Alternativy k pověření zplnomocněnce dle CRA: poskytovatelé a ceny 2026

• Článek 18 CRA vyžaduje zástupce pro výrobce mimo EU prodávající na trhu EU
• Výrobci se sídlem v EU nepotřebují zplnomocněného zástupce
• Dovozci nebo distributoři mohou být zástupci, pokud jsou jmenováni
• Ověřené ceny pro rok 2026 se pohybují od 490 € do 999 € ročně
• Mandát pokrývá pouze zastupování, nikoli posuzování shody nebo testování
• Prodejci digitálních produktů mimo EU (B2B i B2C) obvykle tuto službu potřebují

Aktualizováno 19 October 2026 · 7 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 19 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co vyžaduje Cyber Resilience Act (s odkazy na články)

Cyber Resilience Act (CRA, Nařízení (EU) 2024/2847) je komplexní regulace stanovující povinné požadavky na kybernetickou bezpečnost pro všechny produkty s digitálními prvky uváděné na trh EU. Zákon se vztahuje na nové i stávající produkty a jeho povinnosti pokrývají celý životní cyklus produktu, od návrhu a vývoje až po údržbu a ukončení životnosti. CRA vstoupil v platnost 10. prosince 2024 a plně se aplikuje od 11. prosince 2027.

Článek 18 je klíčový pro výrobce mimo EU: vyžaduje, aby ti, kteří jsou usazeni mimo EU, jmenovali zplnomocněného zástupce se sídlem v EU. Tento zástupce je oficiálním kontaktním místem pro orgány dohledu a zodpovídá za předávání komunikace a dokumentace. Výrobci se sídlem v EU zástupce nepotřebují. Výrobci mimo EU musí buď jmenovat zástupce, nebo mít dovozce či distributora, který tuto roli formálně převezme. Jmenování musí být písemné a jasně zdokumentované.

Článek 14 zavádí přísnou 24hodinovou lhůtu pro hlášení aktivně zneužívaných zranitelností nebo závažných incidentů ovlivňujících bezpečnost produktu. Výrobci musí do 24 hodin od zjištění takové události oznámit ENISA (Evropské agentuře pro kybernetickou bezpečnost), následovat musí úplné oznámení do 72 hodin a závěrečná zpráva do 14 dnů. Lhůty jsou v kalendářních hodinách, nikoli pracovních, a platformu pro hlášení spravuje ENISA. Povinnost nese výrobce, nikoli dovozce nebo distributor, pokud produkt neuvedli na trh pod vlastním jménem.

Článek 53 stanoví sankce za neplnění, které mohou dosáhnout až 15 milionů eur nebo 2,5 % celosvětového ročního obratu, podle toho, co je vyšší. CRA se vymáhá prostřednictvím označení CE a dohledu na trhu a platí pro všechny produkty s digitálními prvky dostupné v EU, bez ohledu na sídlo výrobce.

• Článek 18: Zplnomocněný zástupce pro výrobce mimo EU
• Článek 14: 24hodinové hlášení zranitelností
• Článek 53: Pokuty a vymáhání

Pro více informací o právním textu viz oficiální shrnutí EU.

Jak vybrat zplnomocněného zástupce dle CRA

Výběr správného zplnomocněného zástupce CRA je klíčovým krokem pro výrobce mimo EU. Zástupce slouží jako vaše oficiální zastoupení v EU pro regulační a dozorové záležitosti. Zde jsou hlavní faktory, které je třeba zvážit:

• Právní subjekt a sídlo: Ujistěte se, že poskytovatel je registrovaný právní subjekt v EU. Například REP27 — Europe Services, SE je založen v Praze, Česká republika, a je ověřitelný v českém obchodním rejstříku.
• Transparentnost cen: Hledejte poskytovatele, kteří jasně uvádějí ceny pro první rok i obnovu. REP27 například uvádí 490 € za první rok a 440 € za obnovu, s nižšími sazbami pro balíčky mandátů. Mnoho poskytovatelů ceny obnovy neuvádí, což může vést k neočekávaným nákladům.
• Rozsah služby: Zkontrolujte, co mandát skutečně zahrnuje. Mandát dle článku 18 by měl pokrývat písemné jmenování, ověřitelný certifikát a žádostní kancelář pro předávání komunikace od orgánů. Někteří poskytovatelé mohou tvrdit, že nabízejí více, ale zákonem zástupce nemůže provádět posuzování shody nebo testování produktu — to není součástí článku 18.
• Ověření a dokumentace: Dobrý poskytovatel nabízí certifikát s veřejnou možností ověření (např. QR kód), což usnadňuje orgánům a odběratelům potvrdit vaši shodu.
• Vyloučení a omezení: Seriózní poskytovatelé jasně uvádějí, co není zahrnuto, například posuzování shody, generování SBOM nebo reakce na incidenty. Tato transparentnost pomáhá předejít nedorozuměním a skrytým nákladům.

Níže je shrnutí porovnání toho, co každý poskytovatel zahrnuje a nezahrnuje (kde je známo):

Vždy si vyžádejte písemné potvrzení rozsahu, vyloučení a podmínek obnovy před podpisem.

Co cena skutečně zahrnuje

Náklady na zplnomocněného zástupce CRA jsou často nejmenší položkou ve vašem celkovém rozpočtu na soulad, ale je zásadní pochopit, co vlastně kupujete. Uveřejněná cena za zástupce CRA pokrývá pouze mandát dle článku 18. Typicky zahrnuje:

• Písemné jmenování zástupce v EU
• Certifikát jmenování, často s QR kódem nebo veřejnou ověřovací stránkou
• Žádostní kancelář pro příjem a předávání komunikace od orgánů EU, včetně dohledu trhu a CSIRT

Co není zahrnuto v ceně:

• Posuzování shody (povinné pro důležité produkty třídy II a kritické; provádějí notifikované osoby, nikoli zástupci)
• Bezpečnostní testování nebo generování SBOM (Software Bill of Materials)
• Reakce na incidenty nebo inženýrské práce
• Hlášení ENISA (zástupce pouze předává, nevytváří ani nepodává vaše zprávy)

Balíčkové služby mohou být dostupné pro mandáty GDPR článek 27, NIS2 nebo GPSR, často se slevou. Například REP27 nabízí kombinované zastoupení CRA a GDPR za 690 €/rok, nebo všechny tři (CRA, GDPR, NIS2) za 990 €/rok. Vždy ověřte, zda je cena obnovy fixní nebo může být změněna, a zda poskytovatel účtuje příplatek za přechod od jiného zástupce.

Zde je shrnutí uveřejněných cen a zahrnutí:

Poskytovatelé musí uvést právní subjekt, který mandát podepisuje. Vždy to před platbou ověřte.

Skryté náklady a vyloučení

I když je poplatek za zplnomocněného zástupce CRA obvykle jasný, skutečné náklady na soulad s CRA jsou často skryté jinde. Nejvýznamnější výdaje jsou interní a týkají se inženýrství, dokumentace a průběžné podpory produktu:

• Posuzování shody: Pro důležité produkty třídy II a kritické musí posouzení provést notifikovaný subjekt. Tento proces může stát tisíce eur a trvat měsíce. Zástupci tuto službu neposkytují.
• Bezpečnostní testování a SBOM: Generování Software Bill of Materials a provádění bezpečnostních testů jsou technické požadavky, které musí řešit váš inženýrský tým nebo externí bezpečnostní firmy. Žádný zástupce to nezahrnuje do mandátu.
• Období podpory: CRA vyžaduje, aby výrobci poskytovali bezpečnostní aktualizace minimálně pět let. Rozpočet plánujte na průběžnou údržbu a záplaty jako produktovou řadu, ne jako jednorázový projekt.
• Reakce na incidenty: Zástupce může předávat hlášení o zranitelnostech, ale výrobce zůstává odpovědný za vyšetřování, hlášení a nápravu incidentů.
• Tiché obnovy a zvyšování cen: Někteří poskytovatelé neuvádějí ceny obnovy nebo mohou poplatky zvyšovat bez upozornění. Vždy si vyžádejte cenu obnovy písemně před podpisem.

Níže je shrnutí toho, co každý poskytovatel zahrnuje a nezahrnuje podle dostupných informací:

Abyste se vyhnuli překvapením, vždy si vyžádejte úplný seznam vyloučení, výpovědní lhůty a případné poplatky za jednotlivé požadavky či administrativu.

Jak probíhá jmenování: krok za krokem

Jmenování zplnomocněného zástupce CRA je jednoduchý proces, ale musí být proveden pečlivě, aby byla zajištěna shoda. Zde je krok za krokem průvodce:

1. Určete použitelnost: Potvrďte, zda je vaše společnost usazena mimo EU a zda uvádíte produkty s digitálními prvky na trh EU. Výrobci se sídlem v EU zástupce nepotřebují.
2. Vyberte cestu: Rozhodněte, zda jmenovat zplnomocněného zástupce CRA, nebo zda to převezme váš dovozce či distributor. Toto musí být písemně dohodnuto.
3. Vyberte poskytovatele: Porovnejte poskytovatele podle zveřejněných cen, rozsahu a transparentnosti. Požádejte o písemné potvrzení, co je zahrnuto a vyloučeno.
4. Podepište mandát: Poskytovatel vystaví jmenovací dopis, obvykle elektronicky podepsaný. Dokument by měl jasně uvádět rozsah a právní subjekt.
5. Získejte certifikát: Získejte certifikát jmenování, ideálně s QR kódem nebo veřejnou ověřovací stránkou, který zahrnete do technické dokumentace a souborů shody.
6. Aktualizujte dokumentaci: Přidejte údaje o zástupci do technické dokumentace, provozních příruček a materiálů pro nákup.
7. Připravte se na hlášení: Nastavte proces hlášení zranitelností tak, aby splňoval 24hodinovou lhůtu dle článku 14. Ujistěte se, že znáte kontakty na zástupce a platformu ENISA.

Kontrolní seznam pro dnešek:

1. Zmapujte své produktové portfolio pro pokrytí CRA
2. Identifikujte své prodejní kanály v EU (přímé, přes tržiště, přes distributora)
3. Rozhodněte, kdo bude zástupcem (pokud je to potřeba)
4. Požádejte o písemné potvrzení ceny, rozsahu a podmínek obnovy poskytovatele
5. Připravte proces hlášení zranitelností a určete odpovědné osoby

Včasné jmenování a jasná dokumentace jsou nezbytné, aby se předešlo zpožděním v přístupu na trh nebo regulačním opatřením.

Rizika a pokuty za nesoulad

Nesplnění požadavku CRA na zástupce může mít vážné následky. Podle článku 53 mohou pokuty dosáhnout až 15 milionů eur nebo 2,5 % celosvětového obratu, podle toho, co je vyšší. Tyto sankce hrozí, pokud nezjistíte zástupce, když je to povinné, nebo nesplníte povinnosti hlášení a dokumentace.

Rizika nesouladu zahrnují:

• Regulační pokuty: Významné finanční sankce za nepověření zástupce, nedodržení lhůt hlášení zranitelností nebo chybějící dokumentaci.
• Zpoždění přístupu na trh: Bez zástupce můžete čelit zpožděním v zadávání zakázek, certifikaci nebo prodejních cyklech, protože odběratelé a orgány vyžadují důkaz o souladu.
• Selhání reakce na incidenty: Pokud nedokážete reagovat na požadavky dohledu nebo CSIRT v požadovaných lhůtách, riskujete další sankce a poškození pověsti.
• Prodejní bariéry: Velcí odběratelé a distributoři mohou odmítnout spolupráci s výrobci bez platného mandátu zástupce.
• Odpovědnost zůstává u výrobce: Zástupce je pouze kontaktním místem; veškerá právní odpovědnost za shodu produktu, bezpečnost a reakci na incidenty zůstává u výrobce.

Pro zmírnění rizik zajistěte, aby vaše jmenování bylo zdokumentované, procesy hlášení robustní a soubory shody aktuální. Role zástupce je zabránit zpožděním a nedorozuměním při incidentech – ne nést odpovědnost za vaše produkty.

Rozhodovací matice: Potřebujete zplnomocněného zástupce CRA?

Pro určení, zda potřebujete jmenovat zplnomocněného zástupce CRA, použijte následující matici:

U tržišť vždy potvrďte písemně, zda platforma jedná jako dovozce záznamu. Pokud ne, jste povinni jmenovat zástupce.

Co poskytovatelé obvykle nezmiňují

Některé aspekty zastoupení dle CRA nemusí poskytovatelé zdůrazňovat ve svých marketingových materiálech:

• Omezení rozsahu: Mandát dle článku 18 pokrývá pouze zastupování – ne posuzování shody, SBOM nebo reakci na incidenty. Jakékoliv tvrzení o zahrnutí těchto služeb je zavádějící.
• Ceny obnovy: Mnoho poskytovatelů neuvádí ceny obnovy, což vede k tichým nebo neočekávaným navýšením. Vždy si vyžádejte podmínky obnovy písemně.
• Odpovědnost: Zástupce nepřebírá právní odpovědnost za shodu produktu nebo bezpečnostní incidenty. Veškerá odpovědnost zůstává u výrobce.
• Výpovědní lhůty a ukončení: Podmínky ukončení smlouvy nebo přechodu k jinému poskytovateli často nejsou zveřejněny. Ptejte se na ně před podpisem.
• Poplatky za jednotlivé požadavky nebo administrativu: Někteří poskytovatelé mohou účtovat příplatky za vyřizování specifických požadavků nebo urgentních komunikací. Vždy si ověřte, zda takové poplatky existují.
• Jazyk a dostupnost: Schopnost vyřizovat požadavky orgánů v různých jazycích a mimo pracovní dobu se liší. Například REP27 nabízí 24hodinovou službu, jiní nemusí.

Transparentnost je klíčová – požádejte o úplný seznam vyloučení, omezení a podmínek před rozhodnutím.

Reálné scénáře: Jakou cestu zvolit

• Americká SaaS společnost prodávající firmám v EU: Jako výrobce mimo EU uvádějící digitální produkty na trh EU musíte jmenovat zplnomocněného zástupce CRA. Potřebujete také zástupce dle GDPR článek 27. Nejjednodušší a nejefektivnější je využít poskytovatele jako REP27, který nabízí oba mandáty v balíčku, čímž zajistíte jedno kontaktní místo a jasné ceny obnovy.
• Čínský prodejce na Amazonu: Pokud Amazon jedná jako dovozce záznamu, nemusíte mít samostatného zástupce CRA. Pokud však prodáváte přímo nebo přes tržiště, které tuto roli nepřebírá, musíte zástupce jmenovat. Vždy potvrďte roli tržiště písemně, abyste předešli mezerám v souladu.
• Britský online obchod prodávající IoT zařízení spotřebitelům v EU: Po Brexitu jsou výrobci se sídlem ve Velké Británii považováni za výrobce mimo EU. Pokud prodáváte přímo spotřebitelům v EU nebo přes distributory, kteří nejsou vaším zástupcem, musíte jmenovat zplnomocněného zástupce CRA. Pokud distributor nebo dovozce uvádí produkt na trh EU pod svým jménem, může jednat jako zástupce místo vás.

V každém scénáři je klíčové zdokumentovat dohodu, aktualizovat technické soubory a zajistit, aby proces hlášení splňoval 24hodinovou lhůtu pro oznámení zranitelností.