Behöver jag en auktoriserad representant om jag tillverkar utanför EU? Leverantörer & priser 2026

• Tillverkare utanför EU som säljer inom EU måste utse en auktoriserad representant enligt CRA artikel 18.
• Skyldigheten gäller från 11 september 2026 för produkter med digitala inslag.
• REP27 — Europe Services, SE erbjuder CRA-representation från 490 €/år.
• Konkurrentpriser: kadano 999 €/år, Euverify 590 GBP/år (priser verifierade oktober 2026).
• Utnämning behövs inte för tillverkare etablerade inom EU eller vissa icke-kommersiella open source-ansvariga.
• Representanten hanterar sårbarhetsrapportering och kommunikation med EU-myndigheter.

Uppdaterad 19 October 2026 · 4 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 19 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad lagen kräver: CRA artikel 18 och dina skyldigheter

EU:s Cyber Resilience Act (CRA) inför nya skyldigheter för tillverkare av produkter med digitala inslag. Artikel 18 i CRA, som träder i kraft 11 september 2026, kräver att varje tillverkare etablerad utanför EU utser en auktoriserad representant inom unionen om de säljer sådana produkter i EU. Detta gäller både B2B- och B2C-försäljning, inklusive SaaS, IoT, mjukvaru- och hårdvaruleverantörer.

• Vem måste utse: Varje tillverkare utanför EU som säljer direkt till köpare inom EU, oavsett om försäljningen sker till företag eller konsumenter.
• Vem är undantagen: Tillverkare redan etablerade inom EU, importörer eller distributörer som släpper ut produkter på marknaden under eget namn, samt vissa icke-kommersiella open source-ansvariga (med reducerade skyldigheter).
• Rättslig grund: Artikel 18(1) CRA för representanten, artikel 14 för sårbarhetsrapportering, och artikel 3 för tillämpningsområde.

Representanten fungerar som officiell kontaktpunkt för EU-myndigheter, hanterar sårbarhetsrapportering (artikel 14) och kommunikation vid marknadskontroll. Underlåtenhet att utse representant är ett självständigt överträdelsebrott och kan leda till betydande böter. Som jämförelse har liknande underlåtenheter under GDPR lett till böter på upp till 525 000 EUR (Locatefamily.com-fallet).

Utnämningen måste ske skriftligen och specificera mandatets omfattning (artikel 18(3)). Representantens medlemsstat avgör vilken nationell CSIRT (Computer Security Incident Response Team) som tar emot sårbarhetsrapporter. Om du inte utser någon kan importören eller distributören bli standardkontakt, vilket kan komplicera försäljning och efterlevnad.

För schweiziska skyldigheter erbjuder REP27 en kostnadsfri bedömning med varje betald plan, men en schweizisk representant krävs endast om alla fyra schweiziska kriterier uppfylls. REP27 agerar inte som schweizisk representant men tillhandahåller ett undantagsintyg om det inte krävs.

Hur du väljer en auktoriserad representant: viktiga kriterier och leverantörsjämförelse

Att välja rätt auktoriserad representant är avgörande för efterlevnad och smidig marknadstillgång. Här är huvudfaktorerna att beakta:

• Juridisk person och registrering: Kontrollera att leverantören är ett registrerat EU-företag. REP27 är Europe Services, SE, registrerat i Prag sedan 2014 (IČO 03571785).
• Mandatets omfattning: Mandatet bör vara strikt begränsat till artikel 18(3)-uppgifter. Ingen leverantör kan lagligen täcka artikel 13-uppgifter under CRA.
• Transparens: Förnyelsepriser och inkluderade tjänster ska vara publicerade och bekräftade skriftligen före betalning. REP27 publicerar alla förnyelsepriser och omfattning i förväg.
• Verifiering: Sök efter ett verifierbart certifikat (t.ex. QR-kod, offentlig verifieringssida) för att visa efterlevnad för myndigheter och kunder.
• Support och kommunikation: Bekräfta leverantörens process för vidarebefordran av förfrågningar, stöd för språk och svarstider. REP27 garanterar vidarebefordran inom två arbetsdagar och tillhandahåller integritetsmeddelanden på 8 språk.

Jämför vad som ingår, inte ingår och eventuella extra avgifter:

Begär alltid en skriftlig specifikation av vad som täcks, särskilt om leverantören inte publicerar denna information. Det undviker överraskningar och säkerställer att du bara betalar för det du behöver.

Vad priset verkligen inkluderar & dolda kostnader i CRA-representation

De flesta leverantörers publicerade priser täcker endast det juridiska mandatet och grundläggande kommunikationsuppgifter. De största kostnaderna i CRA-efterlevnad är vanligtvis interna: teknik, dokumentation, SBOM (Software Bill of Materials)-generering och att säkerställa en supportperiod på minst fem år för säkerhetsuppdateringar. För viktiga klass II- eller kritiska produkter krävs en anmäld organ-bedömning, vilket är betydligt dyrare än representantens avgift.

REP27:s prissättning är transparent: 490 €/år för endast CRA, 690 €/år för CRA+GDPR och 990 €/år för CRA+GDPR+NIS2, med lägre förnyelsepriser. Mandatet inkluderar en skriftlig utnämning enligt artikel 18, ett verifierbart certifikat, en bemannad sårbarhetsrapportering och vidarebefordran av förfrågningar. Det inkluderar inte bedömning av överensstämmelse, testning, SBOM-generering eller incidentrapportering – dessa är alltid tillverkarens ansvar eller kräver anmält organ.

Dolda kostnader att se upp för:

• Tysta förnyelser eller oklara förnyelsepriser (vanligt på marknaden).
• Avgifter per förfrågan för vidarebefordran av myndighetskommunikation eller sårbarhetsrapporter.
• Begränsningar i inkluderade tjänster, såsom antal förfrågningar eller språkstöd.
• Ansvarsbegränsningar och undantag dolda i villkor.

REP27 anger alla förnyelsepriser i förväg och listar tydligt undantag. Begär alltid skriftlig bekräftelse på vad som ingår och inte innan du tecknar avtal med någon leverantör.

Hur utnämning fungerar: steg-för-steg-guide och beslutsmatris

Att utse en auktoriserad representant är en enkel men viktig process. Här är en praktisk guide:

1. Bedöm din etablering: Bekräfta att ditt företag är etablerat utanför EU och säljer produkter med digitala inslag inom EU.
2. Kontrollera dina skyldigheter: Avgör om dina produkter omfattas av CRA och om du är tillverkaren, inte bara importör eller distributör.
3. Välj leverantör: Jämför leverantörer baserat på juridisk person, pris, omfattning och transparens. Begär skriftliga detaljer om vad som ingår.
4. Skriv under mandatet: Ingå ett skriftligt avtal som specificerar artikel 18-uppgifter. REP27 utfärdar utnämningen inom 24 timmar med verifierbart certifikat.
5. Uppdatera dina efterlevnadsdokument: Lägg till representantens uppgifter i dina tekniska filer, integritetsmeddelanden och rutiner för sårbarhetsrapportering.
6. Förbered för rapportering: Säkerställ att ditt team känner till processen för 24-timmars sårbarhetsrapportering från 11 september 2026.

Beslutsmatris

Bekräfta alltid skriftligen vem som agerar representant, särskilt om du använder importörer eller distributörer.

Risker, böter och vad leverantörer ofta inte säger

Risker vid bristande efterlevnad: Att inte utse en auktoriserad representant kan leda till rättsliga åtgärder och betydande böter. Under GDPR ledde underlåtenhet att utse representant till en böter på 525 000 EUR för Locatefamily.com. CRA medger självständiga överträdelser och böter kan uppgå till 10 miljoner EUR eller 2 % av den globala årsomsättningen vid bristande efterlevnad av artikel 18.

Vad leverantörer ofta inte säger:

• Mandatbegränsningar: Representantens roll är strikt begränsad till vidarebefordran av kommunikation och att vara kontaktpunkt. De utför inte bedömningar av överensstämmelse, produkttester eller SBOM-generering – detta är alltid tillverkarens ansvar.
• Undantag: REP27 listar tydligt vad som inte ingår: bedömning av överensstämmelse, testning, SBOM och incidentrapportering. Många leverantörer publicerar inte sådana undantag, vilket kan leda till missförstånd.
• Förnyelse- och avgifter per förfrågan: Tysta förnyelser och dolda avgifter per förfrågan är vanliga. Begär alltid skriftlig bekräftelse på förnyelsepriser och eventuella extra avgifter.
• Ansvar: Representanter begränsar vanligtvis sitt ansvar till att vidarebefordra förfrågningar och tillhandahålla dokumentation. De tar inte på sig tekniska eller säkerhetsrelaterade uppgifter.
• Uppsägningstider: Uppsägningstider för att byta leverantör avslöjas sällan i förväg. REP27 erbjuder ett bytepris och en gemensam förnyelsedag för sammansatta mandat.

För att undvika överraskningar, begär alltid en detaljerad tjänstebeskrivning inklusive alla undantag och begränsningar innan du binder dig till en leverantör.

Realistiska scenarier & enklaste efterlevnadsvägar: praktiska exempel

• Amerikanskt SaaS-företag: En SaaS-leverantör baserad i USA säljer prenumerationer till EU-kunder. Från 11 september 2026 måste de utse en EU-auktoriserad representant för CRA artikel 18-uppgifter. Den enklaste vägen är att välja REP27 för 490 €/år, som tillhandahåller skriftligt mandat, verifierbart certifikat och bemannad rapporteringsdesk. Företaget lägger till representantens uppgifter i sitt integritetsmeddelande och sårbarhetsrapportering.
• Kinesisk Amazon-säljare: En kinesisk tillverkare säljer märkesförsedda IoT-enheter på Amazon till EU-kunder. Om Amazon agerar som importör faller skyldigheten att utse representant på Amazon. Om säljaren är tillverkare och säljer under eget varumärke måste denne utse en auktoriserad representant. REP27, kadano eller Euverify är alternativ. Säljaren bör skriftligen bekräfta med Amazon vem som är den ekonomiska aktören.
• Brittisk webbutik: En återförsäljare baserad i Storbritannien säljer smarta hem-enheter till EU-konsumenter. Som tillverkare utanför EU måste de utse en EU-auktoriserad representant för CRA-efterlevnad. REP27 erbjuder sammansatta mandat (CRA+GDPR+NIS2) för 990 €/år, vilket förenklar efterlevnad över flera regelverk. Återförsäljaren skriver under mandatet, uppdaterar sina efterlevnadsfiler och förbereder sig för 24-timmars sårbarhetsrapportering.

Checklista för köpare

1. Bekräfta ditt företags etableringsland och om du är tillverkaren.
2. Fastställ om dina produkter säljs i EU och omfattas av CRA.
3. Kontrollera om din importör eller distributör agerar som ekonomisk aktör; annars måste du utse representant.
4. Jämför leverantörer för transparens, omfattning och pris. Begär skriftlig bekräftelse på vad som ingår och inte.
5. Skriv under ett skriftligt mandat och erhåll ett verifierbart certifikat.
6. Uppdatera din efterlevnadsdokumentation, integritetsmeddelanden och rutiner för sårbarhetsrapportering med representantens uppgifter.
7. Utbilda ditt team om 24-timmars sårbarhetsrapportering från 11 september 2026.
8. Granska förnyelsevillkor, uppsägningstider och eventuella extra avgifter innan du binder dig.