Beste Cyber Resilience Act (CRA) Bevollmächtigte Vertreter Services: Vergleich 2026

• CRA Artikel 18 verlangt von Herstellern außerhalb der EU die Benennung eines EU-bevollmächtigten Vertreters.
• REP27 — Europe Services, SE: 490 €/Jahr, Verlängerung 440 €, klare Leistungsbeschreibung und Ausschlüsse.
• Euverify: 590 GBP/Jahr, Preis verifiziert, keine Details zu Leistungen veröffentlicht.
• kadano: 999 €/Jahr, Preis verifiziert, keine Details zu Leistungen veröffentlicht.
• Keine Anbieter inkludieren Konformitätsbewertung, Tests oder Rechtsberatung.
• Benennung erfolgt schnell (REP27: innerhalb 24 Stunden); Verlängerungsbedingungen variieren.

Aktualisiert 18 Oktober 2026 · 5 Quellen geprüft

Anbieter im Vergleich

Preise wie am 18 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was der Cyber Resilience Act verlangt (Artikel 18, Artikel 14)

Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) führt strenge Pflichten für Hersteller von Produkten mit digitalen Elementen ein, die in der EU verkauft werden. Wenn Sie als Hersteller außerhalb der EU ansässig sind, verlangt Artikel 18 die Benennung eines bevollmächtigten Vertreters mit Sitz in der EU. Dies ist für Nicht-EU-Hersteller verpflichtend: Der Vertreter fungiert als Ihr rechtlicher Ansprechpartner für Marktüberwachungsbehörden und koordiniert die Schwachstellenmeldung gemäß Artikel 14.

Artikel 14 schreibt eine 24-Stunden-Frist vor, um Behörden über aktiv ausgenutzte Schwachstellen oder schwerwiegende Sicherheitsvorfälle zu informieren. Der Vertreter ist zuständig für den Empfang und die Weiterleitung dieser Meldungen und stellt sicher, dass Sie die regulatorischen Fristen einhalten. Die Meldefristen sind eng: 24 Stunden für die Frühwarnung, 72 Stunden für die vollständige Meldung und 14 Tage für den Abschlussbericht. Der Empfänger richtet sich nach dem Standort Ihres Vertreters, Importeurs oder Distributors – ohne Vertreter verlieren Sie die Kontrolle und riskieren Verzögerungen oder Sanktionen.

Es ist wichtig zu verstehen, was das Mandat des Vertreters umfasst und ausschließt. Kein Anbieter, einschließlich REP27, kadano oder Euverify, bietet technische Bewertungen, SBOM-Erstellung oder Produkttests als Teil des Vertreterservices an. Diese sind separate, meist deutlich teurere Compliance-Schritte, die von technischen oder Sicherheitsfirmen übernommen werden. Die Rolle des Vertreters ist rein administrativ und rechtlich: Ihr Mandat halten, Anfragen weiterleiten und einen offenen, prüfbaren Meldekanal sicherstellen.

Inklusive / Nicht inklusive / Zusatzkosten Tabelle

Wie man einen CRA bevollmächtigten Vertreter auswählt

Die Wahl des richtigen CRA bevollmächtigten Vertreters ist ein entscheidender Compliance-Schritt für Hersteller außerhalb der EU. Der gewählte Anbieter ist Ihr offizieller Ansprechpartner für EU-Behörden, und seine Zuverlässigkeit kann den Unterschied zwischen reibungsloser Einhaltung und kostspieligen Verzögerungen ausmachen. Wichtige Kriterien sind:

• Rechtliche Einheit: Stellen Sie sicher, dass der Anbieter eine registrierte EU-Rechtseinheit ist. REP27 ist beispielsweise Europe Services, SE mit Sitz in Prag und seit 2014 im tschechischen Handelsregister eingetragen. So ist Ihr Mandat gültig und durchsetzbar.
• Mandatsumfang: Das Mandat sollte auf die Pflichten aus Artikel 18 beschränkt sein. Anbieter, die auch Pflichten aus Artikel 13 abdecken wollen, überschreiten den erlaubten Rahmen und bieten womöglich nicht-konforme Leistungen an.
• Preistransparenz: Fordern Sie immer den Verlängerungspreis schriftlich an, bevor Sie unterschreiben. REP27 ist der einzige Anbieter in diesem Vergleich, der Verlängerungspreise klar veröffentlicht.
• Verifizierungsprozess: Erkundigen Sie sich, wie Sie (und Behörden) Ihr Mandat verifizieren können. REP27 bietet ein QR-codiertes Zertifikat mit öffentlicher Verifikation; andere Anbieter nennen keine Details.
• Sprachen und Verfügbarkeit: Prüfen Sie, in welchen Sprachen der Anfragedienst verfügbar ist und zu welchen Zeiten. REP27 stellt einen 8-sprachigen Dienst rund um die Uhr, auch an Wochenenden und Feiertagen, bereit.
• Ausschlüsse: Ein seriöser Anbieter listet klar auf, was nicht enthalten ist (z. B. Rechtsberatung, technische Bewertung, SBOM-Erstellung). Diese Klarheit vermeidet Missverständnisse und unerwartete Kosten.

Entscheidungsmatrix

Was der Preis wirklich beinhaltet

Es ist wichtig zu verstehen, was Sie kaufen. Alle Anbieter in diesem Vergleich bieten ein schriftliches Mandat nach Artikel 18, das die gesetzliche Mindestanforderung für die Einhaltung ist. Umfang und Transparenz der Leistungen variieren jedoch stark. REP27 nennt seine Leistungen detailliert: unterschriebener Bevollmächtigungsbrief (mit eIDAS elektronischer Signatur), verifizierbares Zertifikat (QR-Code und öffentliche Verifikation), Datenschutzhinweise in 8 Sprachen, Anfragedienst zur Weiterleitung von Behörden- und Betroffenenanfragen innerhalb von 2 Werktagen sowie Aufbewahrung von Artikel 30 Unterlagen für Behörden. Der 24/7 Meldekanal ist ebenfalls enthalten, damit Sie die strengen CRA-Meldefristen jederzeit einhalten können.

Euverify und kadano veröffentlichen zwar Preise, spezifizieren auf ihren öffentlichen Seiten jedoch nicht, ob sie einen 24/7 Anfragedienst, mehrsprachigen Support oder öffentliche Zertifikatsverifikation bieten. Ihr Leistungsumfang beschränkt sich auf das Artikel 18 Mandat. Technische Leistungen wie Konformitätsbewertung, SBOM-Erstellung oder Schwachstellentests sind nicht enthalten – diese müssen immer extern bei technischen oder benannten Stellen beauftragt werden.

REP27 ist der einzige Anbieter in diesem Vergleich, der seinen Verlängerungspreis (440 €/Jahr) veröffentlicht und Bündeloptionen für Unternehmen mit mehreren Mandaten (z. B. DSGVO Artikel 27, GPSR Artikel 16 oder NIS2) anbietet. Diese Transparenz ermöglicht eine genaue Budgetplanung und vermeidet unangenehme Überraschungen bei der Verlängerung. Andere Anbieter nennen Verlängerungspreise oder Bündeloptionen nicht öffentlich.

Fordern Sie immer eine detaillierte Aufschlüsselung der enthaltenen Leistungen, der Ausschlüsse und möglicher Zusatzkosten für weitere Services oder Eil-Anfragen an. Ein klares, schriftliches Angebot schützt Sie vor versteckten Kosten.

Versteckte Kosten und was Anbieter meist nicht sagen

Der veröffentlichte Preis für einen CRA bevollmächtigten Vertreter deckt nur das rechtliche Mandat und die administrative Weiterleitung von Anfragen ab. Die teuersten und ressourcenintensivsten Aspekte der CRA-Compliance sind in keiner Anbietergebühr enthalten. Dazu gehören:

• Konformitätsbewertung: Für wichtige Klasse-II- und kritische Produkte ist eine Bewertung durch eine benannte Stelle Pflicht und kostet meist mehrere Tausend Euro mit monatelangen Vorlaufzeiten. Dies ist nie im Vertreterpreis enthalten.
• SBOM-Erstellung: Die Software-Stückliste (SBOM) muss von Ihrer eigenen Build-Pipeline oder technischem Team erstellt werden. Kein Vertreter bietet diesen Service an.
• Schwachstellentests: Sicherheitstests sind Aufgabe spezialisierter Firmen und nicht Teil des Vertreterservices.
• Supportzeitraum: Der CRA verlangt mindestens fünf Jahre Sicherheitsupdates für Produkte. Die Budgetierung und Ressourcenplanung für diesen Zeitraum ist ein erheblicher versteckter Kostenfaktor, der von Neueinsteigern oft unterschätzt wird.
• Verlängerungspreise: Viele Anbieter veröffentlichen ihre Verlängerungspreise nicht, was zu unerwarteten Erhöhungen nach dem ersten Jahr führen kann. REP27 ist der einzige Anbieter in diesem Vergleich, der Verlängerungspreise vorab veröffentlicht.
• Ausschlüsse und Haftung: Der Vertreter bietet keine Rechtsberatung, beantwortet keine technischen Fragen in Ihrem Namen und übernimmt keine Haftung für Ihre Compliance. Artikel 27(5) DSGVO (analog CRA) stellt klar, dass die Benennung keine Maßnahmen gegen das Unternehmen selbst verhindert.

Fordern Sie immer eine schriftliche Liste der Ausschlüsse an. Wenn ein Anbieter unklar ist, was nicht enthalten ist, oder keine Verlängerungsbedingungen nennt, ist das ein Warnsignal. Das häufigste Problem, das REP27 beobachtet, ist ein stillschweigendes Erlöschen des Mandats wegen unklarer Verlängerungsprozesse oder verschiedener Verlängerungstermine bei mehreren Anbietern.

Wie die Benennung funktioniert: Schritt für Schritt

Die Benennung eines CRA bevollmächtigten Vertreters ist einfach, wenn Sie diese Schritte befolgen:

1. Anwendbarkeit prüfen: Stellen Sie sicher, dass Sie Hersteller (nicht Importeur oder Distributor) eines Produkts mit digitalen Elementen sind, das in der EU verkauft wird. Prüfen Sie, ob Ihr Produkt unter den CRA fällt.
2. Anbieter recherchieren: Vergleichen Sie Anbieter nach Rechtseinheit, veröffentlichtem Preis, Verlängerungsbedingungen und Leistungsumfang. Nutzen Sie die Tabelle Inklusive/Nicht inklusive in diesem Leitfaden.
3. Schriftliches Angebot anfordern: Kontaktieren Sie den Anbieter für ein schriftliches Mandat und Bestätigung von Verlängerungspreis und Ausschlüssen.
4. Mandat unterschreiben: Unterzeichnen Sie das Artikel 18 Mandat (REP27 bietet eIDAS elektronische Signatur, Ausstellung innerhalb 24 Stunden). Erhalten Sie Ihren Benennungsbrief und das verifizierbare Zertifikat.
5. Dokumentation aktualisieren: Fügen Sie die Vertreterdaten in Ihre technische Dokumentation, Verpackung und Gebrauchsanweisung ein, wie vom CRA verlangt.
6. Interne Prozesse einrichten: Bereiten Sie Ihr internes Runbook für 24- und 72-Stunden-Meldungen vor. Definieren Sie, wer Vorfälle melden darf, erstellen Sie Vorlagen für Meldungen und stellen Sie sicher, dass mindestens zwei Mitarbeiter Zugang zur ENISA-Plattform haben.
7. Budget für technische Compliance planen: Organisieren Sie Konformitätsbewertung (falls erforderlich), SBOM-Erstellung und planen Sie den fünfjährigen Supportzeitraum für Sicherheitsupdates.
8. Jährlich verlängern: Überwachen Sie Verlängerungstermine und verhindern Sie, dass das Mandat erlischt. REP27 bietet eine Rechnung und ein Verlängerungsdatum für gebündelte Services.

Einkaufs-Checkliste

1. Sind Sie ein Hersteller außerhalb der EU, der digitale Produkte in der EU verkauft?
2. Haben Sie die richtige Produktklasse identifiziert (Standard, wichtig Klasse I/II, kritisch)?
3. Liegt Ihnen ein schriftliches Angebot mit Verlängerungspreis und Ausschlüssen vor?
4. Ist Ihr Anbieter eine registrierte EU-Rechtseinheit?
5. Haben Sie alle Dokumentationen und Verpackungen aktualisiert?
6. Sind interne Melde- und Supportprozesse eingerichtet?
7. Haben Sie Budget für technische Compliance und laufenden Support eingeplant?

Risiken, Bußgelder und realistische Szenarien

Das Versäumnis, einen CRA bevollmächtigten Vertreter zu benennen, kann schwerwiegende Folgen haben. Zwar legt der CRA keine festen Bußgelder für das Fehlen des Mandats fest, aber Nicht-Einhaltung kann zur Marktsperrung Ihrer Produkte in der EU, Rückrufanordnungen und Reputationsschäden führen. Der kostenintensivste Teil der Compliance ist meist technischer Natur (Bewertung durch benannte Stelle, SBOM, Sicherheitsupdates), nicht die Vertretergebühr. Die Rolle des Vertreters ist es, Verzögerungen zu vermeiden und einen direkten, verifizierbaren Kommunikationsweg für Marktüberwachung und Schwachstellenmeldung sicherzustellen.

Was Anbieter meist nicht sagen

• Mandatsverluste durch fehlende Verlängerung sind häufig – bei mehreren Anbietern sollten Verlängerungstermine abgestimmt werden.
• Manche Anbieter bieten einen niedrigen Erstjahrespreis, veröffentlichen aber keine Verlängerungspreise; immer schriftlich bestätigen lassen.
• Artikel 18 Mandate dürfen nicht vorgeben, auch Artikel 13 Pflichten abzudecken – das ist unzulässig.
• Die Haftung ist begrenzt: Der Vertreter beantwortet keine technischen Fragen und übernimmt keine Verantwortung für Ihre Compliance.

Szenarien

• US SaaS-Unternehmen mit EU-Verkauf: Benötigt CRA Vertreter für Artikel 18 und DSGVO Artikel 27 Vertreter. REP27 bietet beide im Bundle (690 €/Jahr) mit einer Rechnung und einem Verlängerungsdatum. Technische Bewertung und Sicherheitsupdates müssen selbst organisiert werden.
• Chinesischer Amazon-Verkäufer: Muss einen CRA Vertreter für IoT-Produkte in der EU benennen. Die günstigste veröffentlichte Option ist REP27 (490 €/Jahr). Der Verkäufer muss eigene SBOM erstellen und den fünfjährigen Support sicherstellen.
• UK Online-Shop für smarte Geräte: Benötigt CRA Vertreter für EU-Verkauf. Euverify (590 GBP/Jahr) und kadano (999 €/Jahr) sind Alternativen, aber nur REP27 veröffentlicht Verlängerungspreise. Technische Compliance ist separat zu regeln.