Costuri reprezentant autorizat Cyber Resilience Act: ghid 2026

• REP27 — Europe Services, SE: €490/an, reînnoire €440
• Kadano: €999/an (Austria), Euverify: £590/an (Irlanda)
• Mandatul acoperă doar reprezentarea legală (Art. 18 CRA)
• Conformitatea tehnică, testele și SBOM nu sunt incluse de niciun furnizor
• Prețurile sunt publicate și verificate în octombrie 2026
• Nu este necesar pentru importatori, distribuitori sau companii doar UE

Actualizat 20 October 2026 · 3 surse verificate

Furnizori comparați

Prețuri publicate pe site-ul fiecărui furnizor la data de 20 October 2026, excluzând TVA-ul, cu excepția cazului în care se specifică altfel. Fiecare rând este legat de sursa sa.

Ce prevede legea: Articolul 18 din Cyber Resilience Act

Cyber Resilience Act (Regulamentul UE 2024/2847) introduce obligații noi pentru producătorii de produse cu componente digitale care doresc să comercializeze în Uniunea Europeană. În special, Articolul 18 impune producătorilor neînregistrați în UE să desemneze un reprezentant autorizat în cadrul Uniunii. Acest reprezentant este punctul oficial de contact între producătorul extra-UE și autoritățile competente ale statelor membre, în special pentru gestionarea notificărilor de vulnerabilități (Articolul 14) și comunicarea cu CSIRT naționale și ENISA.

Numirea trebuie să fie formală, scrisă și documentată. Reprezentantul autorizat are rolul de a primi și transmite toate solicitările autorităților de supraveghere a pieței și de a asigura un canal de comunicare permanent activ. Obligația revine producătorului dacă:

• Producătorul este stabilit în afara UE
• Produsul este destinat pieței UE (vânzare directă, prin distribuitori sau marketplace-uri)

Importatorii și distribuitorii UE nu sunt supuși acestei obligații, cu excepția cazului în care vând produse sub propriul nume. Reprezentantul nu se ocupă de evaluări tehnice, teste de securitate sau generare SBOM: acestea rămân responsabilitatea producătorului.

Nenumirea reprezentantului poate atrage sancțiuni administrative și blocarea accesului pe piața UE.

Cum alegi reprezentantul: criterii practice și comparație

Alegerea reprezentantului autorizat pentru Cyber Resilience Act este o decizie strategică ce influențează conformitatea, viteza de răspuns și transparența față de autorități. Criteriile principale de evaluat sunt:

• Preț transparent și condiții de reînnoire: Preferă furnizori care afișează atât prețul inițial, cât și pe cel de reînnoire. REP27, de exemplu, publică ambele; alți furnizori pot oferi aceste informații doar la cerere.
• Certificat verificabil: Un certificat digital cu cod QR și pagină publică de verificare (precum cel oferit de REP27) facilitează demonstrarea numirii în fața autorităților și partenerilor.
• Acoperire lingvistică și timp de răspuns: Capacitatea de a gestiona solicitări în mai multe limbi și de a răspunde rapid, inclusiv în perioadele de sărbători sau în afara orelor de program, este esențială pentru respectarea termenelor stricte ale CRA.
• Excluderi clare: Niciun furnizor inclus nu oferă evaluări tehnice, teste de securitate sau SBOM. Aceste servicii sunt întotdeauna excluse și trebuie gestionate separat.

Iată o matrice decizională practică:

Ia în calcul și pachetele combinate: REP27 oferă reduceri dacă se combină mai multe mandate (ex. GDPR Art. 27 + CRA + NIS2), reducând complexitatea administrativă și riscurile de neînnoire.

Ce include cu adevărat prețul: comparație detaliată și limitări

Prețul afișat de furnizori acoperă exclusiv reprezentarea legală conform Art. 18 CRA. Aceasta înseamnă:

• Semnarea mandatului scris și emiterea unui certificat de numire
• Primirea și transmiterea solicitărilor autorităților de supraveghere a pieței
• Gestionarea notificărilor de vulnerabilități conform Art. 14 CRA (ex. transmitere către CSIRT și ENISA)

Nu sunt niciodată incluse:

• Evaluarea conformității (obligatorie pentru produse din clase importante II sau critice)
• Teste de securitate, generare SBOM, suport tehnic
• Redactarea politicilor tehnice sau documentației tehnice

Rezumat în tabel:

Mandatul reprezintă baza legală minimă pentru accesul pe piața UE, dar conformitatea tehnică rămâne responsabilitatea exclusivă a producătorului.

Costuri ascunse și cheltuieli suplimentare: ce trebuie știut

Costul reprezentantului autorizat este doar o mică parte din cheltuielile totale pentru conformitatea cu Cyber Resilience Act. Cele mai importante costuri ascunse sunt:

• Evaluarea conformității (organism notificat): Pentru produse din clase importante II sau critice, evaluarea de către un organism notificat este obligatorie și poate genera costuri mult mai mari decât mandatul reprezentantului. Aceste costuri nu sunt incluse de niciun furnizor.
• Suport tehnic și actualizări: CRA impune cel puțin cinci ani de actualizări de securitate, care trebuie planificate și finanțate ca parte integrantă a ciclului de viață al produsului.
• Gestionarea vulnerabilităților: Organizația internă trebuie să fie pregătită să detecteze, documenteze și notifice vulnerabilitățile în termen de 24 de ore de la descoperire, altfel riscă sancțiuni și daune reputaționale.

REP27 declară explicit că evaluările, testele și SBOM nu sunt incluse și nu fac obiectul unor oferte suplimentare. Alți furnizori nu publică detalii despre eventuale costuri suplimentare pentru solicitări urgente sau servicii adiționale; este esențial să solicitați aceste informații înainte de semnare.

Lista de verificare pentru a evita surprize:

1. Solicită întotdeauna prețul de reînnoire și condițiile de reziliere
2. Verifică dacă există costuri pentru solicitări în afara orelor sau urgente
3. Asigură-te că furnizorul enumeră clar ce este inclus și ce nu

Cum funcționează numirea: pași și checklist practic

Numirea unui reprezentant CRA urmează o procedură clară, esențială pentru asigurarea conformității și trasabilității față de autoritățile UE. Iată cum se desfășoară:

1. Verifică necesitatea: Ești producător extra-UE cu produse destinate pieței UE? Dacă da, continuă.
2. Evaluează clasa produsului: Default, importantă I/II, critică. Aceasta determină dacă ai nevoie doar de reprezentant sau și de evaluare notificată.
3. Alege furnizorul: Compară prețuri, condiții de reînnoire și modalități de verificare a numirii.
4. Cere numirea: Semnează mandatul scris (Art. 18 CRA) cu furnizorul ales. REP27, de exemplu, emite desemnarea în 24 de ore.
5. Primește certificatul: Furnizorul eliberează un certificat verificabil (ex. cod QR REP27) pentru documentația tehnică și canalele de raportare.
6. Pregătește procedura internă: Definește cine poate declara descoperirea unei vulnerabilități, cine trimite notificările și cum se documentează timpii de răspuns.
7. Actualizează datele reprezentantului: Modifică documentația tehnică, site-ul și canalele de suport cu datele reprezentantului.

Checklist pentru acțiuni imediate:

1. Verifică dacă ești producător extra-UE cu vânzări directe în UE
2. Evaluează clasa produsului tău
3. Compară prețurile și condițiile furnizorilor
4. Cere clarificări privind excluderile și costurile suplimentare
5. Pregătește documentația necesară pentru numire
6. Definește procedura internă de gestionare a vulnerabilităților

Riscuri și sancțiuni: ce se întâmplă fără reprezentant

Nenumirea unui reprezentant autorizat implică riscuri reale și sancțiuni potențial foarte mari. În special:

• Sancțiuni administrative: Autoritățile naționale pot aplica amenzi și bloca comercializarea produselor neconforme. Regulamentul prevede sancțiuni semnificative, deși cuantumul exact depinde de aplicarea națională.
• Imposibilitatea accesului pe piața UE: Fără reprezentant, produsul nu poate fi introdus legal pe piața europeană. Aceasta poate bloca linii întregi de business.
• Întârzieri în gestionarea incidentelor: Fără un canal de comunicare eficient, notificările de vulnerabilități pot fi gestionate cu întârziere (24 de ore pentru alertă timpurie), expunând compania la sancțiuni suplimentare și daune reputaționale.

Este important de subliniat că reprezentantul nu își asumă responsabilitate tehnică sau legală asupra securității produsului: responsabilitatea finală rămâne întotdeauna la producător. Reprezentantul acționează doar ca punct de contact și transmitere către autorități.

Rezumat riscuri:

Ce nu spun furnizorii: limite, excluderi și reînnoiri

Mulți furnizori nu publică detalii importante care pot afecta alegerea și gestionarea mandatului:

• Prețul de reînnoire: Doar REP27 afișează prețul de reînnoire (ex. €440/an). Alți furnizori pot crește prețul după primul an, deci este esențial să soliciți această informație în scris.
• Excluderi: Evaluarea tehnică, testele de securitate, SBOM și raportarea tehnică nu sunt niciodată incluse. Aceste servicii trebuie achiziționate separat și pot reprezenta cea mai costisitoare parte a conformității.
• Condiții de reziliere: Modalitățile și termenele pentru schimbarea reprezentantului nu sunt întotdeauna clare. Este important să le verifici în contract înainte de semnare.
• Costuri pentru solicitări suplimentare: Niciun furnizor inclus nu publică costuri pentru solicitări urgente sau în afara orelor. Întreabă întotdeauna dacă există taxe suplimentare pentru servicii neobișnuite.
• Limite de responsabilitate: Reprezentantul nu își asumă responsabilitate tehnică sau legală asupra produsului. Rolul său este limitat la transmitere și reprezentare formală.

Alegerea informată începe întotdeauna cu citirea atentă a contractului și solicitarea tuturor condițiilor în scris.

Scenarii practice: trei cazuri reale și soluția cea mai simplă

Pentru a clarifica aplicarea obligațiilor și cea mai simplă soluție, iată trei scenarii realiste:

• US SaaS: O companie americană vinde software direct clienților UE. Trebuie să numească un reprezentant CRA Art. 18. Poate alege REP27 (€490/an) sau alt furnizor. Dacă oferă și servicii cloud, ar putea trebui să ia în calcul și conformitatea NIS2.
• Vânzător chinez pe Amazon: Dacă produsul poartă numele vânzătorului, acesta trebuie să numească reprezentantul. Dacă Amazon acționează ca importator de înregistrare, responsabilitatea revine Amazon. Este esențial să verifici cine figurează ca producător/importator în documentele de vânzare.
• Magazin online UK: Un magazin online britanic care vinde direct clienților UE este obligat să numească un reprezentant. Dacă vinde doar prin distribuitori UE care importă și revând sub propriul nume, obligația nu revine magazinului UK.

Această analiză ajută la evitarea greșelilor comune și la alegerea celei mai eficiente soluții pentru situația ta.