Autoriseret repræsentant for Cyber Resilience Act: Pligter, priser og valg (2026)

• Pligt for producenter uden for EU, der sælger i EU (art. 18 CRA)
• Offentliggjorte priser: fra €490 til €999/år (oktober 2026)
• Repræsentanten håndterer kontakter, dokumentation og myndighedsvarslinger
• Omfatter ikke vurderinger, tests eller SBOM: kun fuldmagt og videresendelse
• Leverandøroversigt med gennemsigtige priser: REP27, Kadano, Euverify
• Bøder op til €10 millioner eller 2% af global omsætning

Opdateret 23 October 2026 · 8 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 23 October 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Lovens krav: pligt til CRA repræsentant (art. 18)

Cyber Resilience Act (CRA) indfører en ny pligt for producenter af produkter med digitale elementer, som ikke er etableret i EU, men ønsker at bringe disse produkter på EU-markedet. Ifølge artikel 18 skal disse producenter udpege en autoriseret repræsentant via skriftlig fuldmagt. Repræsentanten fungerer som eneste kontaktpunkt mellem producenten uden for EU og de europæiske tilsynsmyndigheder med specifikke ansvar:

• Opbevare EU-overensstemmelseserklæringen og teknisk dokumentation i mindst 10 år efter markedsføring eller i hele den angivne supportperiode, hvis denne er længere.
• Give oplysninger og dokumentation til tilsynsmyndighederne efter anmodning for at bevise produktets overensstemmelse.
• Samarbejde med myndighederne for at eliminere risici forbundet med digitale produkter omfattet af fuldmagten.

Loven gælder for alle producenter uanset oprindelsesland, hvis produkterne er tiltænkt EU-markedet (kilde). Importører, distributører og markedspladser, der ikke agerer som producenter, er ikke omfattet af pligten. Manglende udpegning kan medføre bøder op til €10 millioner eller 2% af global omsætning samt markedsføringsstop.

Udpegningen er ikke blot en formalitet: myndighederne kan til enhver tid kræve teknisk dokumentation og overensstemmelseserklæring via repræsentanten. Ved sikkerhedshændelser skal repræsentanten kunne svare hurtigt på myndigheders forespørgsler.

Sådan vælger du CRA repræsentant: kriterier, sammenligning og forskelle

Valget af autoriseret repræsentant for CRA er strategisk, både for overholdelse og effektiv håndtering af myndighedsanmodninger. Her er hovedkriterierne:

• Klarhed i fuldmagten: Fuldmagten skal begrænses til ansvar i art. 18 uden ulovlige udvidelser (fx vurderinger eller tests, som loven tillægger andre).
• Gennemsigtig pris: Sørg for, at prisen er offentliggjort, og at fornyelsesprisen er kendt på forhånd for at undgå overraskelser.
• Verificerbart certifikat: Foretræk leverandører, der tilbyder offentligt og verificerbart certifikat (fx QR-kode) til dokumentation ved kontrol eller audit.
• Videresendelsesproces: Spørg hvordan myndighedsanmodninger håndteres, på hvilke sprog og med hvilke svartider.
• Eksklusioner og begrænsninger: En seriøs leverandør oplyser klart, hvad der er inkluderet og udelukket, for at undgå uklarheder om vurderinger, tests, SBOM eller teknisk support.

Sammenligningstabel inkl. inklusioner/ekstra gebyrer:

Overvej også ekstra services som produktkatalogscreening (nyttigt ved mange referencer) og muligheden for at dække flere regler (fx GDPR, GPSR) hos én leverandør.

Hvad inkluderer prisen egentlig: synlige og skjulte omkostninger

Den offentliggjorte pris dækker udelukkende skriftlig repræsentantfuldmagt og håndtering af tilsynsmyndigheders anmodninger. Følgende er ikke inkluderet:

• Overensstemmelsesvurdering (ansvar for notificerede organer, ikke repræsentanten)
• Sikkerhedstest, SBOM-generering eller teknisk support
• Udarbejdelse eller revision af teknisk dokumentation
• Juridisk rådgivning eller træning (medmindre specifikt tilbudt, fx Comply.Land)

Inklusionstabel:

Pas på skjulte omkostninger: nogle leverandører offentliggør ikke fornyelsespriser eller opkræver gebyrer for ekstra anmodninger, leverandørskifte eller ydelser uden for fuldmagten. Bed altid om skriftligt tilbud med fornyelsespris og opsigelsesbetingelser.

Husk, at repræsentantens omkostninger kun udgør en lille del af CRA-compliance: de største udgifter er teknisk tilpasning, dokumentationsgenerering og for højere produktklasser certificering via notificerede organer.

Skjulte omkostninger og spørgsmål før underskrift

Før du underskriver fuldmagt med en leverandør, er det vigtigt at afklare for at undgå overraskelser:

• Fornyelsespris: Sørg for, at den er klart angivet i kontrakt eller skriftligt tilbud, ikke kun på hjemmesiden.
• Gebyrer for ekstra anmodninger: Undersøg om der er ekstra omkostninger ved håndtering af anmodninger uden for normal arbejdstid, hastesager eller leverandørskifte.
• Fuldmagtens omfang: Fuldmagten skal kun dække art. 18; tilbud med vurderinger, tests eller andre ydelser strider mod lovgivningen.
• Verificerbart certifikat: Offentligt certifikat (fx QR-kode) er nyttigt for at dokumentere udpegning ved audit eller myndighedsanmodninger.
• Svartider: Spørg om svartider for videresendelse af anmodninger, og om servicen er aktiv også i helligdage og uden for normal arbejdstid.

Beslutningstabel:

Bed altid om skriftlig liste over hvad der er inkluderet, udelukket og eventuelle ekstra gebyrer. En gennemsigtig leverandør giver disse oplysninger uden tøven.

Sådan foregår udpegningen: trin for trin og praktisk tjekliste

Udpegning af CRA repræsentant følger en klar procedure, som du kan starte i god tid før sanktionernes ikrafttræden (december 2027):

1. Bekræft din status: Er du producent uden for EU, der sælger digitale produkter i Europa? Hvis ja, fortsæt.
2. Identificer dækkede produkter: Kortlæg alle digitale produkter til EU-markedet og bekræft, at de er omfattet af CRA.
3. Forbered dokumentation: Klargør EU-overensstemmelseserklæringen og teknisk dokumentation som krævet.
4. Vælg leverandør: Vælg blandt leverandører med offentlig pris og gennemsigtig fuldmagt (se tabel ovenfor).
5. Anmod om fuldmagt: Udfyld online formular eller send skriftlig anmodning. Modtag underskrevet fuldmagt (ofte med eIDAS elektronisk signatur).
6. Registrer repræsentanten: Indfør repræsentantens data i interne politikker, runbooks og teknisk dokumentation.
7. Driftsstyring: Ved myndighedsanmodninger modtager og videresender repræsentanten kommunikationen inden for fastsatte tidsfrister (fx 2 arbejdsdage for REP27).

Dagsorden tjekliste:

1. Bekræft juridisk status og markeder
2. Indsaml og opdater teknisk dokumentation
3. Anmod om tilbud fra flere leverandører
4. Sammenlign inklusioner, eksklusioner og fornyelsespriser
5. Underskriv fuldmagt og opdater interne procedurer

Risici, bøder og konsekvenser uden repræsentant

Manglende udpegning af autoriseret repræsentant medfører væsentlige risici:

• Bøder: Op til €10 millioner eller 2% af global omsætning, afhængigt af hvad der er højest (kilde).
• Markedsføringsstop: Produkter kan blive trukket tilbage fra EU-markedet eller blokeret i tolden.
• Forsinkelser og ineffektivitet: Uden klart kontaktpunkt kan myndighedsanmodninger nå distributører, kunder eller importører, hvilket forsinker og skader omdømme.
• Komplikationer ved hændelser: Ved sårbarheder eller sikkerhedshændelser kan manglende repræsentant forsinke respons og forværre juridiske og kommercielle konsekvenser.

Beslutningsscenario:

Tidlig udpegning reducerer risiko for sanktioner og sikrer hurtig håndtering af myndighedsanmodninger, hvilket er afgørende ved sikkerhedshændelser med korte deadlines (fx 24 timer for rapportering af udnyttede sårbarheder).

Hvad leverandører ofte ikke fortæller: begrænsninger, eksklusioner, risici

Mange leverandører fremhæver ikke nøgleaspekter ved CRA repræsentantservice:

• Vurderinger og tests er udelukket: Ingen repræsentant kan udføre overensstemmelsesvurderinger, sikkerhedstest eller generere SBOM: disse opgaver påhviler notificerede organer eller producenten.
• Fuldmagt begrænset ved lov: Fuldmagten må kun dække art. 18; udvidelser (fx håndtering af art. 13 forpligtelser) er forbudt.
• Fornyelsespris ikke altid gennemsigtig: Nogle leverandører offentliggør ikke fornyelsespris eller opkræver gebyrer ved leverandørskifte eller ekstra anmodninger.
• Begrænset ansvar: Repræsentanten er kun ansvarlig for videresendelse og dokumentopbevaring, ikke for teknisk overensstemmelse eller produktsikkerhed.
• Svartider og sprog: Ikke alle leverandører specificerer svartider eller understøttede sprog, hvilket er vigtigt for effektiv myndighedshåndtering.

Bed altid om skriftlig liste over eksklusioner og servicevilkår for at undgå misforståelser og risiko for manglende overholdelse.

Praktiske scenarier: tre eksempler og den nemmeste løsning

• USA SaaS: Et amerikansk selskab tilbyder cloud-software til EU-kunder. Skal udpege CRA repræsentant, forberede teknisk dokumentation og overensstemmelseserklæring. Kan vælge leverandør med gennemsigtig fuldmagt og fast pris (fx REP27 eller Euverify). Ingen vurdering nødvendig, hvis produktet er basis og harmoniserede standarder gælder.
• Kinesisk Amazon-sælger: En kinesisk producent sælger IoT-enheder på Amazon til EU-kunder. Skal udpege CRA repræsentant, selvom markedspladsen håndterer logistik. Repræsentanten skal fremgå af teknisk dokumentation og produktpolitikker. Markedspladsen dækker ikke denne pligt.
• Britisk webshop: En britisk onlinebutik sælger smart hardware i EU. Efter Brexit betragtes den som uden for EU og skal udpege CRA repræsentant, forberede dokumentation og vælge leverandør med verificerbar fuldmagt. Hvis der også sælges via markedsplads, er producenten stadig ansvarlig.

I alle tilfælde er den nemmeste løsning at vælge en leverandør med offentlig pris, skriftlig fuldmagt og hurtig udpegning (fx REP27: udpegning på 24 timer, QR-certifikat, fast pris).