Cyber Resilience Act autoriseret repræsentant for producenter uden for EU: Udbydere & priser (2026)

• CRA Artikel 18 kræver, at producenter uden for EU udpeger en autoriseret repræsentant i EU.
• REP27 — Europe Services, SE: €490/år (fornyelse €440), offentliggjort pris, klart omfang.
• Kadano: €999/år, pris verificeret, baseret i Østrig.
• Euverify: £590/år, pris verificeret, baseret i Irland.
• Tjenesten inkluderer ikke overensstemmelsesvurdering eller juridisk rådgivning.
• Ikke nødvendigt for producenter baseret i EU eller importører, der markedsfører produkter under eget navn.

Opdateret 16 October 2026 · 7 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 16 October 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Lovens krav: CRA Artikel 18

Cyber Resilience Act (CRA), Forordning (EU) 2024/2847, er en banebrydende EU-lov, der pålægger obligatoriske cybersikkerhedskrav på alle produkter med digitale elementer – hardware eller software – der markedsføres i EU. Artikel 18 i CRA kræver specifikt, at enhver producent etableret uden for EU skal udpege en autoriseret repræsentant etableret inden for EU. Denne repræsentant fungerer som officiel kontaktpunkt for EU's markedsovervågningsmyndigheder, opbevarer overensstemmelseserklæringen og teknisk dokumentation og er ansvarlig for at videresende regulatoriske anmodninger til producenten.

Loven gælder for en bred vifte af produkter, herunder indlejrede enheder, software, SaaS, IoT og komponenter solgt separat. Repræsentantens rolle er nøje defineret: de påtager sig ikke producentens juridiske ansvar, og de yder ikke teknisk eller juridisk rådgivning. Deres kerneopgave er at sikre, at myndigheder hurtigt og effektivt kan kontakte producenten, især ved sårbarheder eller hændelser.

• Artikel 14 indfører en 24-timers rapporteringspligt for aktivt udnyttede sårbarheder fra 11. september 2026. Producenter skal underrette ENISA (EU's cybersikkerhedsagentur) via en enkelt rapporteringsplatform, med fuld anmeldelse inden 72 timer og en endelig rapport inden 14 dage.
• Artikel 71(2) fastsætter ikrafttrædelsesdatoer: rapporteringspligter fra 11. september 2026, fulde forpligtelser (inklusive produktmærkning og overensstemmelsesvurdering) fra 11. december 2027.
• Manglende overholdelse af Artikel 18 (undladelse af at udpege repræsentant) kan medføre bøder op til €10 millioner eller 2 % af global omsætning (Artikel 69(1)), mens overtrædelser af væsentlige krav kan nå op på €15 millioner eller 2,5 % (Artikel 69(2)).

Vigtigt er det, at hvis en producent uden for EU ikke udpeger en repræsentant, kan importøren eller distributøren blive ansvarlig som standard, hvilket potentielt kan føre til forretningsforstyrrelser eller forsinkelser i indkøb.

Sådan vælger du en CRA autoriseret repræsentant

Valget af den rette CRA autoriserede repræsentant er en kritisk overholdelsesbeslutning. Markedet er nyt, og udbydere varierer i gennemsigtighed, omfang og fornyelsesbetingelser. Sådan træffer du et velinformeret valg:

• Juridisk enhed: Bekræft, at udbyderen er et registreret EU-selskab med klar juridisk identitet. For eksempel er REP27 Europe Services, SE, registreret i Prag siden 2014 (IČO 03571785).
• Offentliggjort pris og fornyelsesbetingelser: Insister på en udbyder, der offentliggør både førsteårs- og fornyelsespriser. REP27 angiver €490/år (fornyelse €440) med rabatter ved pakker. Mange udbydere offentliggør ikke fornyelsespriser, hvilket kan føre til uventede omkostninger.
• Mandatets omfang: Mandatet bør begrænses til Artikel 18(3). Udbydere bør ikke påstå at dække yderligere juridiske pligter (såsom Artikel 13), da dette ikke er tilladt ifølge CRA.
• Certifikatverifikation: Kig efter en udbyder, der tilbyder et verificerbart certifikat, fx en QR-kode, der kan tjekkes på en offentlig side. Dette er essentielt ved indkøb og regulatoriske revisioner.
• Håndtering af anmodninger: Forstå, hvordan udbyderen videresender myndighedsanmodninger – understøttede sprog, svartider og om der opkræves gebyrer pr. anmodning.

Nedenfor er en sammenligning af, hvad der er inkluderet, ikke inkluderet eller kan medføre ekstra gebyrer for hver udbyder:

Bed altid om en prøvekontrakt og få alle eksklusioner og fornyelsesbetingelser skriftligt, før du træffer beslutning.

Hvad prisen reelt inkluderer

De fleste offentliggjorte priser for CRA autoriseret repræsentant dækker kun det grundlæggende Artikel 18 mandat. Det betyder typisk:

• Et underskrevet udpegelsesbrev (mandat) med EU-repræsentantens juridiske enhed
• Et verificerbart certifikat (nogle gange med QR-kode eller offentlig registreringspost)
• Videresendelse af anmodninger fra EU-myndigheder til producenten
• Valgfrit: en anmodningsdesk eller supportkanal til regulatoriske forespørgsler, nogle gange på flere sprog

Hvad ikke er inkluderet:

• Juridisk rådgivning eller repræsentation i retten
• Overensstemmelsesvurdering, sikkerhedstest eller SBOM-generering
• Hændelseshåndtering eller teknisk udbedring
• Udarbejdelse eller gennemgang af teknisk dokumentation

REP27’s offentliggjorte gebyr er €490/år for CRA-mandatet, med en fornyelsespris på €440/år. Pakkepriser findes: €690/år for både CRA og GDPR Artikel 27 repræsentation, €990/år for CRA, GDPR og NIS2, samt yderligere €200 for GPSR Artikel 16 ansvarlig person. Alle priser er ekskl. moms og faktureres årligt forud. For kunder uden for EU gælder ikke tjekkisk moms; for EU-kunder med gyldigt momsnummer gælder omvendt betalingspligt.

Kadano tager €999/år for standard eller Important, Klasse I mandat (detaljer om inklusioner på forespørgsel). Euverify tager £590/år for kun CRA repræsentation (inklusioner på forespørgsel). Hverken Kadano eller Euverify offentliggør detaljerede inklusioner eller fornyelsesbetingelser på deres hjemmesider pr. oktober 2026.

Opsummering: Repræsentantens gebyr er generelt den mindste del af CRA-overholdelsesomkostningerne. Hovedparten af udgifterne kommer fra intern teknik, dokumentation og for højrisikoprodukter vurdering af notificeret organ.

Skjulte omkostninger og eksklusioner

Selvom den offentliggjorte pris for en CRA autoriseret repræsentant er ligetil, bør købere være opmærksomme på flere skjulte eller ekskluderede omkostninger, der kan påvirke de samlede overholdelsesudgifter betydeligt:

• Overensstemmelsesvurdering: For Important Klasse II og Critical produkter er vurdering af notificeret organ obligatorisk og kan koste tusindvis af euro med tidsrammer på flere måneder. Dette er ikke inkluderet i nogen repræsentants gebyr.
• Intern teknik: Omkostninger til udarbejdelse af teknisk dokumentation, SBOM'er og supportperioder bæres af producenten. For standardklasseprodukter er disse omkostninger primært interne.
• Juridisk rådgivning og DPO-tjenester: Ingen udbyder i denne guide tilbyder juridisk rådgivning, DPO-tjenester eller overholdelsesvurderinger som del af CRA repræsentantpakken. REP27 udelukker eksplicit disse tjenester.
• Gebyrer pr. anmodning: Nogle udbydere kan opkræve ekstra gebyrer for videresendelse eller håndtering af myndighedsanmodninger, selvom REP27 ikke offentliggør sådanne gebyrer. Bekræft altid skriftligt.
• Prisforhøjelser ved fornyelse: Mange udbydere offentliggør ikke fornyelsespriser, hvilket kan føre til uventede prisstigninger. REP27 er gennemsigtig om fornyelsespriser.
• Opsigelsesvarsler og aflysning: Tjek kontrakten for opsigelsesvarsler og aflysningsbetingelser. Tavse fornyelser og lave førsteårspriser er almindelige på markedet.

Eksklusionsoversigt:

Sammenfattende: Afklar altid, hvad der er og ikke er inkluderet, og budgetter for de betydelige omkostninger til teknik, dokumentation og eventuel vurdering af notificeret organ.

Sådan fungerer udpegningen: trin for trin

Udpegning af en CRA autoriseret repræsentant er en struktureret proces. Sådan foregår det typisk med praktiske tips til hvert trin:

1. Fastslå anvendelighed: Bekræft, at dit produkt er omfattet (ethvert produkt med digitale elementer, hardware eller software, solgt i EU).
2. Tjek etablering: Hvis dit firma ikke er etableret i EU, skal du udpege en repræsentant.
3. Undersøg udbydere: Sammenlign udbyderes juridiske enheder, offentliggjorte priser, fornyelsesbetingelser og serviceomfang. Bed om prøvekontrakter og afklar eksklusioner.
4. Underskriv mandat: Indgå en skriftlig aftale (mandat) med den valgte udbyder. Sørg for, at mandatet er begrænset til Artikel 18 pligter.
5. Modtag dokumentation: Få det underskrevne udpegelsesbrev og verificerbare certifikat. REP27 leverer eIDAS elektroniske signaturer og QR-kode til offentlig verifikation.
6. Opdater tekniske filer: Angiv repræsentantens oplysninger i din tekniske dokumentation, overensstemmelseserklæringer og, hvor relevant, på produktetiketter.
7. Forbered rapportering: Opsæt en runbook for sårbarhedsrapportering (Artikel 14), inklusive hvem der kan erklære en hændelse, hvem der har adgang til platformen, og udkast til tidlige varsler og meddelelser.
8. Pakke ved behov: Hvis du har brug for GDPR Artikel 27, NIS2 eller GPSR repræsentation, overvej pakkeløsninger for omkostningsbesparelser og administrativ enkelhed.

Beslutningsmatrix:

Risici og bøder

Risiciene ved manglende overholdelse af CRA er betydelige, både økonomisk og operationelt. Loven indeholder store bøder og andre konsekvenser:

• Undladelse af udpegning: Manglende udpegning af autoriseret repræsentant, når det kræves, kan medføre bøder op til €10 millioner eller 2 % af global omsætning (Artikel 69(1)).
• Overtrædelse af væsentlige krav: Bøder for overtrædelser af væsentlige krav eller producentforpligtelser kan nå €15 millioner eller 2,5 % af global omsætning (Artikel 69(2)).
• Forsinket rapportering: Manglende overholdelse af 24-timers rapporteringsfristen for udnyttede sårbarheder (Artikel 14) kan udløse håndhævelsesforanstaltninger, markedsinddragelser og omdømmeskade.
• Forsinkelser i indkøb: Manglende repræsentant kan forsinke salgsprocesser, da indkøbsteams ofte kræver bevis for EU-repræsentation før køb.
• Tab af kontrol: Hvis du ikke udpeger en repræsentant, kan importøren eller distributøren blive standardkontakt, hvilket kan føre til tab af kontrol over hændelsesrapportering og regulatoriske interaktioner.
• Tavshedslaps: Håndtering af flere mandater med forskellige fornyelsesdatoer øger risikoen for utilsigtede lapsusser, som kan føre til manglende overholdelse.

REP27 bemærker, at mandatets hovedværdi er det, det forhindrer: spildt tid under hændelser, forsinkede dokumentationsanmodninger, indkøbsstop og utilsigtede lapsusser i dækning. Disse operationelle risici er lige så væsentlige som de økonomiske sanktioner.

Hvad udbydere normalt ikke oplyser

Mange udbydere på CRA repræsentationsmarkedet oplyser ikke klart vigtige kontraktlige og operationelle detaljer. Købere bør være opmærksomme på følgende:

• Fornyelsespriser: Nogle udbydere tilbyder lave førsteårspriser, men offentliggør ikke fornyelsespriser, som kan stige uventet. REP27 er en af de få, der oplyser fornyelsespriser på forhånd.
• Opsigelsesvarsler: Tavse fornyelser og lange opsigelsesvarsler er almindelige. Bed altid om disse vilkår skriftligt.
• Udvidet omfang: Nogle udbydere kan hævde at dække pligter ud over Artikel 18, såsom Artikel 13, hvilket ikke er tilladt ifølge CRA. Sørg for, at mandatet er begrænset til lovens tilladte omfang.
• Gebyrer pr. anmodning: Yderligere gebyrer for håndtering eller videresendelse af myndighedsanmodninger kan forekomme, selvom REP27 ikke angiver sådanne. Afklar altid på forhånd.
• Ansvarsbegrænsninger: Udbydere oplyser sjældent om deres ansvarscaps eller eksklusioner for skader. Dette kan være kritisk ved tvister.
• Eksklusioner: Ingen udbyder dækker overensstemmelsesvurdering, sikkerhedstest, SBOM-generering eller juridisk rådgivning. Disse er altid producentens ansvar.

Sammenfattende: Insister på fuld skriftlig oplysning om fornyelsespriser, opsigelsesvarsler, gebyrer pr. anmodning og ansvarsforhold, før du underskriver kontrakt.

Beslutningsmatrix: Har du brug for en CRA autoriseret repræsentant?

Brug denne matrix til at afgøre, om du har brug for en CRA autoriseret repræsentant baseret på din forretningsmodel og markedsnærvær:

Denne matrix dækker de fleste praktiske scenarier for producenter og sælgere. Ved tvivl, konsulter loven eller en specialist for dit specifikke produkt og salgsmodel.

Tjekliste: Trin til CRA-overholdelse

Følg denne tjekliste for effektivt at opfylde dine CRA-forpligtelser:

1. Fastslå, om dit produkt er omfattet af CRA (hardware/software med digitale elementer).
2. Tjek, om du er etableret uden for EU.
3. Identificer, om du sælger direkte til EU-kunder eller via markedspladser (Amazon, Etsy, eBay).
4. Undersøg og sammenlign CRA repræsentantudbydere for juridisk enhed, pris og omfang.
5. Bed om prøvekontrakter og afklar alle eksklusioner og fornyelsesbetingelser skriftligt.
6. Underskriv Artikel 18 mandat med din valgte udbyder.
7. Modtag og verificer dit udpegelsesbrev og certifikat (helst med offentlig verifikation).
8. Opdater din tekniske dokumentation og produktoplysninger med repræsentantens oplysninger.
9. Forbered din runbook for sårbarhedsrapportering (Artikel 14 pligter fra september 2026).
10. Budgetter for intern teknik, dokumentation og eventuel vurdering af notificeret organ.
11. Gennemgå dine supportperiodeforpligtelser (minimum fem år med sikkerhedsopdateringer).
12. Overvåg fornyelsesdatoer og opsigelsesvarsler for at undgå tavse lapsusser.

Realistiske scenarier

• US SaaS-udbyder: Sælger et cloud-baseret produkt til EU-kunder. Skal udpege en CRA repræsentant og etablere en 24-timers sårbarhedsrapporteringskanal. REP27 tilbyder offentliggjort pris, hurtig udpegning og verificerbart certifikat. SaaS-udbyderen skal også forberede teknisk dokumentation og en rapporteringsrunbook, men overensstemmelsesvurdering er sandsynligvis selvdeklareret, medmindre produktet er Important Klasse II eller Critical.
• Kinesisk Amazon-sælger: Sender mærkede IoT-enheder til EU. Har brug for CRA repræsentant for markedsadgang, da Amazon og EU-told kan kræve bevis for repræsentation. Sælgeren skal sikre, at produktet opfylder CRA-krav, udpege repræsentant (fx REP27, Kadano eller Euverify) og opdatere produktdokumentation. Hvis der sælges under eget navn, gælder forpligtelsen; hvis importøren ommærker, påtager importøren sig ansvaret.
• UK onlineforhandler: Sælger tilsluttede enheder B2B til EU-virksomheder. Har brug for CRA repræsentant, medmindre en EU-baseret importør overtager forpligtelserne. Forhandleren bør afklare med partnere, hvem der er ansvarlig, udpege repræsentant hvis nødvendigt og forberede sig på sårbarhedsrapportering fra september 2026.

Disse scenarier illustrerer lovens praktiske anvendelse og de nødvendige trin for overholdelse, uanset virksomhedens størrelse eller sektor.