Alternativas para Contratar um Representante Autorizado CRA: Provedores & Preços 2026

• O Artigo 18 do CRA exige um representante para fabricantes não pertencentes à UE que vendem na UE
• Fabricantes baseados na UE não precisam de representante autorizado
• Importadores ou distribuidores podem atuar como representantes se nomeados
• Preços verificados para 2026 variam de €490 a €999 por ano
• O mandato cobre apenas a representação, não avaliação de conformidade ou testes
• Vendedores não pertencentes à UE B2B e B2C de produtos digitais geralmente precisam deste serviço

Atualizado 19 October 2026 · 7 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 19 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que o Cyber Resilience Act Exige (com Números dos Artigos)

O Cyber Resilience Act (CRA, Regulamento (UE) 2024/2847) é uma regulamentação abrangente que estabelece requisitos obrigatórios de cibersegurança para todos os produtos com elementos digitais colocados no mercado da UE. A lei aplica-se tanto a produtos novos quanto existentes, e suas obrigações cobrem todo o ciclo de vida do produto, desde o design e desenvolvimento até a manutenção e fim de vida. O CRA entrou em vigor em 10 de dezembro de 2024 e torna-se totalmente aplicável a partir de 11 de dezembro de 2027.

O Artigo 18 é central para fabricantes não pertencentes à UE: exige que aqueles estabelecidos fora da UE nomeiem um representante autorizado estabelecido dentro da UE. Esse representante atua como ponto de contato oficial para as autoridades de vigilância do mercado e é responsável por encaminhar comunicações e documentação. Se você é um fabricante baseado na UE, não precisa nomear um representante. Contudo, se for fabricante não pertencente à UE, deve nomear um representante ou ter um importador ou distribuidor disposto a assumir formalmente esse papel. A nomeação deve ser por escrito e claramente documentada.

O Artigo 14 introduz uma exigência rigorosa de notificação em 24 horas para vulnerabilidades exploradas ativamente ou incidentes graves que afetem a segurança do produto. Os fabricantes devem notificar a ENISA (Agência da União Europeia para a Cibersegurança) dentro de 24 horas após tomar conhecimento do evento, seguida de uma notificação completa em 72 horas e um relatório final em 14 dias. Os prazos são em horas corridas, não em horas úteis, e a plataforma de notificação é gerida pela ENISA. O dever recai sobre o fabricante, não sobre o importador ou distribuidor, a menos que tenham colocado o produto no mercado sob seu próprio nome.

O Artigo 53 estabelece as penalidades por não conformidade, que podem chegar a €15 milhões ou 2,5% do faturamento global anual, o que for maior. O CRA é aplicado por meio da marcação CE e vigilância do mercado, e aplica-se a todos os produtos com elementos digitais disponíveis na UE, independentemente de onde o fabricante esteja estabelecido.

• Artigo 18: Representante autorizado para fabricantes não pertencentes à UE
• Artigo 14: Notificação de vulnerabilidades em 24 horas
• Artigo 53: Multas e aplicação

Para mais sobre o texto legal, veja o resumo oficial da UE.

Como Escolher um Representante Autorizado CRA

Escolher o representante autorizado CRA correto é um passo crítico para fabricantes não pertencentes à UE. O representante serve como sua presença oficial na UE para assuntos regulatórios e de vigilância do mercado. Aqui estão os fatores principais a considerar:

• Entidade Legal e Localização: Certifique-se de que o provedor seja uma entidade legal registrada na UE. Por exemplo, REP27 — Europe Services, SE está estabelecida em Praga, República Tcheca, e é verificável no registro comercial tcheco.
• Transparência de Preços: Procure provedores que publiquem claramente os preços do primeiro ano e de renovação. REP27, por exemplo, lista €490 para o primeiro ano e €440 para renovação, com tarifas menores para mandatos combinados. Muitos provedores não publicam preços de renovação, o que pode levar a custos inesperados.
• Escopo do Serviço: Verifique o que o mandato realmente inclui. O mandato do Artigo 18 deve cobrir a nomeação por escrito, um certificado verificável e uma central de solicitações para encaminhar comunicações das autoridades. Alguns provedores podem alegar oferecer mais, mas por lei, o representante não pode realizar avaliação de conformidade ou testes de produto — estes estão fora do escopo do Artigo 18.
• Verificação e Documentação: Um bom provedor oferece um certificado com verificação pública (ex.: código QR), garantindo que autoridades e compradores possam confirmar facilmente sua conformidade.
• Exclusões e Limitações: Provedores reputados deixarão claro o que não está incluído, como avaliação de conformidade, geração de SBOM ou resposta a incidentes. Essa transparência ajuda a evitar mal-entendidos e custos ocultos.

Abaixo está um resumo comparativo do que está incluído e excluído por cada provedor (quando conhecido):

Sempre solicite confirmação por escrito do escopo, exclusões e termos de renovação antes de assinar.

O Que o Preço Realmente Inclui

O custo de um representante autorizado CRA é frequentemente o menor item no seu orçamento geral de conformidade, mas é essencial entender o que você está realmente comprando. O preço publicado para um representante CRA cobre apenas o mandato do Artigo 18. Isso normalmente inclui:

• Uma nomeação por escrito do representante na UE
• Um certificado de nomeação, frequentemente com código QR ou página de verificação pública
• Uma central de solicitações para receber e encaminhar comunicações das autoridades da UE, incluindo vigilância do mercado e CSIRTs

O que não está incluído no preço:

• Avaliação de conformidade (exigida para produtos importantes classe II e críticos; realizada por organismos notificados, não representantes)
• Testes de segurança ou geração de SBOM (Software Bill of Materials)
• Resposta a incidentes ou trabalho de engenharia
• Relatórios para ENISA (o representante encaminha, mas não cria nem submete seus relatórios)

Serviços combinados podem estar disponíveis para mandatos do Artigo 27 do GDPR, NIS2 ou GPSR, frequentemente com desconto. Por exemplo, REP27 oferece representação combinada CRA e GDPR por €690/ano, ou os três (CRA, GDPR, NIS2) por €990/ano. Sempre verifique se o preço de renovação é fixo ou sujeito a alterações, e se o provedor cobra extra para troca de representante.

Aqui está um resumo dos preços publicados e inclusões:

Os provedores são obrigados a indicar a entidade legal que assina o mandato. Sempre verifique isso antes do pagamento.

Custos Ocultos e Exclusões

Embora a taxa para um representante autorizado CRA seja geralmente clara, os custos reais da conformidade CRA muitas vezes estão ocultos em outras áreas. As despesas mais significativas são internas e relacionadas à engenharia, documentação e suporte contínuo ao produto:

• Avaliação de Conformidade: Para produtos importantes classe II e críticos, um organismo notificado deve realizar a avaliação de conformidade. Esse processo pode custar milhares de euros e levar meses para ser concluído. Representantes não prestam esse serviço.
• Testes de Segurança e SBOM: Gerar um Software Bill of Materials e realizar testes de segurança são requisitos técnicos que devem ser tratados pela sua equipe de engenharia ou empresas externas de segurança. Nenhum representante inclui isso em seu mandato.
• Período de Suporte: O CRA exige que fabricantes forneçam atualizações de segurança por pelo menos cinco anos. Planeje orçamento para manutenção e correções contínuas como uma linha de produto, não como projeto único.
• Resposta a Incidentes: Embora o representante possa encaminhar relatórios de vulnerabilidades, o fabricante permanece responsável pela investigação, relato e remediação de incidentes.
• Renovações Silenciosas e Aumentos de Preço: Alguns provedores não publicam preços de renovação ou podem aumentar taxas sem aviso. Sempre obtenha o preço de renovação por escrito antes de assinar.

Abaixo está um resumo do que está incluído e excluído por cada provedor, com base nas informações disponíveis:

Para evitar surpresas, sempre peça uma lista completa de exclusões, prazos para rescisão e quaisquer taxas administrativas ou por solicitação.

Como Funciona a Nomeação: Passo a Passo

Nomear um representante autorizado CRA é um processo simples, mas deve ser tratado com cuidado para garantir conformidade. Aqui está um guia passo a passo:

1. Determine a Aplicabilidade: Confirme se sua empresa está estabelecida fora da UE e se você coloca produtos com elementos digitais no mercado da UE. Se for fabricante baseado na UE, não precisa de representante.
2. Escolha o Caminho: Decida se vai nomear um representante autorizado CRA ou se seu importador ou distribuidor assumirá esse papel. Isso deve ser acordado por escrito.
3. Selecione um Provedor: Compare provedores com base em preços publicados, escopo e transparência. Solicite confirmação por escrito do que está incluído e excluído.
4. Assine o Mandato: O provedor emitirá uma carta de designação, geralmente assinada eletronicamente. Este documento deve indicar claramente o escopo e a entidade legal envolvida.
5. Receba o Certificado: Obtenha um certificado de nomeação, idealmente com código QR ou página de verificação pública, para incluir na sua documentação técnica e arquivos de conformidade.
6. Atualize a Documentação: Adicione os dados do representante à sua documentação técnica, runbook e quaisquer materiais de aquisição.
7. Prepare-se para a Notificação: Configure seu processo de notificação de vulnerabilidades para cumprir o prazo de 24 horas do Artigo 14. Certifique-se de saber como contatar seu representante e a plataforma ENISA.

Checklist para Hoje:

1. Mapear seu portfólio de produtos para cobertura CRA
2. Identificar seus canais de venda na UE (direto, via marketplace, via distribuidor)
3. Decidir quem atuará como representante (se necessário)
4. Solicitar confirmação por escrito do preço, escopo e termos de renovação do provedor
5. Preparar seu processo de notificação de vulnerabilidades e designar equipe responsável

Nomeação oportuna e documentação clara são essenciais para evitar atrasos no acesso ao mercado ou ações regulatórias.

Riscos e Multas por Não Conformidade

A não conformidade com a exigência de representante do CRA pode ter consequências graves. Segundo o Artigo 53, multas podem chegar a €15 milhões ou 2,5% do faturamento global anual, o que for maior. Essas penalidades aplicam-se se você não nomear um representante quando exigido, ou se não cumprir obrigações de notificação e documentação.

Os riscos da não conformidade incluem:

• Multas Regulatórias: Penalidades financeiras substanciais podem ser impostas por não nomear representante, perder prazos de notificação de vulnerabilidades ou falta de documentação adequada.
• Atrasos no Acesso ao Mercado: Sem representante, você pode enfrentar atrasos em processos de aquisição, certificação ou ciclos de venda, pois compradores e autoridades exigem prova de conformidade.
• Falhas na Resposta a Incidentes: Se não conseguir responder a solicitações de vigilância do mercado ou CSIRT dentro dos prazos, corre risco de penalidades adicionais e danos reputacionais.
• Barreiras de Aquisição: Grandes compradores e distribuidores podem recusar trabalhar com fabricantes que não demonstrem mandato válido de representante.
• A Responsabilidade Continua com o Fabricante: O representante é apenas um ponto de contato; toda responsabilidade legal pela conformidade do produto, segurança e resposta a incidentes permanece com o fabricante.

Para mitigar esses riscos, assegure que sua nomeação esteja documentada, seus processos de notificação sejam robustos e seus arquivos de conformidade estejam atualizados. O papel do representante é evitar atrasos e falhas de comunicação durante incidentes — não absorver a responsabilidade pelos seus produtos.

Matriz de Decisão: Você Precisa de um Representante Autorizado CRA?

Use a seguinte matriz para determinar se você precisa nomear um representante autorizado CRA:

Para marketplaces, sempre confirme por escrito se a plataforma atua como importador de registro. Caso contrário, você é responsável por nomear um representante.

O Que os Provedores Geralmente Não Dizem

Existem vários aspectos da representação CRA que os provedores podem não destacar em seus materiais de marketing:

• Limitações de Escopo: O mandato do Artigo 18 cobre apenas representação — sem avaliação de conformidade, SBOM ou resposta a incidentes. Qualquer alegação de incluir esses serviços é enganosa.
• Preços de Renovação: Muitos provedores não publicam preços de renovação, levando a aumentos silenciosos ou inesperados. Sempre obtenha os termos de renovação por escrito.
• Responsabilidade: O representante não assume responsabilidade legal pela conformidade do produto ou incidentes de segurança. O fabricante permanece totalmente responsável.
• Prazos de Aviso e Rescisão: Termos para encerrar o acordo ou trocar de provedor frequentemente não são divulgados. Pergunte sobre esses detalhes antes de assinar.
• Taxas por Solicitação ou Administrativas: Alguns provedores podem cobrar taxas extras para tratar solicitações específicas ou comunicações urgentes. Sempre esclareça se tais taxas se aplicam.
• Idioma e Disponibilidade: A capacidade de atender solicitações das autoridades em vários idiomas e fora do horário comercial varia. REP27, por exemplo, oferece central 24 horas com equipe, mas outros podem não oferecer.

Transparência é fundamental — solicite uma lista completa de exclusões, limitações e termos antes de decidir.

Cenários Realistas: Qual Caminho Seguir

• Empresa SaaS dos EUA vendendo para negócios na UE: Como fabricante não pertencente à UE que coloca produtos digitais no mercado da UE, você deve nomear um representante autorizado CRA. Também precisa de um representante do Artigo 27 do GDPR. A rota mais simples e econômica é usar um provedor como REP27 que oferece ambos os mandatos em pacote, garantindo um único ponto de contato e preços claros de renovação.
• Vendedor chinês na Amazon: Se a Amazon atua como importador de registro, talvez você não precise de representante CRA separado. Contudo, se vender diretamente ou via marketplace que não assume esse papel, deve nomear um representante autorizado CRA. Sempre confirme o papel do marketplace por escrito para evitar lacunas na conformidade.
• Loja online do Reino Unido vendendo dispositivos IoT para consumidores da UE: Após o Brexit, fabricantes baseados no Reino Unido são considerados não pertencentes à UE. Se vender diretamente para consumidores da UE ou via distribuidores que não atuam como seu representante, deve nomear um representante autorizado CRA. Se um distribuidor ou importador colocar o produto no mercado da UE sob seu próprio nome, ele pode atuar como representante.

Em cada cenário, o essencial é documentar o acordo, atualizar seus arquivos técnicos e garantir que seus processos de notificação estejam prontos para o requisito de notificação de vulnerabilidades em 24 horas.