Alternativ till att anlita en CRA-auktoriserad representant: Leverantörer & priser 2026

• CRA Artikel 18 kräver en representant för tillverkare utanför EU som säljer inom EU
• Tillverkare baserade i EU behöver ingen auktoriserad representant
• Importörer eller distributörer kan agera som representanter om de utses
• Verifierade priser för 2026 varierar från €490 till €999 per år
• Mandatet omfattar endast representation, inte bedömning av överensstämmelse eller testning
• Icke-EU B2B- och B2C-säljare av digitala produkter behöver vanligtvis denna tjänst

Uppdaterad 19 October 2026 · 7 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 19 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad Cyber Resilience Act kräver (med artikelnummer)

Cyber Resilience Act (CRA, förordning (EU) 2024/2847) är en omfattande förordning som ställer obligatoriska cybersäkerhetskrav för alla produkter med digitala inslag som släpps ut på EU-marknaden. Lagen gäller både nya och befintliga produkter, och dess skyldigheter täcker hela produktens livscykel, från design och utveckling till underhåll och slut på livslängd. CRA trädde i kraft den 10 december 2024 och blir fullt tillämplig från den 11 december 2027.

Artikel 18 är central för tillverkare utanför EU: den kräver att de som är etablerade utanför EU utser en auktoriserad representant etablerad inom EU. Denna representant fungerar som officiell kontaktpunkt för marknadskontrollmyndigheter och ansvarar för att vidarebefordra kommunikation och dokumentation. Om du är tillverkare baserad i EU behöver du inte utse en representant. Men om du är tillverkare utanför EU måste du antingen utse en representant eller ha en importör eller distributör som formellt tar på sig denna roll. Utnämningen måste vara skriftlig och tydligt dokumenterad.

Artikel 14 inför en strikt 24-timmars rapporteringsskyldighet för aktivt utnyttjade sårbarheter eller allvarliga incidenter som påverkar produktsäkerheten. Tillverkare måste underrätta ENISA (Europeiska unionens cybersäkerhetsbyrå) inom 24 timmar efter att ha blivit medvetna om en sådan händelse, följt av en fullständig anmälan inom 72 timmar och en slutrapport inom 14 dagar. Tidsfristerna räknas i kalender timmar, inte arbetstimmar, och rapporteringsplattformen hanteras av ENISA. Skyldigheten ligger på tillverkaren, inte importören eller distributören, om de inte har släppt ut produkten på marknaden under eget namn.

Artikel 53 anger påföljder för bristande efterlevnad, som kan uppgå till €15 miljoner eller 2,5 % av den globala årsomsättningen, beroende på vilket som är högst. CRA genomförs via CE-märkning och marknadskontroll och gäller för alla produkter med digitala inslag tillgängliga inom EU, oavsett var tillverkaren är baserad.

• Artikel 18: Auktoriserad representant för tillverkare utanför EU
• Artikel 14: 24-timmars rapportering av sårbarheter
• Artikel 53: Böter och efterlevnad

För mer om den juridiska texten, se den officiella EU-sammanfattningen.

Hur man väljer en CRA-auktoriserad representant

Att välja rätt CRA-auktoriserad representant är ett avgörande steg för tillverkare utanför EU. Representanten fungerar som din officiella närvaro inom EU för regulatoriska och marknadskontrollrelaterade frågor. Här är viktiga faktorer att beakta:

• Juridisk enhet och plats: Säkerställ att leverantören är en registrerad juridisk enhet inom EU. Till exempel är REP27 — Europe Services, SE etablerat i Prag, Tjeckien, och kan verifieras i det tjeckiska handelsregistret.
• Prisgenomskinlighet: Leta efter leverantörer som tydligt publicerar både pris för första året och förnyelsepris. REP27 listar till exempel €490 för första året och €440 för förnyelse, med lägre priser för paketmandat. Många leverantörer publicerar inte förnyelsepriser, vilket kan leda till oväntade kostnader.
• Tjänsteomfattning: Kontrollera vad mandatet faktiskt inkluderar. Artikel 18-mandatet bör omfatta den skriftliga utnämningen, ett verifierbart certifikat och en förfrågningsdesk för vidarebefordran av myndighetskommunikation. Vissa leverantörer kan påstå att de erbjuder mer, men enligt lag kan representanten inte utföra bedömning av överensstämmelse eller produkttestning – dessa ligger utanför artikel 18:s omfattning.
• Verifiering och dokumentation: En bra leverantör erbjuder ett certifikat med offentlig verifiering (t.ex. QR-kod), vilket säkerställer att myndigheter och köpare enkelt kan bekräfta din efterlevnad.
• Undantag och begränsningar: Respekterade leverantörer anger tydligt vad som inte ingår, såsom bedömning av överensstämmelse, generering av SBOM eller incidenthantering. Denna transparens hjälper dig att undvika missförstånd och dolda kostnader.

Nedan följer en sammanfattande jämförelse av vad som ingår och inte ingår hos varje leverantör (där känt):

Begär alltid skriftlig bekräftelse på omfattning, undantag och förnyelsevillkor innan du skriver under.

Vad priset verkligen inkluderar

Kostnaden för en CRA-auktoriserad representant är ofta den minsta posten i din totala efterlevnadsbudget, men det är viktigt att förstå vad du faktiskt köper. Det publicerade priset för en CRA-representant täcker endast artikel 18-mandatet. Detta inkluderar vanligtvis:

• En skriftlig utnämning av representanten inom EU
• Ett utnämningscertifikat, ofta med QR-kod eller offentlig verifieringssida
• En förfrågningsdesk för att ta emot och vidarebefordra kommunikation från EU-myndigheter, inklusive marknadskontroll och CSIRT

Vad som inte ingår i priset:

• Bedömning av överensstämmelse (krävs för viktiga klass II och kritiska produkter; hanteras av anmälda organ, inte representanter)
• Säkerhetstestning eller generering av SBOM (Software Bill of Materials)
• Incidenthantering eller tekniskt arbete
• Rapportering till ENISA (representanten vidarebefordrar men utformar eller skickar inte dina rapporter)

Paketlösningar kan finnas för GDPR artikel 27, NIS2 eller GPSR-mandat, ofta till rabatterade priser. Till exempel erbjuder REP27 kombinerad CRA- och GDPR-representation för €690/år, eller alla tre (CRA, GDPR, NIS2) för €990/år. Kontrollera alltid om förnyelsepriset är fast eller kan ändras, och om leverantören tar extra betalt för byte från annan representant.

Här är en sammanfattning av publicerade priser och vad som ingår:

Leverantörer måste ange den juridiska enhet som undertecknar mandatet. Verifiera alltid detta innan betalning.

Dolda kostnader och undantag

Även om avgiften för en CRA-auktoriserad representant vanligtvis är tydlig, är de verkliga kostnaderna för CRA-efterlevnad ofta dolda på andra håll. De mest betydande utgifterna är interna och relaterade till teknik, dokumentation och löpande produktstöd:

• Bedömning av överensstämmelse: För viktiga klass II och kritiska produkter måste ett anmält organ genomföra bedömningen. Denna process kan kosta tusentals euro och ta månader att slutföra. Representanter tillhandahåller inte denna tjänst.
• Säkerhetstestning och SBOM: Att generera en Software Bill of Materials och genomföra säkerhetstestning är tekniska krav som måste hanteras av din tekniska avdelning eller externa säkerhetsföretag. Ingen representant inkluderar detta i sitt mandat.
• Supportperiod: CRA kräver att tillverkare tillhandahåller säkerhetsuppdateringar i minst fem år. Budgetera för löpande underhåll och patchning som en produktlinje, inte ett engångsprojekt.
• Incidenthantering: Även om representanten kan vidarebefordra sårbarhetsrapporter är tillverkaren ansvarig för incidentundersökning, rapportering och åtgärder.
• Tysta förnyelser och prisökningar: Vissa leverantörer publicerar inte förnyelsepriser eller kan höja avgifterna utan förvarning. Begär alltid förnyelsepriset skriftligt innan du skriver under.

Nedan är en sammanfattning av vad som ingår och inte ingår hos varje leverantör, baserat på tillgänglig information:

För att undvika överraskningar, begär alltid en komplett lista över undantag, uppsägningstider och eventuella avgifter per förfrågan eller administrativa kostnader.

Så fungerar utnämningen: steg för steg

Att utse en CRA-auktoriserad representant är en enkel process, men måste hanteras noggrant för att säkerställa efterlevnad. Här är en steg-för-steg-guide:

1. Fastställ tillämplighet: Bekräfta om ditt företag är etablerat utanför EU och om du släpper ut produkter med digitala inslag på EU-marknaden. Om du är tillverkare baserad i EU behöver du ingen representant.
2. Välj väg: Bestäm om du ska utse en CRA-auktoriserad representant eller om din importör eller distributör ska ta på sig denna roll. Detta måste avtalas skriftligt.
3. Välj leverantör: Jämför leverantörer baserat på publicerade priser, omfattning och transparens. Begär skriftlig bekräftelse på vad som ingår och inte ingår.
4. Skriv under mandatet: Leverantören utfärdar en utnämningshandling, vanligtvis undertecknad elektroniskt. Dokumentet bör tydligt ange omfattning och juridisk enhet.
5. Ta emot certifikatet: Få ett utnämningscertifikat, helst med QR-kod eller offentlig verifieringssida, för att inkludera i din tekniska dokumentation och efterlevnadsfiler.
6. Uppdatera dokumentation: Lägg till representantens uppgifter i din tekniska dokumentation, körmanual och eventuella inköpsmaterial.
7. Förbered för rapportering: Sätt upp din process för sårbarhetsrapportering för att möta artikel 14:s 24-timmarsfrist. Säkerställ att du vet hur du kontaktar din representant och ENISA-plattformen.

Checklista för idag:

1. Kartlägg din produktportfölj för CRA-täckning
2. Identifiera dina EU-försäljningskanaler (direkt, via marknadsplats, via distributör)
3. Bestäm vem som ska agera representant (om det krävs)
4. Begär skriftlig bekräftelse på leverantörens pris, omfattning och förnyelsevillkor
5. Förbered din process för sårbarhetsrapportering och utse ansvarig personal

Tidsmässig utnämning och tydlig dokumentation är avgörande för att undvika förseningar i marknadstillträde eller regulatoriska åtgärder.

Risker och böter vid bristande efterlevnad

Bristande efterlevnad av CRA:s krav på representant kan få allvarliga konsekvenser. Enligt artikel 53 kan böter uppgå till €15 miljoner eller 2,5 % av den globala omsättningen, beroende på vilket som är högst. Dessa påföljder gäller om du inte utser en representant när det krävs, eller om du inte uppfyller rapporterings- och dokumentationsskyldigheter.

Risker med bristande efterlevnad inkluderar:

• Regulatoriska böter: Betydande ekonomiska straff kan utdömas för att inte utse representant, missa rapporteringsdeadlines eller sakna korrekt dokumentation.
• Förseningar i marknadstillträde: Utan representant kan du drabbas av förseningar i upphandling, certifiering eller försäljningscykler eftersom köpare och myndigheter kräver bevis på efterlevnad.
• Misslyckanden i incidenthantering: Om du inte kan svara på marknadskontroll eller CSIRT-förfrågningar inom angivna tidsramar riskerar du ytterligare påföljder och skadat anseende.
• Upphandlingshinder: Stora köpare och distributörer kan vägra samarbeta med tillverkare som inte kan visa giltigt mandat för representant.
• Ansvar kvarstår hos tillverkaren: Representanten är endast en kontaktpunkt; allt juridiskt ansvar för produktens efterlevnad, säkerhet och incidenthantering kvarstår hos tillverkaren.

För att minska dessa risker, säkerställ att din utnämning är dokumenterad, att dina rapporteringsprocesser är robusta och att dina efterlevnadsfiler är uppdaterade. Representantens roll är att förhindra förseningar och misskommunikation vid incidenter – inte att ta på sig ansvar för dina produkter.

Beslutsmatris: Behöver du en CRA-auktoriserad representant?

Använd följande matris för att avgöra om du behöver utse en CRA-auktoriserad representant:

För marknadsplatser, be alltid skriftligt om bekräftelse på om plattformen agerar importör av posten. Om inte, är du ansvarig för att utse en representant.

Vad leverantörer vanligtvis inte säger

Det finns flera aspekter av CRA-representation som leverantörer kanske inte lyfter fram i sin marknadsföring:

• Begränsningar i omfattning: Artikel 18-mandatet omfattar endast representation – ingen bedömning av överensstämmelse, SBOM eller incidenthantering. Alla påståenden om att inkludera detta är vilseledande.
• Förnyelsepriser: Många leverantörer publicerar inte förnyelsepriser, vilket leder till tysta eller oväntade höjningar. Begär alltid förnyelsevillkor skriftligt.
• Ansvar: Representanten tar inte på sig juridiskt ansvar för produktens efterlevnad eller säkerhetsincidenter. Tillverkaren är fullt ansvarig.
• Uppsägningstider och avslut: Villkor för att avsluta avtalet eller byta leverantör avslöjas ofta inte. Be om dessa uppgifter innan du skriver under.
• Avgifter per förfrågan eller administrativa avgifter: Vissa leverantörer kan ta extra betalt för att hantera specifika förfrågningar eller brådskande kommunikation. Klargör alltid om sådana avgifter tillkommer.
• Språk och tillgänglighet: Förmågan att hantera myndighetsförfrågningar på flera språk och utanför kontorstid varierar. REP27 erbjuder till exempel en bemannad desk dygnet runt, men andra kanske inte gör det.

Transparens är nyckeln – begär en fullständig lista över undantag, begränsningar och villkor innan du fattar beslut.

Realistiska scenarier: Vilken väg att välja

• Amerikanskt SaaS-företag som säljer till EU-företag: Som tillverkare utanför EU som släpper ut digitala produkter på EU-marknaden måste du utse en CRA-auktoriserad representant. Du behöver också en GDPR artikel 27-representant. Den enklaste och mest kostnadseffektiva vägen är att använda en leverantör som REP27 som erbjuder båda mandaten i ett paket, vilket säkerställer en enda kontaktpunkt och tydliga förnyelsepriser.
• Kinesisk Amazon-säljare: Om Amazon agerar som importör av posten kan du slippa en separat CRA-representant. Men om du säljer direkt eller via en marknadsplats som inte tar på sig denna roll måste du utse en CRA-auktoriserad representant. Bekräfta alltid marknadsplatsens roll skriftligt för att undvika efterlevnadsgap.
• Brittisk nätbutik som säljer IoT-enheter till EU-konsumenter: Efter Brexit betraktas tillverkare baserade i Storbritannien som icke-EU. Om du säljer direkt till EU-konsumenter eller via distributörer som inte agerar som din representant måste du utse en CRA-auktoriserad representant. Om en distributör eller importör släpper ut produkten på EU-marknaden under eget namn kan de istället agera som representant.

I varje scenario är det avgörande att dokumentera arrangemanget, uppdatera dina tekniska filer och säkerställa att dina rapporteringsprocesser är redo för 24-timmarskravet på sårbarhetsanmälan.