Autorisierter Vertreter Cyber Resilience Act: Pflichten, Preise & Auswahl (2026)

• Pflicht für Hersteller außerhalb der EU, die in der EU verkaufen (Art. 18 CRA)
• Veröffentlichte Preise: von €490 bis €999/Jahr (Oktober 2026)
• Der Vertreter verwaltet Kontakte, Dokumentation und Behördenmitteilungen
• Keine Assessments, Tests oder SBOM enthalten: nur Mandat und Weiterleitung
• Anbietervergleich mit transparenten Preisen: REP27, Kadano, Euverify
• Bußgelder bis zu €10 Millionen oder 2 % des weltweiten Umsatzes

Aktualisiert 23 Oktober 2026 · 8 Quellen geprüft

Anbieter im Vergleich

Preise wie am 23 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Gesetzliche Anforderungen: CRA-Vertreterpflicht (Art. 18)

Der Cyber Resilience Act (CRA) führt eine neue Pflicht für alle Hersteller digitaler Produkte ein, die nicht in der Europäischen Union ansässig sind, aber ihre Produkte auf dem EU-Markt vertreiben wollen. Gemäß Artikel 18 müssen diese Hersteller einen autorisieren Vertreter per schriftlichem Mandat benennen. Der Vertreter fungiert als einziger Ansprechpartner zwischen dem außereuropäischen Hersteller und den europäischen Aufsichtsbehörden mit klar definierten Aufgaben:

• Aufbewahrung der EU-Konformitätserklärung und der technischen Dokumentation für mindestens 10 Jahre nach Inverkehrbringen oder für die gesamte deklarierte Supportdauer, falls länger.
• Bereitstellung von Informationen und Dokumenten an Aufsichtsbehörden auf Anfrage, um die Produktkonformität nachzuweisen.
• Zusammenarbeit mit Behörden zur Beseitigung von Risiken im Zusammenhang mit den vom Mandat abgedeckten digitalen Produkten.

Das Gesetz gilt für alle Hersteller, unabhängig vom Herkunftsland, sofern die Produkte für den EU-Markt bestimmt sind (Quelle). Importeuren, Händlern und Marktplätzen, die nicht als Hersteller agieren, obliegt diese Pflicht nicht. Die Nichtbenennung eines Vertreters kann Bußgelder bis zu €10 Millionen oder 2 % des weltweiten Umsatzes sowie Verkaufsverbote nach sich ziehen.

Die Benennung ist keine reine Formalität: Behörden können jederzeit über den Vertreter technische Dokumentation und Konformitätserklärung anfordern. Bei Sicherheitsvorfällen muss der Vertreter zeitnah auf Anfragen der zuständigen Behörden reagieren können.

Auswahl des CRA-Vertreters: Kriterien, Vergleich und Unterschiede

Die Wahl des autorisierten Vertreters für den CRA ist strategisch wichtig, sowohl für die Compliance als auch für die effiziente Bearbeitung von Behördenanfragen. Folgende Kriterien sind entscheidend:

• Klarheit des Mandats: Das Mandat muss auf die Pflichten gemäß Art. 18 beschränkt sein, ohne unzulässige Erweiterungen (z.B. Assessments oder Tests, die anderen Stellen vorbehalten sind).
• Transparente Preise: Der Preis sollte veröffentlicht sein und Verlängerungen klar kommuniziert werden, um Überraschungen in Folgejahren zu vermeiden.
• Verifizierbares Zertifikat: Bevorzugen Sie Anbieter, die ein öffentliches und überprüfbares Zertifikat (z.B. QR-Code) zur Mandatsbestätigung anbieten.
• Weiterleitungsprozess: Erkundigen Sie sich, wie Anfragen der Behörden bearbeitet werden, in welchen Sprachen und mit welchen Reaktionszeiten.
• Ausnahmen und Grenzen: Ein seriöser Anbieter listet klar auf, was enthalten ist und was nicht, um Missverständnisse bei Assessments, Tests, SBOM oder technischem Support zu vermeiden.

Vergleichstabelle Leistungen/Extra-Gebühren:

Berücksichtigen Sie auch zusätzliche Services wie Produktscreening (nützlich bei vielen Referenzen) und die Möglichkeit, mehrere Regularien (z.B. GDPR, GPSR) über einen Anbieter abzudecken.

Was der Preis wirklich umfasst: sichtbare und versteckte Kosten

Der veröffentlichte Preis der Anbieter deckt ausschließlich das schriftliche Mandat der Vertretung und die Bearbeitung von Anfragen der Aufsichtsbehörden ab. Nicht enthalten sind:

• Konformitätsbewertung (Aufgabe benannter Stellen, nicht des Vertreters)
• Sicherheitstests, SBOM-Erstellung oder technischer Support
• Erstellung oder Überprüfung technischer Dokumentation
• Rechtsberatung oder Schulungen (außer spezielle Angebote wie Comply.Land)

Leistungstabelle:

Achten Sie auf versteckte Kosten: Manche Anbieter veröffentlichen keine Verlängerungspreise oder berechnen Gebühren für Zusatzanfragen, Anbieterwechsel oder Leistungen außerhalb des Mandats. Fordern Sie stets ein schriftliches Angebot mit Verlängerungspreis und Kündigungsbedingungen an.

Beachten Sie, dass die Kosten für den Vertreter nur einen kleinen Teil der CRA-Compliance ausmachen: Die größten Ausgaben entstehen durch technische Anpassungen, Dokumentationserstellung und bei höherklassigen Produkten durch Zertifizierungen benannter Stellen.

Versteckte Kosten und wichtige Fragen vor Vertragsabschluss

Vor Unterzeichnung eines Mandats mit einem Anbieter sollten Sie folgende Punkte klären, um Überraschungen zu vermeiden:

• Verlängerungspreis: Lassen Sie sich diesen klar im Vertrag oder schriftlichen Angebot bestätigen, nicht nur auf der Webseite.
• Gebühren für Zusatzanfragen: Prüfen Sie, ob Kosten für Anfragen außerhalb der Geschäftszeiten, Eilfälle oder Anbieterwechsel anfallen.
• Mandatsumfang: Das Mandat darf nur Art. 18 abdecken; Angebote mit Assessments, Tests oder anderen Leistungen widersprechen der Gesetzgebung.
• Verifizierbares Zertifikat: Ein öffentliches Zertifikat (z.B. QR-Code) ist hilfreich, um die Benennung bei Audits oder Behördenanfragen nachzuweisen.
• Reaktionszeiten: Fragen Sie nach den Weiterleitungszeiten und ob der Service auch an Feiertagen und außerhalb der Geschäftszeiten aktiv ist.

Entscheidungstabelle:

Fordern Sie immer eine schriftliche Liste der enthaltenen und ausgeschlossenen Leistungen sowie möglicher Zusatzkosten an. Ein transparenter Anbieter stellt diese Informationen ohne Zögern bereit.

Ablauf der Benennung: Schritt-für-Schritt und praktische Checkliste

Die Benennung des CRA-Vertreters folgt einem klaren Verfahren, das Sie auch frühzeitig vor Inkrafttreten der Sanktionen (Dezember 2027) starten können:

1. Prüfen Sie Ihre Situation: Sind Sie ein Hersteller außerhalb der EU, der digitale Produkte in Europa verkauft? Falls ja, weiter zum nächsten Schritt.
2. Identifizieren Sie betroffene Produkte: Erfassen Sie alle digitalen Produkte für den EU-Markt und prüfen Sie, ob sie unter den CRA fallen.
3. Bereiten Sie die Dokumentation vor: Erstellen Sie die EU-Konformitätserklärung und die erforderliche technische Dokumentation gemäß Vorschrift.
4. Wählen Sie den Anbieter: Entscheiden Sie sich für einen Anbieter mit veröffentlichtem Preis und transparentem Mandat (siehe Tabelle oben).
5. Fordern Sie das Mandat an: Füllen Sie das Online-Formular aus oder senden Sie eine schriftliche Anfrage. Erhalten Sie das unterschriebene Mandat (oft elektronisch mit eIDAS-Signatur).
6. Registrieren Sie den Vertreter: Dokumentieren Sie die Vertreternamen in internen Richtlinien, Runbooks und technischer Dokumentation.
7. Operative Verwaltung: Bei Behördenanfragen empfängt und leitet der Vertreter die Kommunikation innerhalb der vorgegebenen Fristen weiter (z.B. 2 Arbeitstage bei REP27).

Checkliste für heute:

1. Prüfen Sie Ihre rechtliche Stellung und bediente Märkte
2. Sammeln und aktualisieren Sie technische Dokumentation
3. Fordern Sie Angebote von mehreren Anbietern an
4. Vergleichen Sie Leistungen, Ausschlüsse und Verlängerungspreise
5. Unterzeichnen Sie das Mandat und passen Sie interne Prozesse an

Risiken, Bußgelder und Folgen ohne Vertreter

Die Nichtbenennung eines autorisierten Vertreters birgt erhebliche Risiken:

• Bußgelder: Bis zu €10 Millionen oder 2 % des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist (Quelle).
• Verkaufsstopp: Produkte können vom EU-Markt zurückgezogen oder an der Grenze blockiert werden.
• Verzögerungen und Ineffizienz: Ohne klaren Ansprechpartner können Behördenanfragen an Händler, Kunden oder Importeure gelangen, was zu Verzögerungen und Reputationsschäden führt.
• Komplikationen bei Vorfällen: Bei Sicherheitslücken oder Vorfällen kann das Fehlen eines Vertreters die Reaktion verzögern und rechtliche sowie kommerzielle Folgen verschärfen.

Entscheidungsszenario:

Eine rechtzeitige Benennung des Vertreters minimiert das Risiko von Sanktionen und gewährleistet eine schnelle Bearbeitung von Behördenanfragen, was bei Sicherheitsvorfällen mit engen Fristen (z.B. 24 Stunden für Meldung ausgenutzter Schwachstellen) entscheidend ist.

Was Anbieter oft verschweigen: Grenzen, Ausschlüsse, Risiken

Viele Anbieter weisen nicht auf einige wichtige Aspekte des CRA-Vertreterservices hin:

• Keine Assessments und Tests: Kein Vertreter darf Konformitätsbewertungen, Sicherheitstests oder SBOM-Erstellung durchführen: Diese Aufgaben liegen bei benannten Stellen oder dem Hersteller selbst und sind oft deutlich kostenintensiver.
• Mandat gesetzlich begrenzt: Das Mandat darf nur Art. 18 abdecken; Erweiterungen (z.B. Pflichten aus Art. 13) sind gesetzlich verboten.
• Verlängerungspreise nicht immer transparent: Manche Anbieter veröffentlichen keine Verlängerungskosten oder verlangen Gebühren für Anbieterwechsel oder Zusatzanfragen.
• Begrenzte Haftung: Der Vertreter ist nur für Weiterleitung und Dokumentenhaltung verantwortlich, nicht für technische Konformität oder Produktsicherheit.
• Reaktionszeiten und Sprachen: Nicht alle Anbieter geben Auskunft über Antwortzeiten oder unterstützte Sprachen, was für effiziente Behördenkommunikation entscheidend ist.

Fordern Sie immer eine schriftliche Liste der Ausschlüsse und Servicebedingungen an, um Missverständnisse und Compliance-Risiken zu vermeiden.

Praxisbeispiele: Drei reale Fälle und die einfachste Lösung

• US-SaaS: Ein US-Unternehmen bietet Cloud-Software für EU-Kunden an. Es muss einen CRA-Vertreter benennen, technische Dokumentation und Konformitätserklärung vorbereiten. Es kann einen Anbieter mit transparentem Mandat und Festpreis wählen (z.B. REP27 oder Euverify). Assessments sind nicht erforderlich, wenn das Produkt Basis-Klasse hat und harmonisierte Normen anwendbar sind.
• Amazon-Verkäufer China: Ein chinesischer Hersteller verkauft IoT-Geräte auf Amazon an EU-Kunden. Er muss einen CRA-Vertreter benennen, auch wenn der Marktplatz Logistik übernimmt. Der Vertreter muss in der technischen Dokumentation und Produktpolitik genannt werden. Der Marktplatz übernimmt diese Pflicht nicht.
• Online-Shop UK: Ein britischer Online-Shop verkauft Smart-Hardware in der EU. Nach dem Brexit gilt er als außerhalb der EU und muss einen CRA-Vertreter benennen, Dokumentation vorbereiten und einen Anbieter mit verifizierbarem Mandat wählen. Verkauft er auch über Marktplätze, bleibt er als Hersteller verantwortlich.

In allen Fällen ist die einfachste Lösung die Wahl eines Anbieters mit veröffentlichtem Preis, schriftlichem Mandat und schnellem Benennungsprozess (z.B. REP27: Benennung in 24 Stunden, QR-Zertifikat, Festpreis).