Cost raportare vulnerabilități 24h pentru producători non-UE (CRA 2026)

• Obligație din 11 septembrie 2026 pentru toți producătorii de produse digitale vândute în UE
• REP27 oferă serviciul la €490/an, reînnoire €440, preț publicat
• Kadano: €999/an, Euverify: £590/an (aprox. €690), prețuri publicate
• Serviciul acoperă doar transmiterea raportului, fără teste sau evaluări tehnice
• Nerespectarea poate duce la amenzi de până la €15 milioane sau 2,5% din cifra de afaceri globală
• Nu este necesar pentru importatori, distribuitori sau cei care vând doar în afara UE

Actualizat 22 October 2026 · 7 surse verificate

Furnizori comparați

Prețuri publicate pe site-ul fiecărui furnizor la data de 22 October 2026, excluzând TVA-ul, cu excepția cazului în care se specifică altfel. Fiecare rând este legat de sursa sa.

Ce prevede legea: Articolul 14 CRA

Articolul 14 din Cyber Resilience Act (Regulamentul UE 2024/2847) introduce o obligație strictă de raportare pentru toți producătorii de produse digitale vândute în Uniunea Europeană, indiferent de locația lor. Din 11 septembrie 2026, fiecare producător trebuie să raporteze în maximum 24 de ore de la identificare o vulnerabilitate exploatată activ sau un incident grav de securitate care afectează produsul. Raportarea se face prin platforma unică gestionată de ENISA, adresată CSIRT coordonator al țării UE relevante.

• Raportarea se desfășoară în trei etape: early warning (în 24h), notificare detaliată (în 72h), raport final (în 14 zile).
• Obligația este valabilă și pentru producătorii extra-UE care vând direct sau prin marketplace clienților UE.
• Nu se cer teste de securitate sau evaluări tehnice din partea reprezentantului: rolul său este doar transmiterea raportărilor și punct de contact.
• Obligația se aplică și pentru incidente ce afectează securitatea produsului, nu doar pentru vulnerabilități exploatate.

Nerespectarea sau întârzierea raportării poate atrage sancțiuni de până la €15 milioane sau 2,5% din cifra de afaceri globală, după caz. Regulile se aplică oricui pune produse digitale pe piața UE, inclusiv software, hardware, dispozitive IoT, SaaS și altele.

Sursa: NIS2.gov.ie, Licentium

Cum alegi furnizorul: criterii practice și comparație

Alegerea furnizorului potrivit pentru raportarea vulnerabilităților conform CRA necesită atenție la mai mulți factori practici, pe lângă preț. Iată principalele criterii de evaluat:

• Preț public și transparent: Preferă furnizori care afișează clar costul anual și de reînnoire, evitând surprizele.
• Acoperire geografică: Furnizorul trebuie să asigure reprezentanța în toate țările UE unde vinzi produsele.
• Certificare și verificare: Un mandat semnat electronic și verificabil public este garanție de seriozitate.
• Canal de raportare activ 24/7: Serviciul trebuie să fie disponibil permanent, inclusiv în weekend și sărbători.
• Claritate asupra excluderilor: Niciun furnizor inclus nu oferă în prețul de bază teste de securitate, SBOM sau suport tehnic: mandatul acoperă doar transmiterea raportărilor.

Comparație detaliată:

Sfat practic: întreabă întotdeauna din timp ce este inclus, dacă există costuri per raportare și cum se face reînnoirea. Preferă furnizori care oferă certificat verificabil public și declară clar entitatea legală și acoperirea geografică.

Ce include de fapt prețul: detalii practice

Prețul afișat de furnizori acoperă exclusiv mandatul de reprezentare pentru raportarea vulnerabilităților conform Art. 18 CRA. Aceasta înseamnă că reprezentantul:

• Primește și transmite raportările de vulnerabilități sau incidente de securitate către autoritățile competente (CSIRT/ENISA) prin platforma oficială.
• Este punctul de contact pentru autoritățile europene în caz de solicitări sau clarificări.
• Furnizează mandat semnat și certificat, adesea cu cod QR pentru verificare publică.
• Asigură un canal de raportare activ 24/7 (cel puțin REP27, conform paginilor oficiale).

Nu sunt incluse în prețul de bază:

• Teste de securitate sau evaluări de vulnerabilitate
• Generarea Software Bill of Materials (SBOM)
• Suport tehnic, legal sau operațional pentru redactarea raportărilor
• Gestionarea crizei sau comunicarea către utilizatori finali (în afară de transmiterea raportării)

De exemplu, REP27 specifică că „evaluarea conformității aparține organismelor notificate, testarea firmelor de securitate, generarea SBOM pipeline-ului tău de build și raportarea echipei tale de securitate”. Mandatul acoperă doar transmiterea și recepția solicitărilor autorităților. Nu există taxe suplimentare declarate per raportare, nici upsell ascuns.

Sfat: asigură-te că ai intern competențele necesare pentru a pregăti raportările și a răspunde eventualelor solicitări de clarificare din partea autorităților.

Costuri ascunse, limite ale serviciului și riscuri practice

Costul mandatului de reprezentare este doar o parte din bugetul necesar pentru conformitatea cu Cyber Resilience Act. Costurile ascunse și limitele serviciului sunt adesea ignorate:

• Pregătire internă: Colectarea informațiilor, redactarea raportărilor și comunicarea cu reprezentantul sunt responsabilitatea producătorului.
• Audit și evaluări: Dacă autoritățile solicită, poți avea costuri pentru audituri externe sau evaluări tehnice, neacoperite de mandat.
• Suport tehnic și legal: Reprezentantul nu oferă consultanță tehnică sau legală în afară de transmiterea raportărilor; eventualele consultanțe sunt separate.
• Răspundere limitată: Niciun furnizor inclus nu își asumă responsabilitatea pentru erori în conținutul furnizat de client sau omisiuni în raportare.
• Reînnoire și schimbare: Verifică mereu condițiile de reînnoire și eventualele penalități pentru schimbarea furnizorului: REP27 publică prețurile pentru schimb și reînnoire, alții nu.

Riscuri practice:

• Dacă procedura internă nu este pregătită, riscul de nerespectare a termenelor este mare.
• Nerespectarea sau întârzierea raportării poate duce la sancțiuni administrative foarte mari și blocarea vânzărilor în UE.

Sfat: consideră mandatul ca o „poliță de proces”, nu ca o soluție tehnică. Conformitatea reală depinde de organizarea ta internă.

Cum funcționează numirea: pași și checklist

Numirea reprezentantului CRA urmează un proces clar. Iată pașii practici și o listă de verificare:

1. Verifică dacă vinzi produse digitale în UE: Dacă da, verifică dacă ești producător (nu doar distribuitor/importator).
2. Alege furnizorul: Compară prețuri, includeri, excluderi și transparența contractului.
3. Cere serviciul online: Completează formularul și primește mandatul de reprezentare Art. 18.
4. Semnează și arhivează mandatul: Mandatul trebuie semnat de ambele părți și păstrat pentru eventuale controale.
5. Include detaliile reprezentantului în documentația companiei: Actualizează runbook-uri, politici interne și documentația de conformitate.
6. Pregătește procedura internă de raportare: Definește cine poate declara o vulnerabilitate, cum se colectează dovezile și cum se completează template-urile de raportare (early warning, notificare, raport final).
7. Numără cel puțin doi submitteri: Asigură-te că cel puțin două persoane au acces la platforma ENISA pentru a evita blocaje în absență.
8. Înregistrează toate etapele: Ține evidența cine, când și cum a făcut fiecare raportare. Este esențial pentru audit.

Checklist operațională:

1. Verifică poziția ta (producător, importator, distribuitor)
2. Alege și numește reprezentantul
3. Pregătește procedura internă de raportare
4. Numără submitterii și actualizează documentația
5. Precompletează template-urile de raportare
6. Înregistrează fiecare raportare și comunicare

Sfat: claritatea procedurii este adevărata valoare adăugată a serviciului de reprezentare.

Matrice decizională: cine are nevoie de serviciu?

Nu toate companiile au nevoie de mandat de reprezentare pentru raportarea vulnerabilităților. Iată o matrice decizională bazată pe cazuri reale:

Sfat: dacă ești doar distribuitor sau importator și nu pui produsul pe piață pe numele tău, nu ai obligație de numire. Dacă ești producător non-UE, numirea este esențială pentru a evita sancțiuni.

Ce nu spun furnizorii (dar ar trebui să știi)

Mulți furnizori nu publică detalii importante care pot afecta conformitatea și costurile reale:

• Excluderi: Niciun furnizor inclus nu oferă teste de securitate, SBOM sau evaluări tehnice în prețul de bază. Mandatul acoperă doar transmiterea raportărilor.
• Responsabilitate: Responsabilitatea pentru corectitudinea și promptitudinea raportărilor rămâne întotdeauna la producător. Reprezentantul nu verifică și nu modifică conținutul primit.
• Reînnoire și schimbare: Unii furnizori nu publică prețul de reînnoire sau condițiile pentru schimbarea reprezentantului. REP27 publică ambele, alții nu.
• Limbi și program: Verifică dacă furnizorul este cu adevărat activ 24/7 și poate gestiona solicitări în mai multe limbi, dacă este necesar.
• Limite de serviciu: Reprezentantul nu gestionează comunicarea către utilizatorii finali, gestionarea crizei sau consultanța juridică.

Sfat: cere întotdeauna o listă scrisă cu excluderile și limitele de responsabilitate înainte de a semna.

Scenarii practice: trei cazuri reale și calea cea mai simplă

• SaaS SUA care vinde în UE: Trebuie să numească un reprezentant CRA, să pregătească procedura de raportare și să includă reprezentantul în documentele oficiale. În caz de vulnerabilitate exploatată, trimite raportarea reprezentantului care o transmite către ENISA/CSIRT. Calea cea mai simplă este să aleagă un furnizor cu canal activ 24/7 și mandat verificabil.
• Vânzător chinez pe Amazon: Dacă este producător al produsului digital, are obligația de raportare și trebuie să numească un reprezentant; dacă este doar distribuitor, nu. Calea cea mai simplă este să clarifice rolul contractual și, dacă este necesar, să apeleze la un furnizor cu experiență în e-commerce.
• Magazin online UK: Dacă vinde produse digitale clienților UE, trebuie să numească un reprezentant și să urmeze procedura de raportare; dacă vinde doar în UK, nu are obligație. Calea cea mai simplă este să evalueze dacă cota de vânzări UE justifică costul conformității.

În toate cazurile, pregătirea internă și claritatea procedurii sunt fundamentale pentru respectarea termenelor și reducerea riscurilor de sancțiuni.