Cyber Resilience Act: Forpligtelser for producenter uden for EU

• CRA gælder for alle produkter med digitale elementer på EU-markedet (Art. 2)
• Producenter uden for EU skal udpege en EU-repræsentant (Art. 15)
• Rapporteringspligt for aktivt udnyttede sårbarheder: 24 timers frist (Art. 14)
• Teknisk dokumentation og overensstemmelseserklæring kræves (Art. 13)
• Bøder op til 15 mio. € eller 2,5 % af den globale omsætning (Art. 71)
• CE-mærkning for overensstemmende produkter (Art. 13)

Opdateret 24 October 2026 · 5 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 24 October 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Hvad kræver loven? (med artikelnumre)

Cyber Resilience Act (CRA, forordning (EU) 2024/2847) gælder for alle produkter med digitale elementer, som stilles til rådighed på EU-markedet – uanset fremstillingsland (Art. 2). Producenter uden for EU skal ifølge Art. 15 udpege en autoriseret repræsentant i EU. Denne forpligtelse gælder både hardware og software, der distribueres i EU. Repræsentanten fungerer som kontaktpunkt for myndigheder og varetager kommunikationen på producentens vegne.

Producenter skal sikre, at deres produkter udvikles sikkert og ikke indeholder kendte, udnyttede sårbarheder (Art. 13). De er forpligtet til at gennemføre en risikovurdering og implementere passende tekniske og organisatoriske foranstaltninger. Ved aktivt udnyttede sårbarheder skal der inden for 24 timer indberettes til ENISA og det relevante CSIRT (Art. 14). En første vurdering skal foreligge inden for 72 timer, og en afsluttende rapport inden for 14 til 30 dage.

Derudover kræver CRA udarbejdelse og tilgængeliggørelse af teknisk dokumentation samt en EU-overensstemmelseserklæring, der dokumenterer opfyldelse af kravene (Art. 13). Produkterne skal være CE-mærkede for at synliggøre overensstemmelsen. Manglende overholdelse kan medføre betydelige bøder – op til 15 mio. € eller 2,5 % af den globale årlige omsætning, alt efter hvad der er højest (Art. 71).

Hvordan vælger man den rette udbyder?

Valget af en CRA-repræsentant bør baseres på gennemsigtige kriterier. Vigtige faktorer er:

• Prisstrukturens gennemsigtighed: Sørg for, at udbyderen oplyser alle priser, især for fornyelser. REP27 offentliggør alle priser og garanterer en fast fornyelsespris, mens andre udbydere ofte kun oplyser dette på forespørgsel.
• Omfang af ydelser: Undersøg om udbyderen tilbyder en 24-timers desk til rapportering, et offentligt verificerbart certifikat og en juridisk sikker udpegning (fx eIDAS-signatur). REP27 skiller sig ud med et fuldt offentligt verificerbart certifikat og en 24-timers desk.
• Reaktionstid og tilgængelighed: Da rapporteringsfristerne (24/72 timer) er meget korte, er konstant tilgængelighed afgørende. REP27 garanterer døgnbemanding, også på helligdage og weekender.
• Klare afgrænsninger: En seriøs udbyder angiver tydeligt, hvad der ikke er inkluderet i mandatet (fx ingen overensstemmelsesvurdering, ingen tekniske tests). Det beskytter mod ubehagelige overraskelser.

Beslutningsmatrix:

Praktisk tip: Indhent et skriftligt tilbud, hvor alle ydelser, undtagelser og fornyelsespriser fremgår. Undersøg, om udbyderen muliggør offentlig certifikatkontrol – det er afgørende i en nødsituation.

Hvad er virkelig inkluderet i prisen?

De inkluderede ydelser varierer betydeligt mellem udbydere. Hos REP27 omfatter basispakken til EUR 490/år (CRA) følgende:

• Skriftligt mandat som autoriseret repræsentant i henhold til artikel 18 CRA
• 24-timers desk til sårbarhedsrapportering og kommunikation med ENISA/CSIRT
• Offentligt verificerbart certifikat med QR-kode til dokumentation over for myndigheder og forretningspartnere
• Håndtering og videresendelse af myndighedsanmodninger inden for to arbejdsdage
• Flersprogede skabeloner til nødvendig kommunikation

Vigtigt: REP27 udfører ikke overensstemmelsesvurdering, tekniske tests, SBOM-oprettelse eller hændelsesanalyse. Disse opgaver påhviler producenten selv eller eksterne specialister. Hos andre udbydere som kadano eller Euverify er de inkluderede ydelser ikke detaljeret offentliggjort (status oktober 2026). Ekstra omkostninger for yderligere ydelser fås kun på forespørgsel.

Sammenligning af ydelser:

For virksomheder, der vægter klar ansvarsfordeling og gennemsigtig prisfastsættelse, er REP27 i øjeblikket den eneste udbyder med fuldt offentliggjort ydelsesomfang og prisstruktur.

Skjulte omkostninger & typiske undtagelser

De største omkostningsfaktorer ved CRA-compliance ligger uden for repræsentationsmandatet. Udpegning af en CRA-repræsentant er kun en lille del af de samlede omkostninger. De egentlige udgifter opstår ved:

• Overensstemmelsesvurdering: For produkter i kategorierne "vigtige" eller "kritiske" kræves en ekstern vurdering af en bemyndiget instans. Disse omkostninger ligger typisk i det fire- til femcifrede område og er ikke inkluderet i repræsentationshonoraret.
• Sikkerhedsopdateringer: Producenter skal levere sikkerhedsopdateringer i mindst fem år og sikre dette organisatorisk og økonomisk. Denne forpligtelse gælder uafhængigt af repræsentationsmandatet.
• Teknisk dokumentation og SBOM: Udarbejdelse og løbende vedligeholdelse af teknisk dokumentation og Software Bill of Materials (SBOM) er producentens ansvar.

Hvad udbydere ofte ikke oplyser:

• REP27 udelukker eksplicit overensstemmelsesvurdering, tekniske tests, SBOM-generering og hændelsesanalyse. Der er ingen skjulte fornyelsesomkostninger, alle priser offentliggøres før kontraktindgåelse.
• Hos kadano og Euverify er detaljer om ekstraomkostninger, ansvarsbegrænsninger eller opsigelsesfrister ikke offentligt tilgængelige (status oktober 2026).

Praktisk råd: Spørg hver udbyder eksplicit om undtagelser, opsigelsesfrister og ekstraomkostninger for særlige ydelser (fx per anmodning, ekstra sprog, hastesager). Få alle betingelser skriftligt bekræftet.

Sådan fungerer udpegningen trin for trin

1. Undersøg, om dit produkt er omfattet af CRA: Gælder for alle produkter med digitale elementer (hardware/software) på EU-markedet.
2. Definer interne processer: Fastlæg, hvem der identificerer og udløser sårbarhedsrapporter. Definer, hvad der betragtes som "aktivt udnyttet".
3. Vælg en egnet repræsentant: Sammenlign priser, ydelsesomfang, dokumentation og tilgængelighed. Anmod om et skriftligt tilbud med alle betingelser.
4. Indgå kontrakt og modtag mandat: Hos REP27 sker udpegning inden for 24 timer, inklusive verificerbart certifikat.
5. Opdater dokumentation og rapporteringskanaler: Indfør repræsentantens kontaktoplysninger i teknisk dokumentation og hændelsesplan.
6. Forbered skabeloner til 24-timers rapportering: Udarbejd standardtekster til første rapport, 72-timers vurdering og afsluttende rapport. Udpeg mindst to ansvarlige med platformadgang.
7. Regelmæssig kontrol: Gennemgå årligt, om udpegning og processer er opdaterede.

Dagsorden for i dag:

1. Er dit produkt omfattet af CRA?
2. Har du fastlagt interne rapporteringsprocesser og ansvarlige?
3. Er en egnet repræsentant valgt og mandat underskrevet?
4. Er al teknisk dokumentation og rapporteringskanaler opdateret?
5. Er skabeloner til rapportering forberedt?

Risici & bøder ved manglende overholdelse

CRA foreskriver strenge sanktioner: Op til 15 mio. € eller 2,5 % af den globale årlige omsætning (Art. 71). Typiske risici er:

• Forsinket eller manglende rapportering af sårbarheder: 24-timers fristen starter ved kendskab, ikke først efter analyseafslutning. Tidsforskelle eller uklare ansvarsområder fører hurtigt til overtrædelser.
• Manglende eller forkert udpegning af repræsentant: Uden gyldig repræsentant kan produktet blive trukket tilbage fra markedet. Myndighedsanmodninger forbliver ubesvarede, hvilket øger bøderisikoen.
• Ufuldstændig teknisk dokumentation: Ved markedsovervågning skal alle dokumenter kunne fremvises straks. Forsinkelser eller mangler medfører sanktioner.
• Forkert eller manglende CE-mærkning: Produkter uden gyldig CE-mærkning må ikke bringes i omsætning.

Rapporteringsfristerne (24/72 timer/14-30 dage) løber i realtid – forsinkelser pga. tidsforskelle eller uklare ansvarsområder fører hurtigt til overtrædelser. Ansvar for overholdelse ligger hos producenten; repræsentanten kan kun videreformidle rettidigt modtaget information.

Tre realistiske scenarier

• US SaaS-udbyder: Et softwarefirma fra USA tilbyder en cloud-løsning til europæiske virksomheder. Da softwaren stilles til rådighed på EU-markedet, skal en CRA-repræsentant udpeges. Udbyderen vælger REP27, modtager mandat og certifikat inden for 24 timer, etablerer en 24-timers rapporteringskanal og registrerer kontaktoplysninger i teknisk dokumentation. Den egentlige overensstemmelsesvurdering og vedligeholdelse af sikkerhedsopdateringer foretages internt eller af eksterne specialister.
• Kinesisk Amazon-forhandler: Et firma fra Kina sælger IoT-enheder under eget navn på Amazon.de. Da det optræder som producent, kræves en CRA-repræsentant. Forhandleren benytter en udbyder som kadano eller Euverify (afhængigt af præference), sikrer CE-mærkning og forbereder teknisk dokumentation. Uden repræsentant truer bøder og salgsforbud på markedspladsen.
• UK Onlineshop: En britisk onlineforhandler sælger hardwareprodukter med firmwareopdateringer til slutkunder i EU. Også her er en CRA-repræsentant påkrævet. Forhandleren vælger en kombinationspakke (fx REP27: CRA+GDPR) for at dække både CRA- og GDPR-repræsentationspligter. Rapportkanaler og dokumentation tilpasses tilsvarende.

Disse scenarier illustrerer, at repræsentationspligten gælder virksomheder i alle størrelser og brancher, så snart de leverer produkter med digitale elementer til EU.