Cyber Resilience Act Bevollmächtigter für Nicht-EU-Hersteller: Anbieter & Preise (2026)

• CRA Artikel 18 verlangt von Nicht-EU-Herstellern die Benennung eines Bevollmächtigten in der EU.
• REP27 — Europe Services, SE: 490 €/Jahr (Verlängerung 440 €), veröffentlichter Preis, klarer Leistungsumfang.
• Kadano: 999 €/Jahr, verifizierter Preis, mit Sitz in Österreich.
• Euverify: £590/Jahr, verifizierter Preis, mit Sitz in Irland.
• Der Service umfasst keine Konformitätsbewertung oder Rechtsberatung.
• Nicht erforderlich für in der EU ansässige Hersteller oder Importeure, die Produkte unter eigenem Namen in Verkehr bringen.

Aktualisiert 16 Oktober 2026 · 7 Quellen geprüft

Anbieter im Vergleich

Preise wie am 16 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was das Gesetz verlangt: CRA Artikel 18

Der Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847, ist ein bahnbrechendes EU-Gesetz, das verbindliche Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen – Hardware oder Software – auf dem EU-Markt vorschreibt. Artikel 18 des CRA verlangt speziell, dass jeder Hersteller mit Sitz außerhalb der EU einen in der EU ansässigen Bevollmächtigten benennt. Dieser Vertreter fungiert als offizieller Ansprechpartner für die Marktüberwachungsbehörden der EU, hält die Konformitätserklärung und technische Dokumentation vor und ist verantwortlich für die Weiterleitung behördlicher Anfragen an den Hersteller.

Das Gesetz gilt für eine breite Palette von Produkten, darunter eingebettete Geräte, Software, SaaS, IoT und separat verkaufte Komponenten. Die Rolle des Vertreters ist klar definiert: Er übernimmt nicht die rechtliche Haftung des Herstellers und erteilt keine technische oder rechtliche Beratung. Seine Hauptaufgabe ist es, sicherzustellen, dass die Behörden den Hersteller schnell und effizient erreichen können, insbesondere bei Schwachstellen oder Vorfällen.

• Artikel 14 führt eine 24-Stunden-Meldepflicht für aktiv ausgenutzte Schwachstellen ein, beginnend am 11. September 2026. Hersteller müssen ENISA (die EU-Agentur für Cybersicherheit) über eine einheitliche Meldeplattform informieren, mit einer vollständigen Meldung innerhalb von 72 Stunden und einem Abschlussbericht innerhalb von 14 Tagen.
• Artikel 71(2) legt die Anwendungsdaten fest: Meldepflichten ab 11. September 2026, vollständige Pflichten (einschließlich Produktkennzeichnung und Konformitätsbewertung) ab 11. Dezember 2027.
• Nichteinhaltung von Artikel 18 (Unterlassung der Benennung eines Vertreters) kann mit Geldbußen bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes geahndet werden (Artikel 69(1)), Verstöße gegen wesentliche Anforderungen bis zu 15 Mio. € oder 2,5 % (Artikel 69(2)).

Wichtig: Wenn ein Nicht-EU-Hersteller keinen Vertreter benennt, kann der Importeur oder Händler standardmäßig verantwortlich werden, was zu Geschäftsstörungen oder Beschaffungsverzögerungen führen kann.

Wie Sie einen CRA Bevollmächtigten auswählen

Die Wahl des richtigen CRA-Bevollmächtigten ist eine wichtige Compliance-Entscheidung. Der Markt ist neu, und Anbieter unterscheiden sich in Transparenz, Leistungsumfang und Verlängerungsbedingungen. So treffen Sie eine fundierte Entscheidung:

• Rechtliche Einheit: Prüfen Sie, ob der Anbieter ein eingetragenes EU-Unternehmen mit klarer Rechtsidentität ist. Zum Beispiel ist REP27 Europe Services, SE, seit 2014 in Prag registriert (IČO 03571785).
• Veröffentlichter Preis und Verlängerungsbedingungen: Bestehen Sie auf einem Anbieter, der Erst- und Verlängerungspreise veröffentlicht. REP27 nennt 490 €/Jahr (Verlängerung 440 €) mit Bündelrabatten. Viele Anbieter veröffentlichen keine Verlängerungspreise, was zu unerwarteten Kosten führen kann.
• Mandatsumfang: Das Mandat sollte auf Artikel 18(3) beschränkt sein. Anbieter sollten keine zusätzlichen rechtlichen Pflichten (z. B. Artikel 13) abdecken, da dies vom CRA nicht erlaubt ist.
• Zertifikatsprüfung: Suchen Sie einen Anbieter mit verifizierbarem Zertifikat, z. B. QR-Code auf einer öffentlichen Seite. Dies ist für Beschaffung und behördliche Prüfungen wichtig.
• Anfragenbearbeitung: Verstehen Sie, wie der Anbieter Behördenanfragen weiterleitet – unterstützte Sprachen, Reaktionszeiten und ob Gebühren pro Anfrage anfallen.

Nachfolgend ein Vergleich, was enthalten, nicht enthalten oder ggf. kostenpflichtig ist:

Fordern Sie stets einen Mustervertrag an und lassen Sie sich alle Ausschlüsse und Verlängerungsbedingungen schriftlich bestätigen, bevor Sie sich entscheiden.

Was der Preis wirklich beinhaltet

Die meisten veröffentlichten Preise für CRA-Bevollmächtigte decken nur das Basis-Mandat nach Artikel 18 ab. Das bedeutet typischerweise:

• Ein unterzeichneter Ernennungsschreiben (Mandat) mit der rechtlichen Einheit des EU-Vertreters
• Ein verifizierbares Zertifikat (manchmal mit QR-Code oder öffentlichem Registereintrag)
• Weiterleitung von Anfragen der EU-Behörden an den Hersteller
• Optional: ein Anfragen-Desk oder Support-Kanal für behördliche Anfragen, teilweise mehrsprachig

Was nicht enthalten ist:

• Rechtsberatung oder Vertretung vor Gericht
• Konformitätsbewertung, Sicherheitstests oder SBOM-Erstellung
• Vorfallreaktion oder technische Behebung
• Erstellung oder Prüfung technischer Dokumentation

Die veröffentlichte Gebühr von REP27 beträgt 490 €/Jahr für das CRA-Mandat, Verlängerung 440 €/Jahr. Bündeloptionen: 690 €/Jahr für CRA und DSGVO Artikel 27, 990 €/Jahr für CRA, DSGVO und NIS2, plus 200 € für GPSR Artikel 16 verantwortliche Person. Alle Preise zzgl. MwSt., jährlich im Voraus. Für Nicht-EU-Kunden fällt keine tschechische MwSt. an; EU-Kunden mit gültiger USt-IdNr. unterliegen dem Reverse-Charge-Verfahren.

Kadano verlangt 999 €/Jahr für das Standard- oder Wichtig, Klasse I Mandat (Leistungsumfang auf Anfrage). Euverify berechnet £590/Jahr nur für CRA-Vertretung (Leistungsumfang auf Anfrage). Kadano und Euverify veröffentlichen im Oktober 2026 keine detaillierten Leistungsbeschreibungen oder Verlängerungsbedingungen.

Zusammenfassung: Die Gebühr für den Vertreter ist meist der kleinste Teil der CRA-Compliance-Kosten. Der Großteil der Aufwendungen entsteht durch interne Entwicklung, Dokumentation und bei höherem Risiko durch Benannte Stellen.

Versteckte Kosten und Ausschlüsse

Obwohl der veröffentlichte Preis für einen CRA-Bevollmächtigten klar erscheint, sollten Käufer mehrere versteckte oder ausgeschlossene Kosten beachten, die die Gesamtausgaben erheblich beeinflussen können:

• Konformitätsbewertung: Für wichtige Klasse II und kritische Produkte ist eine Benannte Stelle verpflichtend, die mehrere Tausend Euro kosten und Monate dauern kann. Dies ist in keiner Vertretergebühr enthalten.
• Interne Entwicklung: Kosten für technische Dokumentation, SBOMs und Supportzeitraum trägt der Hersteller. Bei Standardprodukten sind diese Kosten meist intern.
• Rechtsberatung und Datenschutzbeauftragter: Kein Anbieter in diesem Leitfaden bietet Rechtsberatung, DSB-Dienste oder Compliance-Bewertungen als Teil des CRA-Vertreterpakets an. REP27 schließt diese ausdrücklich aus.
• Gebühren pro Anfrage: Einige Anbieter können zusätzliche Gebühren für die Weiterleitung oder Bearbeitung von Behördenanfragen verlangen, REP27 veröffentlicht keine solchen Gebühren. Immer schriftlich bestätigen lassen.
• Preiserhöhungen bei Verlängerung: Viele Anbieter veröffentlichen keine Verlängerungspreise, was zu unerwarteten Erhöhungen führen kann. REP27 ist hier transparent.
• Kündigungsfristen und Vertragslaufzeiten: Prüfen Sie den Vertrag auf Kündigungsfristen. Stille Verlängerungen und niedrige Erstjahrespreise sind am Markt üblich.

Ausschlusstabelle:

Fassen Sie zusammen: Klären Sie immer, was enthalten ist und was nicht, und planen Sie erhebliche Kosten für Entwicklung, Dokumentation und ggf. Benannte Stelle ein.

So funktioniert die Benennung: Schritt für Schritt

Die Benennung eines CRA-Bevollmächtigten ist ein strukturierter Prozess. So läuft er typischerweise ab, mit praktischen Tipps für jeden Schritt:

1. Anwendbarkeit prüfen: Bestätigen Sie, dass Ihr Produkt im Anwendungsbereich ist (jedes Produkt mit digitalen Elementen, Hardware oder Software, das in der EU verkauft wird).
2. Firmensitz prüfen: Wenn Ihr Unternehmen nicht in der EU ansässig ist, müssen Sie einen Vertreter benennen.
3. Anbieter recherchieren: Vergleichen Sie Anbieter hinsichtlich rechtlicher Einheit, veröffentlichter Preise, Verlängerungsbedingungen und Leistungsumfang. Fordern Sie Musterverträge an und klären Sie Ausschlüsse.
4. Mandat unterzeichnen: Schließen Sie eine schriftliche Vereinbarung (Mandat) mit dem gewählten Anbieter ab. Achten Sie darauf, dass das Mandat auf die Pflichten aus Artikel 18 beschränkt ist.
5. Dokumentation erhalten: Erhalten Sie das unterzeichnete Benennungsschreiben und das verifizierbare Zertifikat. REP27 bietet eIDAS elektronische Signaturen und einen QR-Code zur öffentlichen Prüfung.
6. Technische Unterlagen aktualisieren: Fügen Sie die Angaben des Vertreters in Ihre technische Dokumentation, Konformitätserklärungen und ggf. Produktkennzeichnungen ein.
7. Berichtspflichten vorbereiten: Erstellen Sie ein Runbook für die Meldung von Schwachstellen (Artikel 14), einschließlich wer Vorfälle melden darf, wer Plattformzugang hat und Vorlagen für Frühwarnungen und Meldungen.
8. Bündelung erwägen: Benötigen Sie auch DSGVO Artikel 27, NIS2 oder GPSR-Vertretung, prüfen Sie kombinierte Pakete zur Kostenersparnis und administrativen Vereinfachung.

Entscheidungsmatrix:

Risiken und Bußgelder

Die Risiken bei Nichteinhaltung des CRA sind erheblich, finanziell und operativ. Das Gesetz sieht hohe Bußgelder und weitere Konsequenzen vor:

• Unterlassene Benennung: Kein Bevollmächtigter trotz Pflicht kann mit Bußgeldern bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes belegt werden (Artikel 69(1)).
• Verstöße gegen wesentliche Anforderungen: Bußgelder bis zu 15 Mio. € oder 2,5 % des weltweiten Umsatzes (Artikel 69(2)).
• Verzögerte Meldung: Versäumen der 24-Stunden-Meldepflicht für ausgenutzte Schwachstellen (Artikel 14) kann zu Vollzugsmaßnahmen, Produktrückrufen und Reputationsschäden führen.
• Beschaffungsverzögerungen: Ohne Vertreter können Verkaufszyklen stocken, da Beschaffungsteams oft einen Nachweis der EU-Vertretung verlangen.
• Kontrollverlust: Ohne Vertreter kann Importeur oder Händler zum Ansprechpartner werden, was Kontrollverlust bei Vorfallmeldungen und Behördenkontakt bedeutet.
• Stille Verlängerungen: Mehrere Mandate mit unterschiedlichen Verlängerungsdaten erhöhen das Risiko versehentlicher Lücken und Nichteinhaltung.

REP27 betont, dass der Hauptwert des Mandats darin liegt, Zeitverluste bei Vorfällen, verzögerte Dokumentationsanfragen, Beschaffungsstopps und versehentliche Lücken zu verhindern. Diese operativen Risiken sind ebenso bedeutend wie die finanziellen Sanktionen.

Was Anbieter oft nicht sagen

Viele Anbieter auf dem CRA-Vertretermarkt geben wichtige vertragliche und operative Details nicht klar an. Käufer sollten Folgendes beachten:

• Verlängerungspreise: Einige Anbieter bieten niedrige Erstjahrespreise, veröffentlichen aber keine Verlängerungspreise, die unerwartet steigen können. REP27 ist einer der wenigen, die Verlängerungspreise offenlegen.
• Kündigungsfristen: Stille Verlängerungen und lange Kündigungsfristen sind üblich. Fordern Sie diese Bedingungen schriftlich an.
• Leistungsumfangserweiterungen: Manche Anbieter behaupten, Pflichten über Artikel 18 hinaus (z. B. Artikel 13) abzudecken, was vom CRA nicht erlaubt ist. Achten Sie auf eine Beschränkung des Mandats auf gesetzlich erlaubte Pflichten.
• Gebühren pro Anfrage: Zusätzliche Kosten für die Bearbeitung oder Weiterleitung von Behördenanfragen können anfallen, REP27 listet keine. Klären Sie dies im Voraus schriftlich.
• Haftungsbeschränkungen: Anbieter geben selten Haftungsgrenzen oder Schadensausnahmen an, was bei Streitigkeiten wichtig sein kann.
• Ausschlüsse: Kein Anbieter übernimmt Konformitätsbewertung, Sicherheitstests, SBOM-Erstellung oder Rechtsberatung. Diese Pflichten bleiben beim Hersteller.

Zusammenfassend: Bestehen Sie auf vollständige schriftliche Offenlegung von Verlängerungspreisen, Kündigungsfristen, Gebühren und Haftungsbedingungen vor Vertragsabschluss.

Entscheidungsmatrix: Brauchen Sie einen CRA-Bevollmächtigten?

Nutzen Sie diese Matrix, um anhand Ihres Geschäftsmodells und Marktauftritts zu bestimmen, ob Sie einen CRA-Bevollmächtigten benötigen:

Diese Matrix deckt die meisten praktischen Fälle für Hersteller und Verkäufer ab. Im Zweifel Gesetz oder Spezialisten für Ihr Produkt und Vertriebsmodell konsultieren.

Checkliste: Schritte zur CRA-Compliance

Folgen Sie dieser Checkliste, um Ihre CRA-Pflichten effizient zu erfüllen:

1. Prüfen, ob Ihr Produkt in den CRA-Anwendungsbereich fällt (Hardware/Software mit digitalen Elementen).
2. Feststellen, ob Sie außerhalb der EU ansässig sind.
3. Ermitteln, ob Sie direkt an EU-Kunden oder über Marktplätze (Amazon, Etsy, eBay) verkaufen.
4. CRA-Vertreteranbieter recherchieren und vergleichen (rechtliche Einheit, Preis, Leistungsumfang).
5. Musterverträge anfordern und alle Ausschlüsse sowie Verlängerungsbedingungen schriftlich klären.
6. Artikel-18-Mandat mit gewähltem Anbieter unterzeichnen.
7. Benennungsschreiben und Zertifikat erhalten und prüfen (idealerweise mit öffentlicher Verifizierung).
8. Technische Dokumentation und Produktdeklarationen mit Vertretern aktualisieren.
9. Runbook für Schwachstellenmeldung vorbereiten (Artikel 14 ab September 2026).
10. Budget für interne Entwicklung, Dokumentation und ggf. Benannte Stelle einplanen.
11. Supportzeitraum (mindestens fünf Jahre Sicherheitsupdates) prüfen.
12. Verlängerungsdaten und Kündigungsfristen überwachen, um stille Verlängerungen zu vermeiden.

Realistische Szenarien

• US SaaS-Anbieter: Verkauft cloudbasiertes Produkt an EU-Kunden. Muss CRA-Vertreter benennen und 24-Stunden-Schwachstellenmeldekanal einrichten. REP27 bietet veröffentlichten Preis, schnelle Benennung und verifizierbares Zertifikat. SaaS-Anbieter muss auch technische Dokumentation und Melderunbook vorbereiten, Konformitätsbewertung ist meist Selbstdeklaration, außer bei wichtigen Klasse II oder kritischen Produkten.
• Chinesischer Amazon-Verkäufer: Versendet gebrandete IoT-Geräte in die EU. Benötigt CRA-Vertreter für Marktzugang, da Amazon und EU-Zoll Nachweis verlangen können. Verkäufer muss Produkt CRA-konform machen, Vertreter benennen (z. B. REP27, Kadano, Euverify) und Dokumentation aktualisieren. Bei Verkauf unter eigenem Namen gilt Pflicht; bei Umbenennung durch Importeur übernimmt dieser Verantwortung.
• UK Online-Händler: Verkauft vernetzte Geräte B2B an EU-Firmen. Benötigt CRA-Vertreter, sofern kein EU-Importeur Pflichten übernimmt. Händler sollte mit Partnern klären, wer verantwortlich ist, ggf. Vertreter benennen und sich auf Schwachstellenmeldung ab September 2026 vorbereiten.

Diese Szenarien zeigen die praktische Anwendung des Gesetzes und die erforderlichen Schritte zur Einhaltung, unabhängig von Unternehmensgröße oder Branche.