Costi del rappresentante autorizzato per il Cyber Resilience Act: guida 2026

• REP27 — Europe Services, SE: €490/anno, rinnovo €440
• Kadano: €999/anno (Austria), Euverify: £590/anno (Irlanda)
• Il mandato copre solo la rappresentanza legale (Art. 18 CRA)
• Conformità tecnica, test e SBOM non inclusi da nessun provider
• Prezzi pubblicati e verificati a ottobre 2026
• Non serve a importatori, distributori o aziende solo UE

Aggiornato 19 ottobre 2026 · 3 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 19 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede la legge: Articolo 18 Cyber Resilience Act

Il Cyber Resilience Act (Regolamento UE 2024/2847) introduce nuovi obblighi per i produttori di prodotti con elementi digitali che desiderano commercializzare nell’Unione Europea. In particolare, l’Articolo 18 impone ai produttori non stabiliti nell’UE l’obbligo di nominare un rappresentante autorizzato all’interno dell’Unione. Questo rappresentante funge da punto di contatto ufficiale tra il produttore extra-UE e le autorità competenti degli Stati membri, in particolare per la gestione delle notifiche di vulnerabilità (Articolo 14) e per la comunicazione con i CSIRT nazionali e ENISA.

La nomina deve essere formale, scritta e documentata. Il rappresentante autorizzato ha il compito di ricevere e inoltrare tutte le richieste delle autorità di sorveglianza del mercato e di garantire la presenza di un canale di comunicazione sempre attivo. L’obbligo ricade sul produttore quando:

• Il produttore è stabilito fuori dall’UE
• Il prodotto è destinato al mercato UE (vendita diretta, tramite distributori o marketplace)

Importatori e distributori UE non sono soggetti a questo obbligo, salvo che vendano prodotti a proprio nome. Il rappresentante non si occupa di assessment tecnico, test di sicurezza o generazione SBOM: questi restano a carico del produttore.

La mancata nomina del rappresentante può comportare sanzioni amministrative e il blocco dell’accesso al mercato UE.

Come scegliere il rappresentante: criteri pratici e confronto

Scegliere il rappresentante autorizzato per il Cyber Resilience Act è una decisione strategica che impatta la compliance, la rapidità di risposta e la trasparenza verso le autorità. I criteri chiave da valutare sono:

• Prezzo trasparente e condizioni di rinnovo: Preferire provider che pubblicano sia il prezzo iniziale sia quello di rinnovo. REP27, ad esempio, pubblica entrambi; altri provider potrebbero non fornire questa informazione se non su richiesta.
• Certificato verificabile: Un certificato digitale con QR code e pagina pubblica di verifica (come quello di REP27) permette di dimostrare facilmente la nomina alle autorità e ai partner commerciali.
• Copertura linguistica e tempi di risposta: La capacità di gestire richieste in più lingue e di rispondere rapidamente, anche durante festività o fuori orario, è essenziale per rispettare i termini stringenti del CRA.
• Esclusioni chiare: Nessun provider incluso offre assessment tecnico, test di sicurezza o SBOM. Questi servizi sono sempre esclusi e devono essere gestiti separatamente.

Di seguito una matrice decisionale pratica:

Valuta anche la presenza di bundle: REP27 offre sconti se si combinano più mandati (es. GDPR Art. 27 + CRA + NIS2), riducendo la complessità amministrativa e i rischi di rinnovo mancato.

Cosa include davvero il prezzo: confronto dettagliato e limiti

Il prezzo pubblicato dai provider copre esclusivamente la rappresentanza legale prevista dall’Art. 18 CRA. Questo significa:

• Firma del mandato scritto e rilascio di un certificato di nomina
• Ricezione e inoltro delle richieste delle autorità di sorveglianza del mercato
• Gestione delle notifiche di vulnerabilità secondo Art. 14 CRA (es. inoltro a CSIRT e ENISA)

Non sono mai inclusi:

• Assessment di conformità (obbligatorio per prodotti di classe importante II o critici)
• Test di sicurezza, generazione SBOM, supporto ingegneristico
• Redazione di policy tecniche o documentazione tecnica

Tabella di sintesi:

Il mandato rappresenta la base legale minima per accedere al mercato UE, ma la compliance tecnica resta responsabilità esclusiva del produttore.

Costi nascosti e spese extra: cosa sapere davvero

Il costo del rappresentante autorizzato è solo una piccola parte della spesa totale per la compliance al Cyber Resilience Act. I costi nascosti più rilevanti sono:

• Assessment di conformità (notified body): Per prodotti di classe importante II o critici, la valutazione da parte di un organismo notificato è obbligatoria e può comportare costi molto superiori al mandato rappresentante. Questi costi non sono inclusi da nessun provider.
• Supporto tecnico e aggiornamenti: Il CRA richiede almeno cinque anni di aggiornamenti di sicurezza, che devono essere pianificati e finanziati come parte integrante del ciclo di vita del prodotto.
• Gestione delle vulnerabilità: L’organizzazione interna deve essere pronta a rilevare, documentare e notificare vulnerabilità entro 24 ore dalla scoperta, pena sanzioni e rischi reputazionali.

REP27 dichiara esplicitamente che assessment, testing e SBOM non sono inclusi e non sono oggetto di upsell. Altri provider non pubblicano dettagli su eventuali costi extra per richieste urgenti o servizi aggiuntivi; è quindi essenziale chiedere esplicitamente queste informazioni prima della firma.

Checklist per evitare sorprese:

1. Chiedi sempre il prezzo di rinnovo e le condizioni di recesso
2. Verifica se ci sono costi per richieste fuori orario o urgenze
3. Accerta che il provider elenchi chiaramente cosa è incluso e cosa no

Come funziona la nomina: step by step e checklist pratica

La nomina di un rappresentante CRA segue una procedura precisa, fondamentale per garantire la compliance e la tracciabilità verso le autorità UE. Ecco come funziona:

1. Verifica la necessità: Sei produttore extra-UE con prodotti destinati al mercato UE? Se sì, prosegui.
2. Valuta la classe del prodotto: Default, importante I/II, critico. Questo determina se ti serve solo il rappresentante o anche l’assessment notificato.
3. Seleziona il provider: Confronta prezzi, condizioni di rinnovo e modalità di verifica della nomina.
4. Richiedi la nomina: Firma il mandato scritto (Art. 18 CRA) con il provider scelto. REP27, ad esempio, emette la designazione entro 24 ore.
5. Ricevi il certificato: Il provider rilascia un certificato verificabile (es. QR code REP27) da inserire nella documentazione tecnica e nei canali di reporting.
6. Prepara la runbook interna: Definisci chi può dichiarare la scoperta di una vulnerabilità, chi invia le notifiche e come vengono documentati i tempi di risposta.
7. Inserisci i dati del rappresentante: Aggiorna la documentazione tecnica, il sito web e i canali di supporto con i dati del rappresentante.

Checklist da seguire oggi stesso:

1. Verifica se sei produttore extra-UE con vendite dirette in UE
2. Valuta la classe del tuo prodotto
3. Confronta prezzi e condizioni dei provider
4. Chiedi chiarimenti su esclusioni e costi extra
5. Prepara la documentazione richiesta per la nomina
6. Definisci la procedura interna di gestione delle vulnerabilità

Rischi e sanzioni: cosa succede senza rappresentante

La mancata nomina di un rappresentante autorizzato comporta rischi concreti e sanzioni potenzialmente molto elevate. In particolare:

• Sanzioni amministrative: Le autorità nazionali possono imporre multe e bloccare la commercializzazione dei prodotti non conformi. La normativa prevede sanzioni significative, anche se l’importo esatto dipende dall’applicazione nazionale.
• Impossibilità di accesso al mercato UE: Senza rappresentante, il prodotto non può essere legalmente immesso sul mercato europeo. Questo può bloccare intere linee di business.
• Ritardi nella gestione di incidenti: Senza un canale di comunicazione efficace, le notifiche di vulnerabilità possono non essere gestite nei tempi previsti (24 ore per l’early warning), esponendo l’azienda a ulteriori sanzioni e danni reputazionali.

È importante sottolineare che il rappresentante non si assume responsabilità tecnica o legale sulla sicurezza del prodotto: la responsabilità ultima resta sempre in capo al produttore. Il rappresentante agisce solo come punto di contatto e inoltro verso le autorità.

Tabella di sintesi rischi:

Cosa i provider non dicono: limiti, esclusioni e rinnovi

Molti provider non pubblicano dettagli importanti che possono impattare la scelta e la gestione del mandato:

• Prezzo di rinnovo: Solo REP27 pubblica il prezzo di rinnovo (es. €440/anno). Altri provider potrebbero aumentare il prezzo dopo il primo anno, quindi è fondamentale chiedere questa informazione per iscritto.
• Esclusioni: Assessment tecnico, test di sicurezza, SBOM e reporting tecnico non sono mai inclusi. Questi servizi devono essere acquistati separatamente e possono rappresentare la parte più costosa della compliance.
• Condizioni di recesso: Le modalità e i tempi per cambiare rappresentante non sono sempre chiare. È importante verificarle nel contratto prima della firma.
• Costi per richieste extra: Nessun provider incluso pubblica costi per richieste urgenti o fuori orario. Chiedere sempre se esistono extra fees per servizi non ordinari.
• Limiti di responsabilità: Il rappresentante non si assume responsabilità tecnica o legale sul prodotto. La sua funzione è limitata all’inoltro e alla rappresentanza formale.

Una scelta informata parte sempre dalla lettura attenta del contratto e dalla richiesta di tutte le condizioni per iscritto.

Scenari pratici: tre casi reali e la soluzione più semplice

Per chiarire come si applicano gli obblighi e quale sia la soluzione più semplice, ecco tre scenari realistici:

• US SaaS: Un’azienda statunitense vende software direttamente a clienti UE. Deve nominare un rappresentante CRA Art. 18. Può scegliere REP27 (€490/anno) o altro provider. Se offre anche servizi cloud, potrebbe dover considerare anche la compliance NIS2.
• Venditore cinese su Amazon: Se il prodotto porta il nome del venditore, è il produttore a dover nominare il rappresentante. Se invece Amazon agisce come importatore di record, la responsabilità passa ad Amazon. È fondamentale verificare chi figura come produttore/importatore nei documenti di vendita.
• Shop online UK: Un negozio online britannico che vende direttamente a clienti UE è obbligato a nominare un rappresentante. Se invece vende solo tramite distributori UE che importano e rivendono a proprio nome, l’obbligo non ricade sullo shop UK.

Questa analisi aiuta a evitare errori comuni e a scegliere la soluzione più efficiente per la propria situazione.