Auktoriserad representant för Cyber Resilience Act: skyldigheter, priser och val (2026)

• Skyldighet för tillverkare utanför EU som säljer inom EU (art. 18 CRA)
• Publicerade priser: från €490 till €999/år (oktober 2026)
• Representanten hanterar kontakter, dokumentation och myndighetsanmälningar
• Inkluderar inte bedömningar, tester eller SBOM: endast mandat och vidarebefordran
• Leverantörsjämförelse med transparenta priser: REP27, Kadano, Euverify
• Böter upp till €10 miljoner eller 2 % av global omsättning

Uppdaterad 23 October 2026 · 8 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 23 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad lagen kräver: skyldighet att ha CRA-representant (art. 18)

Cyber Resilience Act (CRA) inför en ny skyldighet för alla tillverkare av produkter med digitala komponenter som inte är etablerade inom Europeiska unionen men avser att släppa ut dessa produkter på EU-marknaden. Enligt artikel 18 måste dessa tillverkare utse en auktoriserad representant via ett skriftligt mandat. Representanten fungerar som enda kontaktpunkt mellan tillverkaren utanför EU och de europeiska tillsynsmyndigheterna, med specifika ansvar:

• Behålla EU-försäkran om överensstämmelse och teknisk dokumentation i minst 10 år efter marknadsföring eller under hela den deklarerade supportperioden, om längre.
• Tillhandahålla information och dokumentation till tillsynsmyndigheterna på begäran för att visa produktens överensstämmelse.
• Samarbeta med myndigheterna för att eliminera risker kopplade till de digitala produkter som omfattas av mandatet.

Lagen gäller alla tillverkare oavsett ursprungsland om produkterna är avsedda för EU-marknaden (källa). Importörer, distributörer och marknadsplatser som inte agerar som tillverkare omfattas inte av skyldigheten. Underlåtenhet att utse representant kan leda till böter på upp till €10 miljoner eller 2 % av global omsättning samt marknadsförbud.

Utnämningen är inte bara en formalitet: myndigheterna kan när som helst begära teknisk dokumentation och överensstämmelseförsäkran via representanten. Vid säkerhetsincidenter måste representanten snabbt kunna svara på myndigheternas förfrågningar.

Hur man väljer CRA-representant: kriterier, jämförelse och skillnader

Valet av auktoriserad representant för CRA är strategiskt, både för efterlevnad och effektiv hantering av myndighetsförfrågningar. Här är de viktigaste kriterierna att beakta:

• Tydlighet i mandatet: Mandatet ska begränsas till ansvar enligt art. 18, utan otillåtna tillägg (t.ex. bedömningar eller tester som lagen tilldelar andra aktörer).
• Transparent pris: Kontrollera att priset är publicerat och att förnyelsekostnaden är förhandsangiven för att undvika överraskningar senare.
• Verifierbart certifikat: Föredra leverantörer som erbjuder ett offentligt och verifierbart certifikat (t.ex. QR-kod) för att bevisa utnämningen vid kontroller eller revisioner.
• Vidarebefordringsprocess: Fråga hur myndighetsförfrågningar hanteras, på vilka språk och med vilka svarstider.
• Exklusioner och begränsningar: En seriös leverantör listar tydligt vad som ingår och vad som inte gör det, för att undvika oklarheter kring bedömningar, tester, SBOM eller teknisk support.

Jämförelsetabell för inkluderingar och extra avgifter:

Överväg även tjänster som produktkataloggranskning (nyttigt för många referenser) och möjligheten att täcka flera regelverk (t.ex. GDPR, GPSR) med en enda leverantör.

Vad priset verkligen inkluderar: synliga och dolda kostnader

Det publicerade priset från leverantörerna täcker endast det skriftliga representantmandatet och hantering av myndighetsförfrågningar. Följande ingår inte:

• Överensstämmelsebedömningar (uppgift för anmälda organ, inte representanten)
• Säkerhetstester, generering av SBOM eller teknisk support
• Upprättande eller granskning av teknisk dokumentation
• Juridisk rådgivning eller utbildning (förutom specifika erbjudanden som Comply.Land)

Inklusionstabell:

Var uppmärksam på dolda kostnader: vissa leverantörer publicerar inte förnyelsepriser eller tar ut avgifter för extra förfrågningar, byte av leverantör eller tjänster utanför mandatet. Begär alltid ett skriftligt erbjudande som inkluderar förnyelsepris och uppsägningsvillkor.

Slutligen, tänk på att kostnaden för representanten är en liten del av CRA-efterlevnaden: större kostnader är kopplade till tekniska anpassningar, dokumentationsgenerering och för högre produktklasser certifiering av anmälda organ.

Dolda kostnader och vad du bör fråga innan du skriver under

Innan du tecknar mandat med en leverantör är det viktigt att klargöra följande för att undvika överraskningar:

• Förnyelsepris: Be att det tydligt anges i kontrakt eller skriftligt erbjudande, inte bara på webbplatsen.
• Avgifter för extra förfrågningar: Kontrollera om det finns extra kostnader för hantering av förfrågningar utanför ordinarie tid, brådskande ärenden eller leverantörsbyte.
• Mandatets omfattning: Mandatet ska endast täcka art. 18; erbjudanden som inkluderar bedömningar, tester eller andra tjänster strider mot lagstiftningen.
• Verifierbart certifikat: Ett offentligt certifikat (t.ex. QR-kod) är användbart för att bevisa utnämningen vid revision eller myndighetsförfrågan.
• Svarstider: Fråga om svarstider för vidarebefordran av förfrågningar och om tjänsten är aktiv även under helger och utanför kontorstid.

Beslutsmatris:

Begär alltid en skriftlig lista över vad som ingår, exkluderas och eventuella extraavgifter. En transparent leverantör ger dig denna information utan tvekan.

Hur utnämningen fungerar: steg för steg och praktisk checklista

Utnämningen av CRA-representanten följer en tydlig process som du kan påbörja långt innan sanktionerna träder i kraft (december 2027):

1. Verifiera din status: Är du en tillverkare utanför EU som säljer digitala produkter i Europa? Om ja, fortsätt.
2. Identifiera omfattade produkter: Kartlägg alla digitala produkter avsedda för EU-marknaden och kontrollera att de omfattas av CRA.
3. Förbered dokumentation: Förbered EU-försäkran om överensstämmelse och teknisk dokumentation enligt regelverket.
4. Välj leverantör: Välj bland leverantörer med publicerade priser och transparent mandat (se tabell ovan).
5. Begär mandat: Fyll i onlineformulär eller skicka skriftlig förfrågan. Ta emot undertecknat mandat (ofta med eIDAS elektronisk signatur).
6. Registrera representanten: Lägg in representantens uppgifter i dina interna policyer, runbooks och teknisk dokumentation.
7. Operativ hantering: Vid myndighetsförfrågan tar representanten emot och vidarebefordrar kommunikationen inom angivna tidsramar (t.ex. 2 arbetsdagar för REP27).

Dagens checklista:

1. Verifiera din juridiska status och marknader
2. Samla och uppdatera teknisk dokumentation
3. Begär offerter från flera leverantörer
4. Jämför inkluderingar, exklusioner och förnyelsepriser
5. Skriv under mandat och uppdatera interna rutiner

Risker, böter och konsekvenser utan representant

Underlåtenhet att utse auktoriserad representant medför betydande risker:

• Böter: Upp till €10 miljoner eller 2 % av global omsättning, beroende på vilket belopp som är högst (källa).
• Marknadsförbud: Produkter kan dras tillbaka från EU-marknaden eller stoppas i tullen.
• Förseningar och ineffektivitet: Utan tydlig kontaktpunkt kan myndighetsförfrågningar nå distributörer, kunder eller importörer, vilket orsakar förseningar och skadar anseendet.
• Komplikationer vid incidenter: Vid säkerhetsbrister eller incidenter kan avsaknad av representant fördröja responsen och förvärra juridiska och kommersiella konsekvenser.

Beslutsmatris:

Tidig utnämning minskar risken för sanktioner och säkerställer snabb hantering av myndighetsförfrågningar, vilket är avgörande vid säkerhetsincidenter med korta tidsfrister (t.ex. 24 timmar för rapportering av utnyttjade sårbarheter).

Vad leverantörer ofta inte säger: begränsningar, exklusioner, risker

Många leverantörer framhäver inte vissa viktiga aspekter av CRA-representanttjänsten:

• Bedömningar och tester exkluderade: Ingen representant kan utföra överensstämmelsebedömningar, säkerhetstester eller generera SBOM: detta är separata, ofta dyrare uppgifter som ankommer på anmälda organ eller tillverkaren.
• Mandat begränsat enligt lag: Mandatet får endast omfatta art. 18; varje tillägg (t.ex. hantering av skyldigheter enligt art. 13) är förbjudet enligt regelverket.
• Förnyelsepris inte alltid transparent: Vissa leverantörer publicerar inte förnyelsepriser eller tar ut avgifter för leverantörsbyte eller extra förfrågningar.
• Begränsat ansvar: Representanten ansvarar endast för vidarebefordran och dokumentförvaring, inte för teknisk överensstämmelse eller produktsäkerhet.
• Svarstider och språk: Inte alla leverantörer specificerar svarstider eller språkstöd, vilket är avgörande för effektiv hantering av myndighetsförfrågningar.

Begär alltid en skriftlig lista över exklusioner och villkor för tjänsten för att undvika missförstånd och risk för bristande efterlevnad.

Praktiska scenarier: tre verkliga exempel och enklaste lösningen

• SaaS USA: Ett amerikanskt företag erbjuder molnprogramvara till EU-kunder. Det måste utse en CRA-representant, förbereda teknisk dokumentation och överensstämmelseförsäkran. Det kan välja en leverantör med transparent mandat och fast pris (t.ex. REP27 eller Euverify). Bedömning krävs inte om produkten är grundklass och harmoniserade standarder tillämpas.
• Amazon-säljare Kina: En kinesisk tillverkare säljer IoT-enheter på Amazon till EU-kunder. Den måste utse CRA-representant även om marknadsplatsen hanterar logistiken. Representanten ska anges i teknisk dokumentation och produktpolicyer. Marknadsplatsen täcker inte denna skyldighet.
• Onlinebutik UK: En brittisk webbutik säljer smart hårdvara inom EU. Efter Brexit räknas den som utanför EU och måste utse CRA-representant, förbereda dokumentation och välja leverantör med verifierbart mandat. Om den också säljer via marknadsplatser ansvarar den fortfarande som tillverkare.

I alla dessa fall är den enklaste lösningen att välja en leverantör med publicerat pris, skriftligt mandat och snabb utnämningsprocess (t.ex. REP27: utnämning inom 24 timmar, QR-certifikat, fast pris).