Alternatywy dla zatrudnienia upoważnionego przedstawiciela CRA: Dostawcy i ceny 2026

• Artykuł 18 CRA wymaga przedstawiciela dla producentów spoza UE sprzedających na rynku UE
• Producenci z UE nie muszą wyznaczać upoważnionego przedstawiciela
• Importerzy lub dystrybutorzy mogą pełnić rolę przedstawiciela, jeśli zostaną wyznaczeni
• Zweryfikowane ceny na 2026 wahają się od 490 € do 999 € rocznie
• Mandat obejmuje tylko reprezentację, nie ocenę zgodności ani testy
• Sprzedawcy B2B i B2C spoza UE oferujący produkty cyfrowe zwykle potrzebują tej usługi

Zaktualizowane 19 October 2026 · 7 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 19 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Wymagania Cyber Resilience Act (z numerami artykułów)

Cyber Resilience Act (CRA, rozporządzenie (UE) 2024/2847) to kompleksowe rozporządzenie określające obowiązkowe wymagania dotyczące cyberbezpieczeństwa dla wszystkich produktów z elementami cyfrowymi wprowadzanych na rynek UE. Prawo dotyczy zarówno nowych, jak i istniejących produktów, a jego obowiązki obejmują cały cykl życia produktu, od projektowania i rozwoju po utrzymanie i koniec eksploatacji. CRA weszło w życie 10 grudnia 2024, a pełna stosowalność zaczyna się od 11 grudnia 2027.

Artykuł 18 jest kluczowy dla producentów spoza UE: wymaga od nich wyznaczenia upoważnionego przedstawiciela z siedzibą w UE. Przedstawiciel ten pełni rolę oficjalnego punktu kontaktowego dla organów nadzoru rynku i odpowiada za przekazywanie komunikacji i dokumentacji. Jeśli jesteś producentem z UE, nie musisz wyznaczać przedstawiciela. Natomiast jeśli jesteś producentem spoza UE, musisz albo wyznaczyć przedstawiciela, albo mieć importera lub dystrybutora, który formalnie podejmie tę rolę. Wyznaczenie musi być dokonane na piśmie i jasno udokumentowane.

Artykuł 14 wprowadza rygorystyczny obowiązek zgłaszania w ciągu 24 godzin aktywnie wykorzystywanych luk lub poważnych incydentów wpływających na bezpieczeństwo produktu. Producenci muszą powiadomić ENISA (Europejską Agencję ds. Cyberbezpieczeństwa) w ciągu 24 godzin od uzyskania informacji o zdarzeniu, następnie pełne zgłoszenie w ciągu 72 godzin oraz ostateczny raport w ciągu 14 dni. Terminy liczone są w godzinach kalendarzowych, a platforma zgłoszeniowa jest zarządzana przez ENISA. Obowiązek spoczywa na producencie, nie na importerze czy dystrybutorze, chyba że wprowadzili produkt na rynek pod własną nazwą.

Artykuł 53 określa kary za nieprzestrzeganie, które mogą sięgać do 15 mln € lub 2,5% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa. CRA jest egzekwowane poprzez oznakowanie CE i nadzór rynku, i dotyczy wszystkich produktów z elementami cyfrowymi dostępnych na rynku UE, niezależnie od miejsca siedziby producenta.

• Artykuł 18: Upoważniony przedstawiciel dla producentów spoza UE
• Artykuł 14: 24-godzinne zgłaszanie luk
• Artykuł 53: Kary i egzekwowanie

Więcej o tekście prawnym znajdziesz w oficjalnym podsumowaniu UE.

Jak wybrać upoważnionego przedstawiciela CRA

Wybór właściwego upoważnionego przedstawiciela CRA jest kluczowy dla producentów spoza UE. Przedstawiciel jest Twoją oficjalną obecnością w UE w sprawach regulacyjnych i nadzoru rynku. Oto najważniejsze czynniki do rozważenia:

• Podmiot prawny i lokalizacja: Upewnij się, że dostawca jest zarejestrowanym podmiotem prawnym w UE. Na przykład REP27 — Europe Services, SE ma siedzibę w Pradze, Czechy, co można zweryfikować w czeskim rejestrze handlowym.
• Przejrzystość cen: Szukaj dostawców publikujących ceny zarówno na pierwszy rok, jak i na odnowienie. REP27 podaje 490 € za pierwszy rok i 440 € za odnowienie, z niższymi stawkami przy pakietach mandatów. Wielu dostawców nie publikuje cen odnowienia, co może prowadzić do niespodziewanych kosztów.
• Zakres usług: Sprawdź, co faktycznie obejmuje mandat. Mandat z artykułu 18 powinien zawierać pisemne wyznaczenie, weryfikowalny certyfikat oraz biuro zgłoszeń do przekazywania komunikacji od organów. Niektórzy dostawcy mogą twierdzić, że oferują więcej, ale zgodnie z prawem przedstawiciel nie może wykonywać oceny zgodności ani testów produktu – to wykracza poza zakres artykułu 18.
• Weryfikacja i dokumentacja: Dobry dostawca oferuje certyfikat z publiczną weryfikacją (np. kod QR), co ułatwia organom i kupującym potwierdzenie zgodności.
• Wyłączenia i ograniczenia: Renomowani dostawcy jasno określają, co nie jest wliczone, np. ocenę zgodności, generowanie SBOM czy reakcję na incydenty. Ta przejrzystość pomaga uniknąć nieporozumień i ukrytych kosztów.

Poniżej znajduje się podsumowanie porównawcze zakresu usług i wyłączeń u każdego dostawcy (jeśli znane):

Zawsze żądaj pisemnego potwierdzenia zakresu, wyłączeń i warunków odnowienia przed podpisaniem umowy.

Co naprawdę obejmuje cena

Koszt upoważnionego przedstawiciela CRA jest często najmniejszym elementem Twojego budżetu na zgodność, ale ważne jest, aby rozumieć, co faktycznie kupujesz. Opublikowana cena za przedstawiciela CRA obejmuje tylko mandat z artykułu 18. Zwykle zawiera:

• Pisemne wyznaczenie przedstawiciela w UE
• Certyfikat wyznaczenia, często z kodem QR lub stroną publicznej weryfikacji
• Biuro zgłoszeń do odbierania i przekazywania komunikacji od organów UE, w tym nadzoru rynku i CSIRT

Co nie jest wliczone w cenę:

• Ocena zgodności (wymagana dla ważnych produktów klasy II i krytycznych; realizowana przez jednostki notyfikowane, nie przedstawicieli)
• Testy bezpieczeństwa lub generowanie SBOM (Software Bill of Materials)
• Reakcja na incydenty lub prace inżynieryjne
• Zgłaszanie do ENISA (przedstawiciel przekazuje, ale nie tworzy ani nie składa raportów)

Usługi pakietowe mogą być dostępne dla mandatów GDPR Artykuł 27, NIS2 lub GPSR, często z rabatem. Na przykład REP27 oferuje połączoną reprezentację CRA i GDPR za 690 €/rok lub wszystkie trzy (CRA, GDPR, NIS2) za 990 €/rok. Zawsze sprawdzaj, czy cena odnowienia jest stała, czy może ulec zmianie, oraz czy dostawca pobiera opłaty za zmianę przedstawiciela.

Podsumowanie opublikowanych cen i zakresu:

Dostawcy muszą podać podmiot prawny podpisujący mandat. Zawsze to weryfikuj przed płatnością.

Ukryte koszty i wyłączenia

Choć opłata za upoważnionego przedstawiciela CRA jest zwykle jasna, prawdziwe koszty zgodności z CRA często ukryte są gdzie indziej. Największe wydatki to koszty wewnętrzne związane z inżynierią, dokumentacją i wsparciem produktu:

• Ocena zgodności: Dla ważnych produktów klasy II i krytycznych jednostka notyfikowana musi przeprowadzić ocenę zgodności. Proces ten może kosztować tysiące euro i trwać miesiące. Przedstawiciele nie świadczą tej usługi.
• Testy bezpieczeństwa i SBOM: Generowanie Software Bill of Materials i testy bezpieczeństwa to wymagania techniczne, które muszą realizować zespoły inżynieryjne lub zewnętrzne firmy bezpieczeństwa. Żaden przedstawiciel nie włącza tego do swojego mandatu.
• Okres wsparcia: CRA wymaga, aby producenci zapewniali aktualizacje bezpieczeństwa przez co najmniej pięć lat. Budżetuj utrzymanie i łatki jako ciągły proces, nie jednorazowy projekt.
• Reakcja na incydenty: Przedstawiciel może przekazywać raporty o lukach, ale producent pozostaje odpowiedzialny za badanie, raportowanie i usuwanie incydentów.
• Ciche odnowienia i podwyżki cen: Niektórzy dostawcy nie publikują cen odnowienia lub mogą podnosić opłaty bez powiadomienia. Zawsze uzyskaj cenę odnowienia na piśmie przed podpisaniem.

Poniżej podsumowanie zakresu usług i wyłączeń u poszczególnych dostawców, na podstawie dostępnych informacji:

Aby uniknąć niespodzianek, zawsze żądaj pełnej listy wyłączeń, okresów wypowiedzenia i ewentualnych opłat administracyjnych.

Jak przebiega wyznaczenie: krok po kroku

Wyznaczenie upoważnionego przedstawiciela CRA to prosty proces, ale musi być przeprowadzony starannie, aby zapewnić zgodność. Oto przewodnik krok po kroku:

1. Określ stosowalność: Potwierdź, czy Twoja firma ma siedzibę poza UE i czy wprowadzasz produkty z elementami cyfrowymi na rynek UE. Jeśli jesteś producentem z UE, nie potrzebujesz przedstawiciela.
2. Wybierz drogę: Zdecyduj, czy wyznaczyć upoważnionego przedstawiciela CRA, czy importer lub dystrybutor przejmie tę rolę. Musi to być uzgodnione na piśmie.
3. Wybierz dostawcę: Porównaj dostawców na podstawie opublikowanych cen, zakresu i przejrzystości. Poproś o pisemne potwierdzenie zakresu usług i wyłączeń.
4. Podpisz mandat: Dostawca wystawi listę wyznaczenia, zwykle podpisaną elektronicznie. Dokument powinien jasno określać zakres i podmiot prawny.
5. Odbierz certyfikat: Uzyskaj certyfikat wyznaczenia, najlepiej z kodem QR lub stroną publicznej weryfikacji, do dołączenia do dokumentacji technicznej i plików zgodności.
6. Zaktualizuj dokumentację: Dodaj dane przedstawiciela do dokumentacji technicznej, instrukcji i materiałów zakupowych.
7. Przygotuj się do zgłaszania: Ustaw proces zgłaszania luk, aby spełnić wymóg 24 godzin z artykułu 14. Upewnij się, że wiesz, jak kontaktować się z przedstawicielem i platformą ENISA.

Lista kontrolna na dziś:

1. Zmapuj portfolio produktów pod kątem wymagań CRA
2. Zidentyfikuj kanały sprzedaży w UE (bezpośrednie, przez marketplace, przez dystrybutora)
3. Zdecyduj, kto będzie przedstawicielem (jeśli wymagany)
4. Poproś o pisemne potwierdzenie ceny, zakresu i warunków odnowienia
5. Przygotuj proces zgłaszania luk i wyznacz odpowiedzialny personel

Terminowe wyznaczenie i jasna dokumentacja są kluczowe, aby uniknąć opóźnień w dostępie do rynku lub działań regulacyjnych.

Ryzyka i kary za nieprzestrzeganie

Nieprzestrzeganie wymogu przedstawiciela CRA może mieć poważne konsekwencje. Zgodnie z artykułem 53 kary mogą sięgać do 15 mln € lub 2,5% globalnego obrotu, w zależności od tego, która kwota jest wyższa. Kary dotyczą braku wyznaczenia przedstawiciela, niespełnienia obowiązków zgłaszania i dokumentacji.

Ryzyka nieprzestrzegania obejmują:

• Kary regulacyjne: Znaczne grzywny za brak przedstawiciela, niedotrzymanie terminów zgłaszania luk lub brak właściwej dokumentacji.
• Opóźnienia w dostępie do rynku: Bez przedstawiciela możesz napotkać opóźnienia w zamówieniach, certyfikacji lub cyklach sprzedaży, ponieważ kupujący i organy wymagają dowodu zgodności.
• Brak reakcji na incydenty: Jeśli nie odpowiesz na żądania nadzoru rynku lub CSIRT w wymaganym czasie, grożą dalsze kary i utrata reputacji.
• Bariera w zamówieniach: Duzi kupujący i dystrybutorzy mogą odmówić współpracy z producentami bez ważnego mandatu przedstawiciela.
• Odpowiedzialność pozostaje po stronie producenta: Przedstawiciel jest tylko punktem kontaktowym; cała odpowiedzialność prawna za zgodność, bezpieczeństwo i reakcję na incydenty spoczywa na producencie.

Aby ograniczyć ryzyka, zadbaj o dokumentację wyznaczenia, solidne procesy zgłaszania i aktualne pliki zgodności. Rola przedstawiciela to zapobieganie opóźnieniom i nieporozumieniom podczas incydentów – nie przejmuje on odpowiedzialności za Twoje produkty.

Macierz decyzyjna: czy potrzebujesz upoważnionego przedstawiciela CRA?

Skorzystaj z poniższej macierzy, aby określić, czy musisz wyznaczyć upoważnionego przedstawiciela CRA:

W przypadku marketplace zawsze potwierdzaj na piśmie, czy platforma działa jako importer. Jeśli nie, to Ty odpowiadasz za wyznaczenie przedstawiciela.

Czego dostawcy zwykle nie mówią

Istnieje kilka aspektów reprezentacji CRA, których dostawcy mogą nie podkreślać w materiałach marketingowych:

• Ograniczenia zakresu: Mandat z artykułu 18 obejmuje tylko reprezentację – bez oceny zgodności, SBOM czy reakcji na incydenty. Każde twierdzenie o ich włączeniu jest mylące.
• Ceny odnowienia: Wielu dostawców nie publikuje cen odnowienia, co prowadzi do cichych lub niespodziewanych podwyżek. Zawsze uzyskaj warunki odnowienia na piśmie.
• Odpowiedzialność: Przedstawiciel nie przejmuje odpowiedzialności prawnej za zgodność produktu czy incydenty bezpieczeństwa. Producent pozostaje w pełni odpowiedzialny.
• Okresy wypowiedzenia i zakończenia umowy: Warunki zakończenia umowy lub zmiany dostawcy często nie są ujawniane. Zapytaj o nie przed podpisaniem.
• Opłaty za żądania lub administracyjne: Niektórzy dostawcy mogą pobierać dodatkowe opłaty za obsługę konkretnych żądań lub pilnych komunikatów. Zawsze wyjaśnij, czy takie opłaty obowiązują.
• Język i dostępność: Możliwość obsługi żądań organów w różnych językach i poza godzinami pracy różni się. Na przykład REP27 oferuje całodobowe biuro obsługi, inni mogą nie mieć takiej usługi.

Przejrzystość jest kluczowa – żądaj pełnej listy wyłączeń, ograniczeń i warunków przed podjęciem decyzji.

Realistyczne scenariusze: którą drogę wybrać

• Amerykańska firma SaaS sprzedająca do firm w UE: Jako producent spoza UE wprowadzający produkty cyfrowe na rynek UE musisz wyznaczyć upoważnionego przedstawiciela CRA. Potrzebujesz też przedstawiciela GDPR Art. 27. Najprostsza i najtańsza droga to skorzystanie z dostawcy takiego jak REP27, który oferuje oba mandaty w pakiecie, zapewniając jeden punkt kontaktowy i jasne ceny odnowienia.
• Chiński sprzedawca na Amazon: Jeśli Amazon działa jako importer, możesz nie potrzebować osobnego przedstawiciela CRA. Jeśli jednak sprzedajesz bezpośrednio lub przez marketplace, który nie pełni tej roli, musisz wyznaczyć przedstawiciela CRA. Zawsze potwierdzaj rolę marketplace na piśmie, aby uniknąć luk w zgodności.
• Sklep internetowy z UK sprzedający urządzenia IoT konsumentom w UE: Po Brexicie producenci z UK są traktowani jak spoza UE. Jeśli sprzedajesz bezpośrednio konsumentom w UE lub przez dystrybutorów, którzy nie są Twoim przedstawicielem, musisz wyznaczyć przedstawiciela CRA. Jeśli dystrybutor lub importer wprowadza produkt na rynek UE pod własną nazwą, może pełnić rolę przedstawiciela.

W każdym scenariuszu kluczowe jest udokumentowanie umowy, aktualizacja dokumentacji technicznej i przygotowanie procesów zgłaszania zgodnie z wymogiem 24-godzinnego powiadamiania o lukach.