerikai SaaS-szolgáltató, amely EU-s ügyfeleknek értékesít, képviselőt kell kijelöljön és be kell állítsa a 24 órás jelentést. Egy kínai IoT-gyártó, amely saját márkás termékeket értékesít az EU-ban, szintén köteles erre. Egy brit online áruház, amely csak kereskedőként működik és nem használ saját márkát, nem igényel képviselőt vagy 24 órás jelentést.

Vásárlói ellenőrzőlista: Így járjon el

1. Szerep ellenőrzése: Ön digitális elemeket tartalmazó termék gyártója, amelyet az EU-ban forgalmaznak?
2. Székhely megállapítása: Az Ön cége az EU-n kívül található?
3. Szolgáltató kiválasztása: Válasszon olyan szolgáltatót, amely közzéteszi az árakat és egyértelmű megbízást kínál. Ellenőrizze, hogy az ár minden szolgáltatást lefed-e, vagy lehetnek-e többletköltségek.
4. Szolgáltatások és kizárások írásbeli megerősítése: Szerződéskötés előtt kérje írásban a megbízás pontos tartalmát és kizárásait.
5. Belső folyamatok előkészítése: Határozza meg, ki felel a 24 órás jelentésért. Készítsen egy működési kézikönyvet egyértelmű felelősségekkel és jelentési sablonokkal.
6. Képviselő adatainak rögzítése: Jegyezze fel a képviselő adatait a megfelelőségi dokumentációban, és tájékoztassa a csapatot.
7. Jelentési folyamat tesztelése: A határidő előtt végezzen szimulációt a 24 órás jelentésről, hogy feltárja az esetleges hiányosságokat.
8. Rendszeres felülvizsgálat: Évente ellenőrizze, történt-e változás az értékesítési struktúrában vagy termékkínálatban, amely befolyásolhatja a jelentési kötelezettséget.

Ezzel az ellenőrzőlistával elkerülheti a tipikus hibákat és biztosíthatja a határidőre való megfelelést.

Mit nem mondanak el a szolgáltatók (kizárások, határidők, díjak)

Sok szolgáltató nem kommunikál nyíltan arról, hogy pontosan mi tartozik a megbízásba és mi nem. A REP27 kifejezetten felsorolja, hogy a műszaki vizsgálatok, megfelelőségértékelés, SBOM-készítés és tesztelés nem része a megbízásnak. Kizárt továbbá az olyan kiegészítő szolgáltatás, mint sablonok készítése, műszaki elemzés támogatása vagy ügyfélkommunikáció.

• A REP27 ár fix, nincs rejtett díj. A megújítás ára előre ismert és változás esetén előzetes értesítés szükséges.
• A kadano és az Euverify esetében nincs információ többletköltségekről, felmondási határidőkről vagy felelősségkorlátozásról. Ezeket érdemes külön megkérdezni.
• A jelentési határidők betartásáért és a jelentés minőségéért mindig a gyártó felel. A képviselő csak fogadja és továbbítja a jelentést, nem végez műszaki értékelést.
• A REP27-nél a megbízás kiadása 24 órán belül történik, más szolgáltatóknál ez „Kérésre” állapotban van.

Gyakori tévhit: a megbízás nem fedi le a teljes CRA-megfelelést. A költséges és összetett feladatokat (pl. megfelelőségértékelés, műszaki dokumentáció, SBOM) külön kell megszervezni. Felkészületlenség esetén késedelmek és bírságok fenyegetnek.

Három gyakorlati példa: Ki mit kell tegyen?

• USA SaaS szolgáltató: Egy amerikai cég felhőalapú szoftvert kínál európai vállalatoknak. Mivel digitális termékgyártóként az EU-ban értékesít, képviselőt kell kijelölnie. A 24 órás jelentés a képviselőn keresztül történik, aki a megbízásban világosan szerepel. A szolgáltatónak belső felelősöket kell kijelölnie és jelentési sablonokat kell készítenie.
• Kínai Amazon-kereskedő: Egy kínai cég saját márkás IoT eszközöket értékesít közvetlenül az EU végfelhasználóinak. Itt is kötelező a képviselő kijelölése a CRA 18. cikk szerint. A jelentés a képviselőn keresztül történik. Ha csak kereskedőként működik és nem saját márkát használ, a kötelezettség nem áll fenn.
• Brit online bolt: Egy brit webshop harmadik fél termékeit értékesíti az EU-ban, de nem saját márkásként. Ebben az esetben nincs 24 órás jelentési vagy képviseleti kötelezettség, mert nem gyártó. A felelősség a tényleges gyártónál van.

Ezek a példák jól mutatják, mennyire fontos a pontos szerepkör meghatározása. Hibás besorolás felesleges költségekhez vagy megfelelési hiányosságokhoz vezethet.