Alternative all'assunzione di un rappresentante autorizzato CRA: fornitori e prezzi 2026

• L'articolo 18 del CRA richiede un rappresentante per i produttori non UE che vendono nell'UE
• I produttori con sede nell'UE non necessitano di un rappresentante autorizzato
• Importatori o distributori possono agire come rappresentanti se nominati
• I prezzi verificati per il 2026 variano da €490 a €999 all'anno
• Il mandato copre solo la rappresentanza, non la valutazione di conformità o i test
• I venditori non UE B2B e B2C di prodotti digitali generalmente necessitano di questo servizio

Aggiornato 19 ottobre 2026 · 7 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 19 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede il Cyber Resilience Act (con numeri di articolo)

Il Cyber Resilience Act (CRA, Regolamento (UE) 2024/2847) è una normativa completa che stabilisce requisiti obbligatori di cybersecurity per tutti i prodotti con elementi digitali immessi sul mercato UE. La legge si applica sia ai prodotti nuovi che esistenti, e le sue obbligazioni coprono l'intero ciclo di vita del prodotto, dalla progettazione e sviluppo alla manutenzione e fine vita. Il CRA è entrato in vigore il 10 dicembre 2024 e sarà pienamente applicabile dall'11 dicembre 2027.

Articolo 18 è centrale per i produttori non UE: richiede a chi è stabilito fuori dall'UE di nominare un rappresentante autorizzato con sede nell'UE. Questo rappresentante agisce come punto di contatto ufficiale per le autorità di sorveglianza del mercato ed è responsabile di inoltrare comunicazioni e documentazione. Se sei un produttore con sede nell'UE, non devi nominare un rappresentante. Tuttavia, se sei un produttore non UE, devi nominare un rappresentante oppure avere un importatore o distributore disposto a ricoprire formalmente questo ruolo. La nomina deve essere scritta e chiaramente documentata.

Articolo 14 introduce un rigoroso obbligo di segnalazione entro 24 ore per vulnerabilità attivamente sfruttate o gravi incidenti che riguardano la sicurezza del prodotto. I produttori devono notificare ENISA (l'Agenzia dell'Unione Europea per la Cybersecurity) entro 24 ore dalla conoscenza dell'evento, seguita da una notifica completa entro 72 ore e un rapporto finale entro 14 giorni. Le scadenze sono in ore di calendario, non lavorative, e la piattaforma di segnalazione è gestita da ENISA. L'obbligo ricade sul produttore, non sull'importatore o distributore, a meno che non abbiano immesso il prodotto sul mercato a proprio nome.

Articolo 53 stabilisce le sanzioni per la non conformità, che possono arrivare fino a €15 milioni o al 2,5% del fatturato annuo globale, a seconda di quale importo sia maggiore. Il CRA è applicato tramite marcatura CE e sorveglianza del mercato, e si applica a tutti i prodotti con elementi digitali disponibili nell'UE, indipendentemente dalla sede del produttore.

• Articolo 18: Rappresentante autorizzato per produttori non UE
• Articolo 14: Segnalazione vulnerabilità entro 24 ore
• Articolo 53: Sanzioni e applicazione

Per maggiori informazioni sul testo legale, consulta il riassunto ufficiale UE.

Come scegliere un rappresentante autorizzato CRA

Scegliere il rappresentante autorizzato CRA giusto è un passaggio critico per i produttori non UE. Il rappresentante funge da tua presenza ufficiale nell'UE per questioni regolamentari e di sorveglianza del mercato. Ecco i fattori chiave da considerare:

• Entità legale e sede: Assicurati che il fornitore sia un'entità legale registrata nell'UE. Ad esempio, REP27 — Europe Services, SE è stabilita a Praga, Repubblica Ceca, e verificabile nel registro commerciale ceco.
• Trasparenza dei prezzi: Cerca fornitori che pubblichino chiaramente prezzi per il primo anno e per il rinnovo. REP27, per esempio, indica €490 per il primo anno e €440 per il rinnovo, con tariffe inferiori per mandati combinati. Molti fornitori non pubblicano i prezzi di rinnovo, il che può portare a costi imprevisti.
• Ambito del servizio: Verifica cosa include effettivamente il mandato. Il mandato dell'articolo 18 dovrebbe coprire la nomina scritta, un certificato verificabile e uno sportello richieste per inoltrare comunicazioni delle autorità. Alcuni fornitori potrebbero dichiarare di offrire di più, ma per legge il rappresentante non può effettuare valutazioni di conformità o test sul prodotto — questi sono fuori dall'ambito dell'articolo 18.
• Verifica e documentazione: Un buon fornitore offre un certificato con verifica pubblica (es. codice QR), garantendo che autorità e acquirenti possano facilmente confermare la tua conformità.
• Esclusioni e limitazioni: I fornitori affidabili indicano chiaramente cosa non è incluso, come valutazione di conformità, generazione SBOM o risposta agli incidenti. Questa trasparenza aiuta a evitare malintesi e costi nascosti.

Di seguito un confronto riassuntivo di cosa è incluso ed escluso da ciascun fornitore (dove noto):

Chiedi sempre conferma scritta di ambito, esclusioni e termini di rinnovo prima di firmare.

Cosa include realmente il prezzo

Il costo di un rappresentante autorizzato CRA è spesso la voce più piccola nel budget complessivo di conformità, ma è essenziale capire cosa si sta effettivamente acquistando. Il prezzo pubblicato per un rappresentante CRA copre solo il mandato dell'articolo 18. Questo tipicamente include:

• Una nomina scritta del rappresentante nell'UE
• Un certificato di nomina, spesso con codice QR o pagina di verifica pubblica
• Uno sportello richieste per ricevere e inoltrare comunicazioni dalle autorità UE, incluse sorveglianza del mercato e CSIRT

Cosa non è incluso nel prezzo:

• Valutazione di conformità (richiesta per prodotti importanti di classe II e critici; gestita da organismi notificati, non dai rappresentanti)
• Test di sicurezza o generazione SBOM (Software Bill of Materials)
• Risposta agli incidenti o attività di ingegneria
• Segnalazione a ENISA (il rappresentante inoltra, ma non redige o invia i tuoi rapporti)

Possono essere disponibili servizi combinati per mandati GDPR Articolo 27, NIS2 o GPSR, spesso con sconto. Ad esempio, REP27 offre rappresentanza combinata CRA e GDPR per €690/anno, o tutti e tre (CRA, GDPR, NIS2) per €990/anno. Controlla sempre se il prezzo di rinnovo è fisso o soggetto a variazioni, e se il fornitore applica costi extra per il cambio da un altro rappresentante.

Ecco un riepilogo dei prezzi pubblicati e inclusioni:

I fornitori devono indicare l'entità legale che firma il mandato. Verifica sempre questo prima del pagamento.

Costi nascosti ed esclusioni

Pur essendo la tariffa per un rappresentante autorizzato CRA generalmente chiara, i costi reali della conformità al CRA sono spesso nascosti altrove. Le spese più significative sono interne e riguardano ingegneria, documentazione e supporto continuo al prodotto:

• Valutazione di conformità: Per prodotti importanti di classe II e critici, un organismo notificato deve condurre una valutazione di conformità. Questo processo può costare migliaia di euro e richiedere mesi. I rappresentanti non forniscono questo servizio.
• Test di sicurezza e SBOM: La generazione di un Software Bill of Materials e i test di sicurezza sono requisiti tecnici che devono essere gestiti dal tuo team di ingegneria o da società esterne di sicurezza. Nessun rappresentante li include nel mandato.
• Periodo di supporto: Il CRA richiede ai produttori di fornire aggiornamenti di sicurezza per almeno cinque anni. Prevedi un budget per manutenzione e patch continue come linea di prodotto, non come progetto una tantum.
• Risposta agli incidenti: Sebbene il rappresentante possa inoltrare rapporti di vulnerabilità, il produttore rimane responsabile per l'indagine, la segnalazione e la risoluzione degli incidenti.
• Rinnovi silenti e aumenti di prezzo: Alcuni fornitori non pubblicano i prezzi di rinnovo o possono aumentare le tariffe senza preavviso. Richiedi sempre il prezzo di rinnovo per iscritto prima di firmare.

Di seguito un riepilogo di cosa è incluso ed escluso da ciascun fornitore, basato sulle informazioni disponibili:

Per evitare sorprese, chiedi sempre una lista completa delle esclusioni, i termini di preavviso per la cessazione e eventuali costi amministrativi o per richieste specifiche.

Come funziona la nomina: passo dopo passo

La nomina di un rappresentante autorizzato CRA è un processo semplice, ma deve essere gestito con cura per garantire la conformità. Ecco una guida passo passo:

1. Determina l'applicabilità: Conferma se la tua azienda è stabilita fuori dall'UE e se immetti prodotti con elementi digitali sul mercato UE. Se sei un produttore con sede nell'UE, non hai bisogno di un rappresentante.
2. Scegli la modalità: Decidi se nominare un rappresentante autorizzato CRA o se il tuo importatore o distributore assumerà questo ruolo. Deve essere concordato per iscritto.
3. Seleziona un fornitore: Confronta i fornitori in base a prezzi pubblicati, ambito e trasparenza. Richiedi conferma scritta di cosa è incluso ed escluso.
4. Firma il mandato: Il fornitore emetterà una lettera di designazione, solitamente firmata elettronicamente. Il documento deve indicare chiaramente l'ambito e l'entità legale coinvolta.
5. Ricevi il certificato: Ottieni un certificato di nomina, idealmente con codice QR o pagina di verifica pubblica, da includere nella documentazione tecnica e nei fascicoli di conformità.
6. Aggiorna la documentazione: Inserisci i dettagli del rappresentante nella documentazione tecnica, nel runbook e in eventuali materiali di approvvigionamento.
7. Prepara la segnalazione: Imposta il processo di segnalazione delle vulnerabilità per rispettare il termine di 24 ore dell'articolo 14. Assicurati di sapere come contattare il rappresentante e la piattaforma ENISA.

Checklist per oggi:

1. Mappa il tuo portafoglio prodotti per la copertura CRA
2. Identifica i tuoi canali di vendita UE (diretti, tramite marketplace, tramite distributore)
3. Decidi chi agirà come rappresentante (se richiesto)
4. Richiedi conferma scritta del prezzo, ambito e termini di rinnovo del fornitore
5. Prepara il processo di segnalazione vulnerabilità e assegna il personale responsabile

La nomina tempestiva e la documentazione chiara sono essenziali per evitare ritardi nell'accesso al mercato o azioni regolamentari.

Rischi e sanzioni per la non conformità

La non conformità all'obbligo di rappresentanza del CRA può avere conseguenze gravi. Ai sensi dell'articolo 53, le sanzioni possono arrivare fino a €15 milioni o al 2,5% del fatturato annuo globale, a seconda di quale importo sia maggiore. Queste penalità si applicano se non si nomina un rappresentante quando richiesto, o se non si rispettano gli obblighi di segnalazione e documentazione.

I rischi della non conformità includono:

• Sanzioni regolamentari: Pesanti multe possono essere imposte per mancata nomina del rappresentante, mancata segnalazione delle vulnerabilità o mancanza di documentazione adeguata.
• Ritardi nell'accesso al mercato: Senza un rappresentante, potresti affrontare ritardi in appalti, certificazioni o cicli di vendita, poiché acquirenti e autorità richiedono prova di conformità.
• Fallimenti nella risposta agli incidenti: Se non riesci a rispondere alle richieste di sorveglianza del mercato o CSIRT nei tempi previsti, rischi ulteriori sanzioni e danni reputazionali.
• Barriere negli approvvigionamenti: Grandi acquirenti e distributori potrebbero rifiutarsi di lavorare con produttori che non possono dimostrare un mandato valido di rappresentanza.
• La responsabilità resta al produttore: Il rappresentante è solo un punto di contatto; tutta la responsabilità legale per conformità, sicurezza e risposta agli incidenti resta al produttore.

Per mitigare questi rischi, assicurati che la nomina sia documentata, che i processi di segnalazione siano solidi e che i fascicoli di conformità siano aggiornati. Il ruolo del rappresentante è prevenire ritardi e incomprensioni durante gli incidenti, non assorbire la responsabilità dei tuoi prodotti.

Matrice decisionale: hai bisogno di un rappresentante autorizzato CRA?

Usa la seguente matrice per determinare se devi nominare un rappresentante autorizzato CRA:

Per i marketplace, conferma sempre per iscritto se la piattaforma agisce come importatore di riferimento. In caso contrario, sei responsabile di nominare un rappresentante.

Cosa i fornitori di solito non dicono

Ci sono diversi aspetti della rappresentanza CRA che i fornitori potrebbero non evidenziare nei loro materiali di marketing:

• Limitazioni dell'ambito: Il mandato dell'articolo 18 copre solo la rappresentanza — nessuna valutazione di conformità, SBOM o risposta agli incidenti. Qualsiasi affermazione contraria è fuorviante.
• Prezzi di rinnovo: Molti fornitori non pubblicano i prezzi di rinnovo, portando a aumenti silenti o imprevisti. Richiedi sempre i termini di rinnovo per iscritto.
• Responsabilità: Il rappresentante non assume responsabilità legale per la conformità del prodotto o per incidenti di sicurezza. Il produttore rimane pienamente responsabile.
• Termini di preavviso e cessazione: Spesso non sono divulgati i termini per terminare l'accordo o cambiare fornitore. Chiedi questi dettagli prima di firmare.
• Costi per richieste specifiche o amministrative: Alcuni fornitori possono addebitare costi extra per gestire richieste particolari o comunicazioni urgenti. Chiarisci sempre se si applicano tali costi.
• Lingua e disponibilità: La capacità di gestire richieste delle autorità in più lingue e fuori orario lavorativo varia. REP27, ad esempio, offre uno sportello con personale 24 ore su 24, altri potrebbero no.

La trasparenza è fondamentale — richiedi una lista completa di esclusioni, limitazioni e termini prima di decidere.

Scenari realistici: quale percorso seguire

• Azienda SaaS USA che vende a imprese UE: Come produttore non UE che immette prodotti digitali sul mercato UE, devi nominare un rappresentante autorizzato CRA. Hai anche bisogno di un rappresentante GDPR Articolo 27. La soluzione più semplice ed economica è usare un fornitore come REP27 che offre entrambi i mandati in un pacchetto, garantendo un unico punto di contatto e prezzi chiari per il rinnovo.
• Venditore cinese su Amazon: Se Amazon agisce come importatore di riferimento, potresti non aver bisogno di un rappresentante CRA separato. Tuttavia, se vendi direttamente o tramite un marketplace che non assume questo ruolo, devi nominare un rappresentante CRA. Conferma sempre per iscritto il ruolo del marketplace per evitare lacune di conformità.
• Negozio online UK che vende dispositivi IoT ai consumatori UE: Post-Brexit, i produttori con sede UK sono considerati non UE. Se vendi direttamente ai consumatori UE o tramite distributori che non agiscono come rappresentanti, devi nominare un rappresentante CRA. Se un distributore o importatore immette il prodotto sul mercato UE a proprio nome, può agire come rappresentante.

In ogni scenario, la chiave è documentare l'accordo, aggiornare i fascicoli tecnici e assicurarsi che i processi di segnalazione siano pronti per l'obbligo di notifica delle vulnerabilità entro 24 ore.