Alternativer til at ansætte en autoriseret repræsentant for Cyber Resilience Act: Udbydere & priser 2026

• CRA artikel 18 kræver en repræsentant for producenter uden for EU, der sælger i EU
• Producenter baseret i EU behøver ikke autoriseret repræsentant
• Importører eller distributører kan fungere som repræsentanter, hvis de udpeges
• Verificerede priser for 2026 varierer fra €490 til €999 om året
• Mandatet dækker kun repræsentation, ikke overensstemmelsesvurdering eller testning
• Sælgere uden for EU til B2B og B2C af digitale produkter har som regel brug for denne service

Opdateret 19 October 2026 · 7 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 19 October 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Hvad Cyber Resilience Act kræver (med artikelnumre)

Cyber Resilience Act (CRA, forordning (EU) 2024/2847) er en omfattende regulering, der fastsætter obligatoriske cybersikkerhedskrav for alle produkter med digitale elementer, der bringes på EU-markedet. Loven gælder både for nye og eksisterende produkter, og dens forpligtelser dækker hele produktets livscyklus, fra design og udvikling til vedligeholdelse og udfasning. CRA trådte i kraft den 10. december 2024 og bliver fuldt gældende fra 11. december 2027.

Artikel 18 er central for producenter uden for EU: den kræver, at de, der er etableret uden for EU, udpeger en autoriseret repræsentant etableret inden for EU. Denne repræsentant fungerer som det officielle kontaktpunkt for markedsovervågningsmyndigheder og er ansvarlig for at videresende kommunikation og dokumentation. Hvis du er producent baseret i EU, behøver du ikke udpege en repræsentant. Men hvis du er producent uden for EU, skal du enten udpege en repræsentant eller have en importør eller distributør, der formelt påtager sig denne rolle. Udpegningen skal være skriftlig og klart dokumenteret.

Artikel 14 indfører en streng 24-timers rapporteringspligt for aktivt udnyttede sårbarheder eller alvorlige hændelser, der påvirker produktsikkerheden. Producenter skal underrette ENISA (Den Europæiske Union Agentur for Cybersikkerhed) inden for 24 timer efter at være blevet opmærksomme på en sådan begivenhed, efterfulgt af en fuld anmeldelse inden for 72 timer og en endelig rapport inden for 14 dage. Fristerne er i kalendertimer, ikke arbejdstimer, og rapporteringsplatformen administreres af ENISA. Pligten påhviler producenten, ikke importøren eller distributøren, medmindre de har bragt produktet på markedet under eget navn.

Artikel 53 fastsætter sanktioner for manglende overholdelse, som kan nå op på €15 millioner eller 2,5 % af den globale årlige omsætning, alt efter hvad der er højest. CRA håndhæves via CE-mærkning og markedsovervågning og gælder for alle produkter med digitale elementer tilgængelige i EU, uanset hvor producenten er baseret.

• Artikel 18: Autoriseret repræsentant for producenter uden for EU
• Artikel 14: 24-timers rapportering af sårbarheder
• Artikel 53: Bøder og håndhævelse

For mere om den juridiske tekst, se den officielle EU-oversigt.

Sådan vælger du en CRA autoriseret repræsentant

At vælge den rette CRA autoriserede repræsentant er et vigtigt skridt for producenter uden for EU. Repræsentanten fungerer som din officielle tilstedeværelse i EU i forhold til regulatoriske og markedsovervågningsmæssige anliggender. Her er de vigtigste faktorer at overveje:

• Juridisk enhed og placering: Sørg for, at udbyderen er en registreret juridisk enhed i EU. For eksempel er REP27 — Europe Services, SE etableret i Prag, Tjekkiet, og kan verificeres i det tjekkiske erhvervsregister.
• Prisgennemsigtighed: Vælg udbydere, der klart offentliggør både førsteårs- og fornyelsespriser. REP27 angiver for eksempel €490 for første år og €440 for fornyelse, med lavere priser for pakkeløsninger. Mange udbydere offentliggør ikke fornyelsespriser, hvilket kan føre til uventede omkostninger.
• Omfang af tjenesten: Tjek hvad mandatet faktisk inkluderer. Artikel 18-mandatet bør dække den skriftlige udpegning, et verificerbart certifikat og en anmodningsdesk til videresendelse af myndighedskommunikation. Nogle udbydere kan påstå at tilbyde mere, men ifølge loven kan repræsentanten ikke udføre overensstemmelsesvurdering eller produkttest – disse ligger uden for artikel 18's omfang.
• Verifikation og dokumentation: En god udbyder tilbyder et certifikat med offentlig verifikation (fx QR-kode), så myndigheder og købere nemt kan bekræfte din overholdelse.
• Eksklusioner og begrænsninger: Ansete udbydere angiver tydeligt, hvad der ikke er inkluderet, såsom overensstemmelsesvurdering, SBOM-generering eller hændelsesrespons. Denne gennemsigtighed hjælper dig med at undgå misforståelser og skjulte omkostninger.

Nedenfor er en sammenligning af hvad der er inkluderet og udelukket hos hver udbyder (hvor kendt):

Bed altid om skriftlig bekræftelse af omfang, eksklusioner og fornyelsesvilkår før underskrift.

Hvad prisen virkelig inkluderer

Omkostningen for en CRA autoriseret repræsentant er ofte den mindste post i dit samlede overholdelsesbudget, men det er vigtigt at forstå, hvad du faktisk køber. Den offentliggjorte pris for en CRA repræsentant dækker kun artikel 18-mandatet. Dette inkluderer typisk:

• En skriftlig udpegning af repræsentanten i EU
• Et udnævnelsescertifikat, ofte med QR-kode eller offentlig verifikationsside
• En anmodningsdesk til at modtage og videresende kommunikation fra EU-myndigheder, herunder markedsovervågning og CSIRTs

Hvad der ikke er inkluderet i prisen:

• Overensstemmelsesvurdering (påkrævet for vigtige klasse II og kritiske produkter; håndteres af notificerede organer, ikke repræsentanter)
• Sikkerhedstest eller SBOM (Software Bill of Materials) generering
• Hændelsesrespons eller teknisk arbejde
• Rapportering til ENISA (repræsentanten videresender, men udarbejder eller indsender ikke dine rapporter)

Pakkeløsninger kan være tilgængelige for GDPR artikel 27, NIS2 eller GPSR-mandater, ofte med rabat. For eksempel tilbyder REP27 kombineret CRA og GDPR repræsentation for €690/år, eller alle tre (CRA, GDPR, NIS2) for €990/år. Tjek altid, om fornyelsesprisen er fast eller kan ændres, og om udbyderen opkræver ekstra ved skift fra en anden repræsentant.

Her er en oversigt over offentliggjorte priser og inkluderede ydelser:

Udbydere skal oplyse den juridiske enhed, der underskriver mandatet. Bekræft altid dette før betaling.

Skjulte omkostninger og eksklusioner

Selvom gebyret for en CRA autoriseret repræsentant normalt er klart, er de reelle omkostninger ved CRA-overholdelse ofte skjult andre steder. De mest betydelige udgifter er interne og relaterer sig til teknik, dokumentation og løbende produktsupport:

• Overensstemmelsesvurdering: For vigtige klasse II og kritiske produkter skal et notificeret organ udføre overensstemmelsesvurdering. Denne proces kan koste tusindvis af euro og tage måneder. Repræsentanter yder ikke denne service.
• Sikkerhedstest og SBOM: Generering af Software Bill of Materials og udførelse af sikkerhedstest er tekniske krav, der skal håndteres af dit tekniske team eller eksterne sikkerhedsfirmaer. Ingen repræsentant inkluderer dette i mandatet.
• Supportperiode: CRA kræver, at producenter leverer sikkerhedsopdateringer i mindst fem år. Budgetter for løbende vedligeholdelse og patching som en produktlinje, ikke som et enkeltstående projekt.
• Hændelsesrespons: Selvom repræsentanten kan videresende sårbarhedsrapporter, er producenten ansvarlig for undersøgelse, rapportering og udbedring af hændelser.
• Tavs fornyelse og prisstigninger: Nogle udbydere offentliggør ikke fornyelsespriser eller kan hæve gebyrer uden varsel. Få altid fornyelsesprisen skriftligt før underskrift.

Nedenfor er en oversigt over hvad der er inkluderet og udelukket hos hver udbyder, baseret på tilgængelige oplysninger:

For at undgå overraskelser, bed altid om en komplet liste over eksklusioner, opsigelsesvarsler og eventuelle gebyrer pr. anmodning eller administration.

Sådan fungerer udpegning: trin for trin

Udpegning af en CRA autoriseret repræsentant er en enkel proces, men den skal håndteres omhyggeligt for at sikre overholdelse. Her er en trin-for-trin guide:

1. Fastslå relevans: Bekræft, om din virksomhed er etableret uden for EU, og om du bringer produkter med digitale elementer på EU-markedet. Hvis du er producent baseret i EU, behøver du ikke repræsentant.
2. Vælg ruten: Beslut, om du vil udpege en CRA autoriseret repræsentant, eller om din importør eller distributør vil påtage sig denne rolle. Dette skal aftales skriftligt.
3. Vælg en udbyder: Sammenlign udbydere baseret på offentliggjorte priser, omfang og gennemsigtighed. Anmod om skriftlig bekræftelse af hvad der er inkluderet og udelukket.
4. Underskriv mandatet: Udbyderen udsteder et udpegelsesbrev, som normalt underskrives elektronisk. Dokumentet skal klart angive omfang og juridisk enhed.
5. Modtag certifikatet: Få et udnævnelsescertifikat, helst med QR-kode eller offentlig verifikationsside, til at inkludere i din tekniske dokumentation og overholdelsesfiler.
6. Opdater dokumentation: Tilføj repræsentantens oplysninger til din tekniske dokumentation, runbook og eventuelle indkøbsmaterialer.
7. Forbered rapportering: Opsæt din sårbarhedsrapporteringsproces for at overholde artikel 14’s 24-timers frist. Sørg for at kende kontaktoplysninger til din repræsentant og ENISA-platformen.

Tjekliste for i dag:

1. Kortlæg dit produktportefølje for CRA-dækning
2. Identificer dine EU-salgsveje (direkte, via markedsplads, via distributør)
3. Beslut hvem der skal være repræsentant (hvis påkrævet)
4. Anmod om skriftlig bekræftelse af udbyders pris, omfang og fornyelsesvilkår
5. Forbered din sårbarhedsrapporteringsproces og udpeg ansvarlige medarbejdere

Rettidig udpegning og klar dokumentation er afgørende for at undgå forsinkelser i markedsadgang eller regulatoriske sanktioner.

Risici og bøder ved manglende overholdelse

Manglende overholdelse af CRA’s krav om repræsentant kan have alvorlige konsekvenser. Under artikel 53 kan bøder nå op på €15 millioner eller 2,5 % af den globale omsætning, alt efter hvad der er højest. Disse sanktioner gælder, hvis du undlader at udpege en repræsentant, når det er påkrævet, eller hvis du ikke overholder rapporterings- og dokumentationsforpligtelser.

Risici ved manglende overholdelse inkluderer:

• Regulatoriske bøder: Betydelige økonomiske sanktioner kan pålægges for manglende udpegning af repræsentant, overskridelse af rapporteringsfrister eller manglende dokumentation.
• Forsinkelser i markedsadgang: Uden repræsentant kan du opleve forsinkelser i indkøb, certificering eller salgsprocesser, da købere og myndigheder kræver bevis for overholdelse.
• Fejl i hændelsesrespons: Hvis du ikke kan svare på markedsovervågnings- eller CSIRT-anmodninger inden for de krævede tidsfrister, risikerer du yderligere sanktioner og omdømmetab.
• Indkøbsbarrierer: Store købere og distributører kan nægte at samarbejde med producenter, der ikke kan fremvise gyldigt repræsentantmandat.
• Ansvar forbliver hos producenten: Repræsentanten er kun et kontaktpunkt; alt juridisk ansvar for produktets overholdelse, sikkerhed og hændelsesrespons forbliver hos producenten.

For at mindske disse risici skal du sikre, at din udpegning er dokumenteret, dine rapporteringsprocesser er robuste, og dine overholdelsesfiler er opdaterede. Repræsentantens rolle er at forhindre forsinkelser og misforståelser under hændelser – ikke at absorbere ansvar for dine produkter.

Beslutningsmatrix: Har du brug for en CRA autoriseret repræsentant?

Brug følgende matrix til at afgøre, om du skal udpege en CRA autoriseret repræsentant:

For markedspladser, bekræft altid skriftligt, om platformen fungerer som importør af registrering. Hvis ikke, er du ansvarlig for at udpege en repræsentant.

Hvad udbydere ofte ikke fortæller

Der er flere aspekter af CRA-repræsentation, som udbydere måske ikke fremhæver i deres markedsføringsmaterialer:

• Begrænsninger i omfang: Artikel 18-mandatet dækker kun repræsentation – ikke overensstemmelsesvurdering, SBOM eller hændelsesrespons. Enhver påstand om at inkludere disse er vildledende.
• Fornyelsespriser: Mange udbydere offentliggør ikke fornyelsespriser, hvilket kan føre til tavse eller uventede prisstigninger. Få altid fornyelsesvilkår skriftligt.
• Ansvar: Repræsentanten påtager sig ikke juridisk ansvar for produktets overholdelse eller sikkerhedshændelser. Producenten bærer alt ansvar.
• Opsigelsesvarsler og ophør: Vilkår for at afslutte aftalen eller skifte udbyder er ofte ikke oplyst. Spørg om disse detaljer før underskrift.
• Gebyrer pr. anmodning eller administration: Nogle udbydere kan opkræve ekstra for håndtering af specifikke anmodninger eller hastende kommunikation. Afklar altid, om sådanne gebyrer gælder.
• Sprog og tilgængelighed: Evnen til at håndtere myndighedsanmodninger på flere sprog og uden for normal arbejdstid varierer. REP27 tilbyder fx en døgnbemandet desk, men andre gør måske ikke.

Gennemsigtighed er nøglen – bed om en fuldstændig liste over eksklusioner, begrænsninger og vilkår, før du træffer beslutning.

Realistiske scenarier: Hvilken vej skal du vælge

• Amerikansk SaaS-virksomhed, der sælger til EU-virksomheder: Som producent uden for EU, der bringer digitale produkter på EU-markedet, skal du udpege en CRA autoriseret repræsentant. Du har også brug for en GDPR artikel 27 repræsentant. Den enkleste og mest omkostningseffektive løsning er at bruge en udbyder som REP27, der tilbyder begge mandater i en pakke, hvilket sikrer ét kontaktpunkt og klare fornyelsespriser.
• Kinesisk Amazon-sælger: Hvis Amazon fungerer som importør af registrering, behøver du muligvis ikke en separat CRA repræsentant. Hvis du dog sælger direkte eller via en markedsplads, der ikke påtager sig denne rolle, skal du udpege en CRA autoriseret repræsentant. Bekræft altid markedspladsens rolle skriftligt for at undgå compliance-huller.
• Britisk netbutik, der sælger IoT-enheder til EU-forbrugere: Efter Brexit betragtes producenter baseret i UK som uden for EU. Hvis du sælger direkte til EU-forbrugere eller via distributører, der ikke fungerer som din repræsentant, skal du udpege en CRA autoriseret repræsentant. Hvis en distributør eller importør bringer produktet på EU-markedet under eget navn, kan de fungere som repræsentant i stedet.

I hvert scenarie er det vigtigt at dokumentere aftalen, opdatere dine tekniske filer og sikre, at dine rapporteringsprocesser er klar til 24-timers sårbarhedsvarsling.