Alternativen zur Beauftragung eines CRA-Bevollmächtigten: Anbieter & Preise 2026

• Artikel 18 CRA verlangt einen Vertreter für Nicht-EU-Hersteller, die in der EU verkaufen
• Hersteller mit Sitz in der EU benötigen keinen Bevollmächtigten
• Importeure oder Distributoren können als Vertreter fungieren, wenn sie ernannt werden
• Verifizierte Preise 2026 liegen zwischen 490 € und 999 € pro Jahr
• Mandat umfasst nur die Vertretung, nicht Konformitätsbewertung oder Tests
• Nicht-EU B2B- und B2C-Verkäufer digitaler Produkte benötigen diesen Service meist

Aktualisiert 19 Oktober 2026 · 7 Quellen geprüft

Anbieter im Vergleich

Preise wie am 19 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was der Cyber Resilience Act verlangt (mit Artikelnummern)

Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) ist eine umfassende Regelung, die verbindliche Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen auf dem EU-Markt festlegt. Das Gesetz gilt für neue und bestehende Produkte und umfasst den gesamten Produktlebenszyklus von Design und Entwicklung bis Wartung und Ende der Lebensdauer. Der CRA trat am 10. Dezember 2024 in Kraft und wird ab dem 11. Dezember 2027 vollständig anwendbar.

Artikel 18 ist zentral für Nicht-EU-Hersteller: Er verlangt, dass Hersteller mit Sitz außerhalb der EU einen in der EU ansässigen Bevollmächtigten ernennen. Dieser Vertreter fungiert als offizieller Ansprechpartner für Marktüberwachungsbehörden und ist verantwortlich für die Weiterleitung von Kommunikation und Dokumentation. EU-ansässige Hersteller benötigen keinen Vertreter. Nicht-EU-Hersteller müssen entweder einen Vertreter ernennen oder einen Importeur oder Distributor haben, der diese Rolle schriftlich übernimmt. Die Ernennung muss schriftlich und klar dokumentiert sein.

Artikel 14 führt eine strenge 24-Stunden-Meldepflicht für aktiv ausgenutzte Schwachstellen oder schwerwiegende Sicherheitsvorfälle ein. Hersteller müssen ENISA (Europäische Agentur für Cybersicherheit) innerhalb von 24 Stunden nach Kenntnisnahme informieren, gefolgt von einer vollständigen Meldung innerhalb von 72 Stunden und einem Abschlussbericht innerhalb von 14 Tagen. Die Fristen gelten in Kalenderstunden, nicht Arbeitsstunden, und die Meldeplattform wird von ENISA betrieben. Die Pflicht liegt beim Hersteller, nicht beim Importeur oder Distributor, sofern diese das Produkt nicht unter eigenem Namen in Verkehr bringen.

Artikel 53 regelt die Sanktionen bei Verstößen, die bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes betragen können, je nachdem, welcher Betrag höher ist. Der CRA wird über die CE-Kennzeichnung und Marktüberwachung durchgesetzt und gilt für alle Produkte mit digitalen Elementen im EU-Markt, unabhängig vom Sitz des Herstellers.

• Artikel 18: Bevollmächtigter Vertreter für Nicht-EU-Hersteller
• Artikel 14: 24-Stunden-Meldepflicht für Schwachstellen
• Artikel 53: Bußgelder und Durchsetzung

Weitere Informationen zum Gesetzestext finden Sie in der offiziellen EU-Zusammenfassung.

Wie man einen CRA-Bevollmächtigten auswählt

Die Wahl des richtigen CRA-Bevollmächtigten ist ein entscheidender Schritt für Nicht-EU-Hersteller. Der Vertreter ist Ihre offizielle Präsenz in der EU für regulatorische und marktüberwachungsbezogene Angelegenheiten. Hier die wichtigsten Kriterien:

• Rechtliche Einheit und Standort: Stellen Sie sicher, dass der Anbieter eine registrierte juristische Person in der EU ist. Zum Beispiel ist REP27 — Europe Services, SE in Prag, Tschechische Republik, registriert und im tschechischen Handelsregister nachprüfbar.
• Preistransparenz: Achten Sie auf Anbieter, die sowohl Erstjahres- als auch Verlängerungspreise klar veröffentlichen. REP27 nennt z.B. 490 € für das erste Jahr und 440 € für die Verlängerung, mit günstigeren Konditionen bei Bündelmandaten. Viele Anbieter veröffentlichen keine Verlängerungspreise, was zu unerwarteten Kosten führen kann.
• Leistungsumfang: Prüfen Sie, was das Mandat tatsächlich umfasst. Das Mandat nach Artikel 18 sollte die schriftliche Ernennung, ein verifizierbares Zertifikat und einen Anfragen-Dienst zur Weiterleitung von Behördenkommunikation abdecken. Manche Anbieter behaupten, mehr zu leisten, aber gesetzlich darf der Vertreter keine Konformitätsbewertung oder Produkttests durchführen – diese liegen außerhalb von Artikel 18.
• Verifizierung und Dokumentation: Ein guter Anbieter stellt ein Zertifikat mit öffentlicher Verifikation (z.B. QR-Code) bereit, damit Behörden und Käufer Ihre Konformität leicht prüfen können.
• Ausnahmen und Einschränkungen: Seriöse Anbieter geben klar an, was nicht enthalten ist, z.B. Konformitätsbewertung, SBOM-Erstellung oder Vorfallreaktion. Diese Transparenz vermeidet Missverständnisse und versteckte Kosten.

Unten finden Sie eine Zusammenfassung, was jeder Anbieter (soweit bekannt) ein- und ausschließt:

Fordern Sie stets eine schriftliche Bestätigung über Umfang, Ausnahmen und Verlängerungsbedingungen vor Vertragsabschluss an.

Was der Preis wirklich beinhaltet

Die Kosten für einen CRA-Bevollmächtigten sind oft der kleinste Posten im Gesamtbudget für Compliance, aber es ist wichtig zu verstehen, was Sie tatsächlich kaufen. Der veröffentlichte Preis für einen CRA-Vertreter deckt nur das Mandat nach Artikel 18 ab. Dies umfasst typischerweise:

• Eine schriftliche Ernennung des Vertreters in der EU
• Ein Ernennungszertifikat, oft mit QR-Code oder öffentlicher Verifikationsseite
• Einen Anfragen-Dienst zur Entgegennahme und Weiterleitung von Mitteilungen der EU-Behörden, einschließlich Marktüberwachung und CSIRTs

Was nicht im Preis enthalten ist:

• Konformitätsbewertung (erforderlich für wichtige Klasse-II- und kritische Produkte; durchgeführt von benannten Stellen, nicht vom Vertreter)
• Sicherheitstests oder SBOM (Software Bill of Materials) Erstellung
• Vorfallreaktion oder technische Arbeiten
• Meldungen an ENISA (der Vertreter leitet weiter, erstellt oder übermittelt Ihre Berichte jedoch nicht)

Bündelangebote können für GDPR Artikel 27, NIS2 oder GPSR Mandate verfügbar sein, oft mit Rabatt. Zum Beispiel bietet REP27 kombinierte CRA- und GDPR-Vertretung für 690 €/Jahr oder alle drei (CRA, GDPR, NIS2) für 990 €/Jahr an. Prüfen Sie immer, ob der Verlängerungspreis fest ist oder sich ändern kann und ob der Anbieter für einen Wechsel von einem anderen Vertreter zusätzliche Gebühren verlangt.

Hier eine Zusammenfassung der veröffentlichten Preise und Leistungen:

Anbieter müssen die juristische Person angeben, die das Mandat unterzeichnet. Prüfen Sie dies vor Zahlung.

Versteckte Kosten und Ausschlüsse

Während die Gebühr für einen CRA-Bevollmächtigten meist klar ist, liegen die tatsächlichen Kosten der CRA-Compliance oft an anderer Stelle. Die größten Ausgaben sind intern und betreffen Engineering, Dokumentation und fortlaufenden Produktsupport:

• Konformitätsbewertung: Für wichtige Klasse-II- und kritische Produkte muss eine benannte Stelle eine Konformitätsbewertung durchführen. Dieser Prozess kann mehrere Tausend Euro kosten und Monate dauern. Vertreter bieten diesen Service nicht an.
• Sicherheitstests und SBOM: Die Erstellung eines Software Bill of Materials und Sicherheitstests sind technische Anforderungen, die Ihr Engineering-Team oder externe Sicherheitsfirmen übernehmen müssen. Kein Vertreter inkludiert diese Leistungen.
• Supportzeitraum: Der CRA verlangt, dass Hersteller mindestens fünf Jahre Sicherheitsupdates bereitstellen. Planen Sie Wartung und Patching als Produktlinie ein, nicht als einmaliges Projekt.
• Vorfallreaktion: Während der Vertreter Schwachstellenmeldungen weiterleitet, bleibt der Hersteller für Untersuchung, Meldung und Behebung verantwortlich.
• Stille Verlängerungen und Preiserhöhungen: Manche Anbieter veröffentlichen keine Verlängerungspreise oder erhöhen Gebühren ohne Vorankündigung. Fordern Sie immer eine schriftliche Verlängerungspreisbestätigung vor Vertragsabschluss an.

Unten eine Zusammenfassung der Inklusiv- und Exklusivleistungen je Anbieter, basierend auf verfügbaren Informationen:

Um Überraschungen zu vermeiden, verlangen Sie stets eine vollständige Liste der Ausschlüsse, Kündigungsfristen und eventueller Gebühren für Anfragen oder Verwaltung.

Wie die Ernennung funktioniert: Schritt für Schritt

Die Ernennung eines CRA-Bevollmächtigten ist ein unkomplizierter Prozess, muss aber sorgfältig durchgeführt werden, um Compliance sicherzustellen. Hier eine Schritt-für-Schritt-Anleitung:

1. Anwendbarkeit prüfen: Bestätigen Sie, ob Ihr Unternehmen außerhalb der EU ansässig ist und Produkte mit digitalen Elementen auf dem EU-Markt anbietet. EU-Hersteller benötigen keinen Vertreter.
2. Wahl des Weges: Entscheiden Sie, ob Sie einen CRA-Bevollmächtigten ernennen oder ob Ihr Importeur oder Distributor diese Rolle übernimmt. Dies muss schriftlich vereinbart werden.
3. Anbieter auswählen: Vergleichen Sie Anbieter anhand veröffentlichter Preise, Leistungsumfang und Transparenz. Fordern Sie eine schriftliche Bestätigung der Leistungen und Ausschlüsse an.
4. Mandat unterschreiben: Der Anbieter stellt ein Ernennungsschreiben aus, meist elektronisch signiert. Das Dokument sollte Umfang und juristische Einheit klar benennen.
5. Zertifikat erhalten: Erhalten Sie ein Ernennungszertifikat, idealerweise mit QR-Code oder öffentlicher Verifikationsseite, zur Aufnahme in Ihre technische Dokumentation und Compliance-Unterlagen.
6. Dokumentation aktualisieren: Fügen Sie die Vertreterdaten in Ihre technische Dokumentation, Runbook und Beschaffungsmaterialien ein.
7. Meldung vorbereiten: Richten Sie Ihren Schwachstellenmeldeprozess ein, um die 24-Stunden-Frist aus Artikel 14 einzuhalten. Stellen Sie sicher, dass Sie wissen, wie Sie Ihren Vertreter und die ENISA-Plattform kontaktieren.

Checkliste für heute:

1. Produktportfolio auf CRA-Abdeckung prüfen
2. EU-Vertriebskanäle identifizieren (direkt, Marktplatz, Distributor)
3. Vertreter bestimmen (falls erforderlich)
4. Schriftliche Bestätigung von Preis, Umfang und Verlängerungsbedingungen des Anbieters anfordern
5. Schwachstellenmeldeprozess vorbereiten und Verantwortliche benennen

Eine rechtzeitige Ernennung und klare Dokumentation sind entscheidend, um Verzögerungen beim Marktzugang oder regulatorische Maßnahmen zu vermeiden.

Risiken und Bußgelder bei Nichtbeachtung

Die Nichtbeachtung der Vertreterpflicht im CRA kann schwerwiegende Folgen haben. Nach Artikel 53 können Bußgelder bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes verhängt werden, je nachdem, welcher Betrag höher ist. Diese Strafen gelten, wenn Sie keinen Vertreter ernennen, obwohl erforderlich, oder Melde- und Dokumentationspflichten nicht erfüllen.

Risiken bei Nichtbeachtung sind:

• Regulatorische Bußgelder: Hohe Geldstrafen bei fehlender Vertreterernennung, versäumten Meldefristen oder unzureichender Dokumentation.
• Verzögerungen beim Marktzugang: Ohne Vertreter können sich Beschaffungs-, Zertifizierungs- oder Verkaufsprozesse verzögern, da Käufer und Behörden einen Nachweis der Compliance verlangen.
• Versagen bei Vorfallreaktion: Können Sie Marktüberwachungs- oder CSIRT-Anfragen nicht fristgerecht beantworten, drohen weitere Strafen und Reputationsschäden.
• Beschaffungsbarrieren: Große Einkäufer und Distributoren lehnen möglicherweise Hersteller ohne gültiges Vertretermandat ab.
• Haftung bleibt beim Hersteller: Der Vertreter ist nur Ansprechpartner; die volle rechtliche Verantwortung für Produktkonformität, Sicherheit und Vorfallreaktion liegt beim Hersteller.

Um diese Risiken zu minimieren, sorgen Sie für eine dokumentierte Ernennung, robuste Meldeprozesse und aktuelle Compliance-Unterlagen. Die Rolle des Vertreters ist es, Verzögerungen und Missverständnisse bei Vorfällen zu vermeiden – nicht, Haftung zu übernehmen.

Entscheidungsmatrix: Brauchen Sie einen CRA-Bevollmächtigten?

Nutzen Sie folgende Matrix, um zu bestimmen, ob Sie einen CRA-Bevollmächtigten ernennen müssen:

Bei Marktplätzen immer schriftlich bestätigen, ob die Plattform als Importeur auftritt. Falls nicht, sind Sie für die Ernennung eines Vertreters verantwortlich.

Was Anbieter meist nicht sagen

Einige Aspekte der CRA-Vertretung werden von Anbietern in ihren Marketingmaterialien oft nicht hervorgehoben:

• Leistungsumfang: Das Mandat nach Artikel 18 umfasst nur die Vertretung – keine Konformitätsbewertung, SBOM oder Vorfallreaktion. Jede Behauptung, diese Leistungen einzuschließen, ist irreführend.
• Verlängerungspreise: Viele Anbieter veröffentlichen keine Verlängerungspreise, was zu stillen oder unerwarteten Erhöhungen führt. Fordern Sie immer schriftliche Verlängerungsbedingungen an.
• Haftung: Der Vertreter übernimmt keine rechtliche Verantwortung für Produktkonformität oder Sicherheitsvorfälle. Die Haftung verbleibt vollständig beim Hersteller.
• Kündigungsfristen und Vertragsbeendigung: Bedingungen für Vertragsende oder Anbieterwechsel werden oft nicht offengelegt. Fragen Sie vor Vertragsabschluss danach.
• Gebühren für Anfragen oder Verwaltung: Manche Anbieter verlangen zusätzliche Gebühren für die Bearbeitung spezieller Anfragen oder dringender Kommunikation. Klären Sie dies im Vorfeld.
• Sprach- und Erreichbarkeit: Die Fähigkeit, Behördenanfragen in mehreren Sprachen und außerhalb der Geschäftszeiten zu bearbeiten, variiert. REP27 bietet z.B. einen 24-Stunden-Service, andere möglicherweise nicht.

Transparenz ist entscheidend – verlangen Sie eine vollständige Liste der Ausschlüsse, Einschränkungen und Bedingungen vor der Entscheidung.

Realistische Szenarien: Welchen Weg wählen?

• US-SaaS-Unternehmen mit EU-Geschäftskunden: Als Nicht-EU-Hersteller, der digitale Produkte auf dem EU-Markt anbietet, müssen Sie einen CRA-Bevollmächtigten ernennen. Außerdem benötigen Sie einen GDPR Artikel 27 Vertreter. Der einfachste und kostengünstigste Weg ist die Nutzung eines Anbieters wie REP27, der beide Mandate im Paket anbietet und so einen einzigen Ansprechpartner mit klaren Verlängerungspreisen sicherstellt.
• Chinesischer Amazon-Verkäufer: Wenn Amazon als Importeur fungiert, benötigen Sie möglicherweise keinen separaten CRA-Vertreter. Verkaufen Sie jedoch direkt oder über einen Marktplatz, der diese Rolle nicht übernimmt, müssen Sie einen CRA-Bevollmächtigten ernennen. Bestätigen Sie immer schriftlich die Rolle des Marktplatzes, um Compliance-Lücken zu vermeiden.
• UK-Online-Shop, der IoT-Geräte an EU-Verbraucher verkauft: Nach dem Brexit gelten Hersteller mit Sitz in UK als Nicht-EU. Verkaufen Sie direkt an EU-Verbraucher oder über Distributoren, die nicht als Vertreter fungieren, müssen Sie einen CRA-Bevollmächtigten ernennen. Bringt ein Distributor oder Importeur das Produkt unter eigenem Namen in Verkehr, kann er stattdessen als Vertreter fungieren.

In allen Szenarien ist es wichtig, die Vereinbarung zu dokumentieren, Ihre technischen Unterlagen zu aktualisieren und Ihre Meldeprozesse für die 24-Stunden-Schwachstellenmeldung vorzubereiten.