Benötige ich einen Bevollmächtigten, wenn ich außerhalb der EU herstelle? Anbieter & Preise 2026

• Hersteller außerhalb der EU, die in der EU verkaufen, müssen gemäß Artikel 18 CRA einen Bevollmächtigten benennen.
• Diese Pflicht gilt ab dem 11. September 2026 für Produkte mit digitalen Elementen.
• REP27 — Europe Services, SE bietet CRA-Vertretung ab 490 €/Jahr an.
• Wettbewerberpreise: kadano 999 €/Jahr, Euverify 590 GBP/Jahr (Preise geprüft Oktober 2026).
• Keine Benennungspflicht für in der EU ansässige Hersteller oder einige nicht-kommerzielle Open-Source-Verwalter.
• Der Bevollmächtigte übernimmt die Meldung von Schwachstellen und die Kommunikation mit EU-Behörden.

Aktualisiert 19 Oktober 2026 · 4 Quellen geprüft

Anbieter im Vergleich

Preise wie am 19 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was das Gesetz verlangt: CRA Artikel 18 und Ihre Pflichten

Der EU Cyber Resilience Act (CRA) führt neue Pflichten für Hersteller von Produkten mit digitalen Elementen ein. Artikel 18 des CRA, gültig ab 11. September 2026, verlangt von jedem außerhalb der EU ansässigen Hersteller, der solche Produkte in der EU verkauft, einen Bevollmächtigten innerhalb der Union zu benennen. Dies gilt für B2B- und B2C-Verkäufe, einschließlich SaaS, IoT, Software- und Hardwareanbieter.

• Wer benennen muss: Jeder Hersteller außerhalb der EU, der direkt an EU-Kund:innen verkauft, unabhängig davon, ob an Unternehmen oder Verbraucher.
• Wer ausgenommen ist: Hersteller mit Sitz in der EU, Importeure oder Händler, die Produkte unter eigenem Namen in Verkehr bringen, sowie einige nicht-kommerzielle Open-Source-Verwalter (mit reduzierten Pflichten).
• Rechtsgrundlage: Artikel 18(1) CRA für den Bevollmächtigten, Artikel 14 für Schwachstellenmeldungen und Artikel 3 für den Anwendungsbereich.

Der Bevollmächtigte fungiert als offizieller Ansprechpartner für EU-Behörden, übernimmt Schwachstellenmeldungen (Artikel 14) und Kommunikation mit der Marktüberwachung. Die Nichtbenennung ist ein eigenständiger Verstoß, der mit hohen Bußgeldern geahndet werden kann. Zum Vergleich: Unter DSGVO führten ähnliche Verstöße zu Bußgeldern bis zu 525.000 EUR (Fall Locatefamily.com).

Die Benennung muss schriftlich erfolgen und den Umfang spezifizieren (Artikel 18(3)). Der Mitgliedstaat des Bevollmächtigten bestimmt, welches nationale CSIRT (Computer Security Incident Response Team) Schwachstellenmeldungen erhält. Wird kein Bevollmächtigter benannt, kann der Importeur oder Händler zum Ansprechpartner werden, was Verkauf und Compliance erschweren kann.

Für Schweizer Pflichten bietet REP27 mit jedem kostenpflichtigen Plan eine kostenlose Prüfung an. Nur wenn alle vier Schweizer Kriterien erfüllt sind, ist ein Schweizer Bevollmächtigter erforderlich. REP27 fungiert nicht als Schweizer Bevollmächtigter, stellt aber eine Befreiungserklärung aus, falls nicht erforderlich.

Wie Sie einen Bevollmächtigten wählen: Wichtige Kriterien und Anbieter-Vergleich

Die Wahl des richtigen Bevollmächtigten ist entscheidend für Compliance und reibungslosen Marktzugang. Hier die wichtigsten Faktoren:

• Rechtsform und Registrierung: Prüfen Sie, ob der Anbieter ein registriertes EU-Unternehmen ist. REP27 ist Europe Services, SE, seit 2014 in Prag registriert (IČO 03571785).
• Mandatsumfang: Das Mandat sollte strikt auf die Pflichten aus Artikel 18(3) beschränkt sein. Kein Anbieter darf rechtlich die Pflichten aus Artikel 13 CRA übernehmen.
• Transparenz: Verlängerungspreise und enthaltene Leistungen sollten veröffentlicht und vor Zahlung schriftlich bestätigt werden. REP27 veröffentlicht alle Verlängerungspreise und den Umfang im Voraus.
• Verifizierbarkeit: Achten Sie auf ein verifizierbares Zertifikat (z. B. QR-Code, öffentliche Prüfseite), um Compliance gegenüber Behörden und Kunden nachzuweisen.
• Support und Kommunikation: Klären Sie den Prozess für die Weiterleitung von Anfragen, unterstützte Sprachen und Reaktionszeiten. REP27 garantiert Weiterleitung innerhalb von zwei Werktagen und stellt Datenschutzhinweise in 8 Sprachen bereit.

Vergleichen Sie, was enthalten, nicht enthalten ist und ob Zusatzgebühren anfallen:

Fordern Sie immer eine schriftliche Aufschlüsselung der enthaltenen Leistungen an, besonders wenn der Anbieter diese nicht veröffentlicht. So vermeiden Sie Überraschungen und zahlen nur für das, was Sie wirklich brauchen.

Was der Preis wirklich beinhaltet & versteckte Kosten bei CRA-Vertretung

Die meisten veröffentlichten Preise der Anbieter decken nur das gesetzliche Mandat und grundlegende Kommunikationspflichten ab. Die größten Kosten bei CRA-Compliance entstehen meist intern: Entwicklung, Dokumentation, SBOM-Erstellung und die Sicherstellung eines mindestens fünfjährigen Supportzeitraums für Sicherheitsupdates. Für wichtige Klasse-II- oder kritische Produkte ist eine Benannte Stelle erforderlich, die deutlich teurer ist als die Gebühr für den Bevollmächtigten.

Die Preise von REP27 sind transparent: 490 €/Jahr für nur CRA, 690 €/Jahr für CRA+DSGVO und 990 €/Jahr für CRA+DSGVO+NIS2, mit günstigeren Verlängerungspreisen. Das Mandat umfasst eine schriftliche Benennung nach Artikel 18, ein verifizierbares Zertifikat, ein besetztes Schwachstellen-Meldebüro und die Weiterleitung von Anfragen. Es enthält nicht Konformitätsbewertung, Tests, SBOM-Erstellung oder Vorfallmeldungen – diese liegen immer in der Verantwortung des Herstellers oder erfordern eine Benannte Stelle.

Versteckte Kosten, auf die Sie achten sollten:

• Stille Verlängerungen oder unklare Verlängerungspreise (marktüblich).
• Gebühren pro Anfrage für Weiterleitung von Behördenkommunikation oder Schwachstellenmeldungen.
• Begrenzungen der enthaltenen Leistungen, z. B. Anzahl der Anfragen oder unterstützte Sprachen.
• Haftungsbeschränkungen und Ausschlüsse, die in AGB versteckt sind.

REP27 veröffentlicht alle Verlängerungspreise im Voraus und listet Ausschlüsse klar auf. Fordern Sie vor Vertragsabschluss immer eine schriftliche Bestätigung, was enthalten und ausgeschlossen ist.

Wie die Benennung funktioniert: Schritt-für-Schritt-Anleitung und Entscheidungsmatrix

Die Benennung eines Bevollmächtigten ist ein einfacher, aber wichtiger Prozess. Hier eine praktische Anleitung:

1. Bewerten Sie Ihren Standort: Stellen Sie sicher, dass Ihr Unternehmen außerhalb der EU ansässig ist und Produkte mit digitalen Elementen in der EU verkauft.
2. Prüfen Sie Ihre Pflichten: Ermitteln Sie, ob Ihre Produkte unter den CRA fallen und ob Sie der Hersteller sind, nicht nur Importeur oder Händler.
3. Wählen Sie einen Anbieter: Vergleichen Sie Anbieter nach Rechtsform, Preis, Umfang und Transparenz. Fordern Sie schriftliche Details zu den enthaltenen Leistungen an.
4. Unterzeichnen Sie das Mandat: Schließen Sie eine schriftliche Vereinbarung ab, die die Pflichten nach Artikel 18 regelt. REP27 stellt die Benennung innerhalb von 24 Stunden aus und liefert ein verifizierbares Zertifikat.
5. Aktualisieren Sie Ihre Compliance-Dokumente: Fügen Sie die Daten des Bevollmächtigten Ihren technischen Unterlagen, Datenschutzhinweisen und Schwachstellen-Meldeanleitungen hinzu.
6. Bereiten Sie die Meldung vor: Schulen Sie Ihr Team für die 24-Stunden-Schwachstellenmeldung ab 11. September 2026.

Entscheidungsmatrix

Bestätigen Sie immer schriftlich, wer als Bevollmächtigter auftritt, besonders wenn Sie Importeure oder Händler nutzen.

Risiken, Bußgelder und was Anbieter meist nicht sagen

Risiken bei Nicht-Compliance: Die Nichtbenennung eines Bevollmächtigten kann zu Vollzugsmaßnahmen und erheblichen Bußgeldern führen. Unter der DSGVO führte die Nichtbenennung zu einer Geldstrafe von 525.000 € für Locatefamily.com. Der CRA sieht eigenständige Verstöße vor, mit Bußgeldern bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes bei Verstößen gegen Artikel 18.

Was Anbieter meist nicht sagen:

• Mandatsbeschränkungen: Die Rolle des Bevollmächtigten ist streng auf Weiterleitung von Kommunikation und Kontaktaufnahme beschränkt. Sie führen keine Konformitätsbewertung, Produkttests oder SBOM-Erstellung durch – das liegt immer beim Hersteller.
• Ausschlüsse: REP27 listet klar auf, was nicht enthalten ist: Konformitätsbewertung, Tests, SBOM und Vorfallmeldungen. Viele Anbieter veröffentlichen solche Ausschlüsse nicht, was zu Missverständnissen führen kann.
• Verlängerungs- und Anfragegebühren: Stille Verlängerungen und versteckte Gebühren pro Anfrage sind verbreitet. Fordern Sie immer schriftliche Bestätigung zu Verlängerungspreisen und Zusatzkosten an.
• Haftung: Bevollmächtigte beschränken ihre Haftung meist auf die Weiterleitung von Anfragen und Bereitstellung von Dokumenten. Sie übernehmen keine technischen oder sicherheitsrelevanten Aufgaben.
• Kündigungsfristen: Kündigungs- oder Wechselfristen werden selten offen kommuniziert. REP27 bietet einen Wechselpreis und ein einheitliches Verlängerungsdatum für gebündelte Mandate.

Um Überraschungen zu vermeiden, fordern Sie vor Vertragsabschluss immer eine detaillierte Leistungsbeschreibung mit allen Ausschlüssen und Beschränkungen an.

Realistische Szenarien & einfachste konforme Wege: Praxisbeispiele

• US-SaaS-Unternehmen: Ein SaaS-Anbieter mit Sitz in den USA verkauft Abonnements an EU-Kund:innen. Ab 11. September 2026 muss er einen EU-Bevollmächtigten für CRA Artikel 18 benennen. Der einfachste Weg ist REP27 für 490 €/Jahr, das ein schriftliches Mandat, verifizierbares Zertifikat und besetztes Meldebüro bietet. Das Unternehmen ergänzt die Daten des Bevollmächtigten in Datenschutzhinweisen und Schwachstellen-Meldeanleitungen.
• Chinesischer Amazon-Verkäufer: Ein chinesischer Hersteller verkauft gebrandete IoT-Geräte auf Amazon an EU-Kund:innen. Wenn Amazon als Importeur auftritt, liegt die Pflicht zur Bevollmächtigten-Benennung bei Amazon. Wenn der Verkäufer Hersteller ist und unter eigener Marke verkauft, muss er einen Bevollmächtigten benennen. REP27, kadano oder Euverify sind Optionen. Der Verkäufer sollte schriftlich mit Amazon klären, wer der Wirtschaftsakteur ist.
• UK-Online-Shop: Ein britischer Händler verkauft Smart-Home-Geräte an EU-Verbraucher. Als Hersteller außerhalb der EU muss er einen EU-Bevollmächtigten für CRA-Compliance benennen. REP27 bietet gebündelte Mandate (CRA+DSGVO+NIS2) für 990 €/Jahr an, was die Compliance über mehrere Regelwerke vereinfacht. Der Händler unterzeichnet das Mandat, aktualisiert seine Compliance-Unterlagen und bereitet sich auf die 24-Stunden-Schwachstellenmeldung vor.

Käufer-Checkliste

1. Bestätigen Sie den Sitz Ihres Unternehmens und ob Sie Hersteller sind.
2. Ermitteln Sie, ob Ihre Produkte in der EU verkauft werden und unter den CRA fallen.
3. Prüfen Sie, ob Importeur oder Händler als Wirtschaftsakteur auftreten; falls nicht, müssen Sie einen Bevollmächtigten benennen.
4. Vergleichen Sie Anbieter hinsichtlich Transparenz, Umfang und Preis. Fordern Sie schriftliche Bestätigung zu enthaltenen und ausgeschlossenen Leistungen an.
5. Unterzeichnen Sie ein schriftliches Mandat und erhalten Sie ein verifizierbares Zertifikat.
6. Aktualisieren Sie Ihre Compliance-Dokumentation, Datenschutzhinweise und Schwachstellen-Meldeanleitungen mit den Daten des Bevollmächtigten.
7. Schulen Sie Ihr Team für die 24-Stunden-Schwachstellenmeldung ab 11. September 2026.
8. Prüfen Sie Verlängerungsbedingungen, Kündigungsfristen und Zusatzgebühren vor Vertragsabschluss.