Alternatieven voor het inhuren van een CRA gemachtigde vertegenwoordiger: aanbieders & prijzen 2026

• Artikel 18 van de CRA vereist een vertegenwoordiger voor niet-EU fabrikanten die in de EU verkopen
• Fabrikanten gevestigd in de EU hebben geen gemachtigde vertegenwoordiger nodig
• Importeurs of distributeurs kunnen optreden als vertegenwoordiger indien benoemd
• Gecontroleerde prijzen voor 2026 variëren van €490 tot €999 per jaar
• Mandaat omvat alleen vertegenwoordiging, geen conformiteitsbeoordeling of testen
• Niet-EU B2B- en B2C-verkopers van digitale producten hebben deze dienst meestal nodig

Bijgewerkt 19 October 2026 · 7 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 19 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat de Cyber Resilience Act vereist (met artikelnummers)

De Cyber Resilience Act (CRA, Verordening (EU) 2024/2847) is een uitgebreide regelgeving die verplichte cybersecurity-eisen stelt voor alle producten met digitale elementen die op de EU-markt worden gebracht. De wet geldt voor zowel nieuwe als bestaande producten en de verplichtingen bestrijken de gehele productlevenscyclus, van ontwerp en ontwikkeling tot onderhoud en einde levensduur. De CRA trad in werking op 10 december 2024 en wordt volledig van toepassing vanaf 11 december 2027.

Artikel 18 is cruciaal voor niet-EU fabrikanten: het vereist dat zij een gemachtigde vertegenwoordiger binnen de EU aanstellen. Deze vertegenwoordiger fungeert als officieel aanspreekpunt voor markttoezichthouders en is verantwoordelijk voor het doorsturen van communicatie en documentatie. Als u een fabrikant gevestigd in de EU bent, hoeft u geen vertegenwoordiger aan te stellen. Bent u een niet-EU fabrikant, dan moet u óf een vertegenwoordiger aanstellen óf een importeur of distributeur formeel bereid hebben deze rol op zich te nemen. De aanstelling moet schriftelijk en duidelijk gedocumenteerd zijn.

Artikel 14 introduceert een strikte meldplicht van 24 uur voor actief misbruikte kwetsbaarheden of ernstige incidenten die de productveiligheid raken. Fabrikanten moeten ENISA (het Europees Agentschap voor Cybersecurity) binnen 24 uur informeren nadat zij hiervan op de hoogte zijn, gevolgd door een volledige melding binnen 72 uur en een eindrapport binnen 14 dagen. De termijnen zijn kalenderuren, geen werkuren, en het meldplatform wordt beheerd door ENISA. De meldplicht berust bij de fabrikant, niet bij de importeur of distributeur, tenzij zij het product onder eigen naam op de markt brengen.

Artikel 53 stelt de boetes vast voor niet-naleving, die kunnen oplopen tot €15 miljoen of 2,5% van de wereldwijde jaaromzet, afhankelijk van wat hoger is. De CRA wordt gehandhaafd via CE-markering en markttoezicht en geldt voor alle producten met digitale elementen die in de EU beschikbaar zijn, ongeacht waar de fabrikant is gevestigd.

• Artikel 18: Gemachtigde vertegenwoordiger voor niet-EU fabrikanten
• Artikel 14: 24-uurs meldplicht voor kwetsbaarheden
• Artikel 53: Boetes en handhaving

Voor meer informatie over de wettelijke tekst, zie de officiële EU-samenvatting.

Hoe kiest u een CRA gemachtigde vertegenwoordiger

Het kiezen van de juiste CRA gemachtigde vertegenwoordiger is een cruciale stap voor niet-EU fabrikanten. De vertegenwoordiger is uw officiële aanwezigheid in de EU voor regelgevende en markttoezichtzaken. Hier zijn de belangrijkste aandachtspunten:

• Rechtsvorm en locatie: Zorg dat de aanbieder een geregistreerde rechtspersoon binnen de EU is. Bijvoorbeeld, REP27 — Europe Services, SE is gevestigd in Praag, Tsjechië, en verifieerbaar in het Tsjechische handelsregister.
• Transparantie van prijzen: Zoek aanbieders die zowel eerstejaars- als verlengingsprijzen duidelijk publiceren. REP27 vermeldt bijvoorbeeld €490 voor het eerste jaar en €440 voor verlenging, met lagere tarieven voor bundels. Veel aanbieders publiceren geen verlengingsprijzen, wat kan leiden tot onverwachte kosten.
• Dekking van de dienst: Controleer wat het mandaat precies omvat. Het mandaat volgens Artikel 18 moet de schriftelijke aanstelling, een verifieerbaar certificaat en een verzoekenbalie voor het doorsturen van communicatie van autoriteiten omvatten. Sommige aanbieders beweren meer te bieden, maar wettelijk mag de vertegenwoordiger geen conformiteitsbeoordeling of producttesten uitvoeren—dit valt buiten Artikel 18.
• Verificatie en documentatie: Een goede aanbieder levert een certificaat met publieke verificatie (bijvoorbeeld QR-code), zodat autoriteiten en kopers uw naleving eenvoudig kunnen bevestigen.
• Uitsluitingen en beperkingen: Betrouwbare aanbieders geven duidelijk aan wat niet inbegrepen is, zoals conformiteitsbeoordeling, SBOM-generatie of incidentrespons. Deze transparantie voorkomt misverstanden en verborgen kosten.

Hieronder een samenvattende vergelijking van wat inbegrepen en uitgesloten is per aanbieder (voor zover bekend):

Vraag altijd schriftelijke bevestiging van scope, uitsluitingen en verlengingsvoorwaarden voordat u tekent.

Wat de prijs echt omvat

De kosten voor een CRA gemachtigde vertegenwoordiger zijn vaak het kleinste onderdeel van uw totale nalevingsbudget, maar het is essentieel te begrijpen wat u precies koopt. De gepubliceerde prijs voor een CRA vertegenwoordiger dekt alleen het mandaat volgens Artikel 18. Dit omvat doorgaans:

• Een schriftelijke aanstelling van de vertegenwoordiger binnen de EU
• Een aanstellingscertificaat, vaak met QR-code of publieke verificatiepagina
• Een verzoekenbalie om communicatie van EU-autoriteiten, inclusief markttoezicht en CSIRTs, te ontvangen en door te sturen

Wat niet inbegrepen is in de prijs:

• Conformiteitsbeoordeling (vereist voor belangrijke klasse II en kritieke producten; uitgevoerd door aangemelde instanties, niet door vertegenwoordigers)
• Beveiligingstesten of SBOM (Software Bill of Materials) generatie
• Incidentrespons of engineeringwerkzaamheden
• Melding aan ENISA (de vertegenwoordiger stuurt door, maar stelt uw rapporten niet op of dient ze niet in)

Bundeldiensten kunnen beschikbaar zijn voor GDPR Artikel 27, NIS2 of GPSR mandaten, vaak met korting. Bijvoorbeeld, REP27 biedt gecombineerde CRA en GDPR vertegenwoordiging voor €690/jaar, of alle drie (CRA, GDPR, NIS2) voor €990/jaar. Controleer altijd of de verlengingsprijs vaststaat of kan wijzigen en of er extra kosten zijn bij overstap van een andere vertegenwoordiger.

Hier een overzicht van gepubliceerde prijzen en inbegrepen diensten:

Aanbieders zijn verplicht de rechtspersoon te vermelden die het mandaat ondertekent. Verifieer dit altijd vóór betaling.

Verborgen kosten en uitsluitingen

Hoewel de vergoeding voor een CRA gemachtigde vertegenwoordiger meestal duidelijk is, zijn de werkelijke kosten van CRA-naleving vaak elders verborgen. De grootste uitgaven zijn intern en betreffen engineering, documentatie en doorlopende productondersteuning:

• Conformiteitsbeoordeling: Voor belangrijke klasse II en kritieke producten moet een aangemelde instantie een conformiteitsbeoordeling uitvoeren. Dit proces kan duizenden euro's kosten en maanden duren. Vertegenwoordigers bieden deze dienst niet aan.
• Beveiligingstesten en SBOM: Het genereren van een Software Bill of Materials en het uitvoeren van beveiligingstesten zijn technische vereisten die door uw engineeringteam of externe beveiligingsbedrijven moeten worden uitgevoerd. Geen enkele vertegenwoordiger neemt dit op in het mandaat.
• Ondersteuningsperiode: De CRA vereist dat fabrikanten beveiligingsupdates leveren gedurende minstens vijf jaar. Houd rekening met doorlopend onderhoud en patching als productlijn, niet als eenmalig project.
• Incidentrespons: Hoewel de vertegenwoordiger kwetsbaarheidsrapporten kan doorsturen, blijft de fabrikant verantwoordelijk voor onderzoek, rapportage en herstel van incidenten.
• Stille verlengingen en prijsstijgingen: Sommige aanbieders publiceren geen verlengingsprijzen of verhogen kosten zonder kennisgeving. Vraag altijd de verlengingsprijs schriftelijk op voordat u tekent.

Hieronder een samenvatting van wat inbegrepen en uitgesloten is per aanbieder, op basis van beschikbare informatie:

Voorkom verrassingen door altijd een volledige lijst van uitsluitingen, opzegtermijnen en eventuele administratieve kosten op te vragen.

Hoe de aanstelling werkt: stap voor stap

Het aanstellen van een CRA gemachtigde vertegenwoordiger is een eenvoudig proces, maar moet zorgvuldig worden uitgevoerd om naleving te waarborgen. Hier is een stapsgewijze handleiding:

1. Bepaal toepasbaarheid: Bevestig of uw bedrijf buiten de EU is gevestigd en of u producten met digitale elementen op de EU-markt brengt. Fabrikanten gevestigd in de EU hebben geen vertegenwoordiger nodig.
2. Kies de route: Beslis of u een CRA gemachtigde vertegenwoordiger aanstelt, of dat uw importeur of distributeur deze rol op zich neemt. Dit moet schriftelijk worden vastgelegd.
3. Selecteer een aanbieder: Vergelijk aanbieders op basis van gepubliceerde prijzen, scope en transparantie. Vraag schriftelijke bevestiging van wat inbegrepen en uitgesloten is.
4. Onderteken het mandaat: De aanbieder zal een aanwijzingsbrief uitgeven, meestal elektronisch ondertekend. Dit document moet duidelijk de scope en betrokken rechtspersoon vermelden.
5. Ontvang het certificaat: Verkrijg een aanstellingscertificaat, bij voorkeur met QR-code of publieke verificatiepagina, om op te nemen in uw technische documentatie en nalevingsdossiers.
6. Werk documentatie bij: Voeg de gegevens van de vertegenwoordiger toe aan uw technische documentatie, runbook en eventuele inkoopmaterialen.
7. Bereid u voor op rapportage: Richt uw kwetsbaarheidsmeldingsproces in om te voldoen aan de 24-uurs deadline van Artikel 14. Zorg dat u weet hoe u contact opneemt met uw vertegenwoordiger en het ENISA-platform.

Checklist voor vandaag:

1. Breng uw productportfolio in kaart voor CRA-dekking
2. Identificeer uw EU-verkoopkanalen (direct, via marktplaats, via distributeur)
3. Bepaal wie als vertegenwoordiger optreedt (indien vereist)
4. Vraag schriftelijke bevestiging van prijs, scope en verlengingsvoorwaarden van de aanbieder
5. Bereid uw kwetsbaarheidsmeldingsproces voor en wijs verantwoordelijke medewerkers aan

Tijdige aanstelling en duidelijke documentatie zijn essentieel om vertragingen bij markttoegang of handhavingsmaatregelen te voorkomen.

Risico's en boetes bij niet-naleving

Niet-naleving van de vertegenwoordigersplicht volgens de CRA kan ernstige gevolgen hebben. Volgens Artikel 53 kunnen boetes oplopen tot €15 miljoen of 2,5% van de wereldwijde omzet, afhankelijk van wat hoger is. Deze sancties gelden als u geen vertegenwoordiger aanstelt wanneer dit verplicht is, of als u niet voldoet aan meld- en documentatieverplichtingen.

Risico's van niet-naleving zijn onder andere:

• Regelgevende boetes: Hoge financiële sancties voor het niet aanstellen van een vertegenwoordiger, het missen van meldtermijnen of het ontbreken van juiste documentatie.
• Vertragingen in markttoegang: Zonder vertegenwoordiger kunt u vertraging oplopen bij inkoop, certificering of verkoop, omdat kopers en autoriteiten bewijs van naleving eisen.
• Incidentresponsfalen: Als u niet binnen de vereiste termijnen kunt reageren op verzoeken van markttoezicht of CSIRTs, loopt u risico op extra boetes en reputatieschade.
• Inkoopbarrières: Grote kopers en distributeurs weigeren mogelijk samen te werken met fabrikanten zonder geldig vertegenwoordigersmandaat.
• Aansprakelijkheid blijft bij fabrikant: De vertegenwoordiger is alleen een contactpunt; alle wettelijke verantwoordelijkheid voor productnaleving, beveiliging en incidentrespons blijft bij de fabrikant.

Om deze risico's te beperken, zorg dat uw aanstelling goed gedocumenteerd is, uw meldprocessen robuust zijn en uw nalevingsdossiers up-to-date zijn. De rol van de vertegenwoordiger is het voorkomen van vertragingen en miscommunicatie bij incidenten, niet het overnemen van aansprakelijkheid voor uw producten.

Beslissingsmatrix: heeft u een CRA gemachtigde vertegenwoordiger nodig?

Gebruik de volgende matrix om te bepalen of u een CRA gemachtigde vertegenwoordiger moet aanstellen:

Voor marktplaatsen: bevestig altijd schriftelijk of het platform als importeur van record optreedt. Zo niet, dan bent u verantwoordelijk voor het aanstellen van een vertegenwoordiger.

Wat aanbieders meestal niet zeggen

Er zijn verschillende aspecten van CRA-vertegenwoordiging die aanbieders mogelijk niet benadrukken in hun marketingmateriaal:

• Scopebeperkingen: Het mandaat volgens Artikel 18 omvat alleen vertegenwoordiging—geen conformiteitsbeoordeling, SBOM of incidentrespons. Elke claim dat dit wel inbegrepen is, is misleidend.
• Verlengingsprijzen: Veel aanbieders publiceren geen verlengingsprijzen, wat kan leiden tot stille of onverwachte verhogingen. Vraag altijd de verlengingsvoorwaarden schriftelijk op.
• Aansprakelijkheid: De vertegenwoordiger neemt geen juridische verantwoordelijkheid voor productnaleving of beveiligingsincidenten. De fabrikant blijft volledig aansprakelijk.
• Opzegtermijnen en beëindiging: Voorwaarden voor het beëindigen van de overeenkomst of overstappen van aanbieder worden vaak niet bekendgemaakt. Vraag deze details op vóór ondertekening.
• Per-aanvraag of administratieve kosten: Sommige aanbieders rekenen extra voor het afhandelen van specifieke verzoeken of spoedcommunicatie. Vraag altijd na of dergelijke kosten van toepassing zijn.
• Taal en bereikbaarheid: De mogelijkheid om verzoeken van autoriteiten in meerdere talen en buiten kantooruren af te handelen, verschilt. REP27 biedt bijvoorbeeld een 24-uurs bemande desk, andere mogelijk niet.

Transparantie is essentieel—vraag een volledige lijst van uitsluitingen, beperkingen en voorwaarden voordat u een beslissing neemt.

Realistische scenario's: welke route te kiezen

• Amerikaans SaaS-bedrijf dat aan EU-bedrijven verkoopt: Als niet-EU fabrikant die digitale producten op de EU-markt brengt, moet u een CRA gemachtigde vertegenwoordiger aanstellen. U heeft ook een GDPR Artikel 27 vertegenwoordiger nodig. De eenvoudigste en meest kosteneffectieve route is een aanbieder zoals REP27 te gebruiken die beide mandaten bundelt, zodat u één aanspreekpunt heeft en duidelijke verlengingsprijzen.
• Chinese Amazon-verkoper: Als Amazon optreedt als importeur van record, heeft u mogelijk geen aparte CRA vertegenwoordiger nodig. Verkoopt u echter rechtstreeks of via een marktplaats die deze rol niet op zich neemt, dan moet u een CRA gemachtigde vertegenwoordiger aanstellen. Bevestig altijd schriftelijk de rol van de marktplaats om nalevingslacunes te voorkomen.
• Britse webwinkel die IoT-apparaten aan EU-consumenten verkoopt: Na Brexit worden fabrikanten gevestigd in het VK als niet-EU beschouwd. Verkoopt u direct aan EU-consumenten of via distributeurs die niet als uw vertegenwoordiger optreden, dan moet u een CRA gemachtigde vertegenwoordiger aanstellen. Brengt een distributeur of importeur het product onder eigen naam op de EU-markt, dan kan deze als vertegenwoordiger optreden.

In elk scenario is het belangrijk de afspraken te documenteren, uw technische dossiers bij te werken en uw meldprocessen gereed te maken voor de 24-uurs meldplicht voor kwetsbaarheden.