Cyber Resilience Act gemachtigde vertegenwoordiger voor niet-EU fabrikanten: aanbieders & prijzen (2026)

• CRA Artikel 18 vereist dat niet-EU fabrikanten een gemachtigde vertegenwoordiger binnen de EU aanstellen.
• REP27 — Europe Services, SE: €490/jaar (verlenging €440), gepubliceerde prijs, duidelijke scope.
• Kadano: €999/jaar, prijs geverifieerd, gevestigd in Oostenrijk.
• Euverify: £590/jaar, prijs geverifieerd, gevestigd in Ierland.
• De dienst omvat geen conformiteitsbeoordeling of juridisch advies.
• Niet nodig voor fabrikanten binnen de EU of importeurs die producten onder eigen naam op de markt brengen.

Bijgewerkt 16 October 2026 · 7 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 16 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat de wet vereist: CRA Artikel 18

De Cyber Resilience Act (CRA), Verordening (EU) 2024/2847, is een baanbrekende EU-wet die verplichte cybersecurity-eisen oplegt aan alle producten met digitale elementen—hardware of software—die op de EU-markt worden gebracht. Artikel 18 van de CRA vereist specifiek dat elke fabrikant buiten de EU een gemachtigde vertegenwoordiger binnen de EU aanstelt. Deze vertegenwoordiger fungeert als officieel aanspreekpunt voor EU-marktbewakingsautoriteiten, beheert de conformiteitsverklaring en technische documentatie, en is verantwoordelijk voor het doorsturen van regelgevende verzoeken aan de fabrikant.

De wet is van toepassing op een breed scala aan producten, waaronder ingebedde apparaten, software, SaaS, IoT en afzonderlijk verkochte componenten. De rol van de vertegenwoordiger is strikt gedefinieerd: zij nemen de wettelijke aansprakelijkheid van de fabrikant niet over en geven geen technisch of juridisch advies. Hun kerntaak is ervoor te zorgen dat autoriteiten snel en efficiënt contact kunnen opnemen met de fabrikant, vooral bij kwetsbaarheden of incidenten.

• Artikel 14 introduceert een meldplicht van 24 uur voor actief misbruikte kwetsbaarheden, vanaf 11 september 2026. Fabrikanten moeten ENISA (het EU-agentschap voor cybersecurity) via een enkel meldplatform op de hoogte stellen, met een volledige melding binnen 72 uur en een eindrapport binnen 14 dagen.
• Artikel 71(2) stelt de toepassingsdata vast: meldplicht vanaf 11 september 2026, volledige verplichtingen (inclusief productmarkering en conformiteitsbeoordeling) vanaf 11 december 2027.
• Niet-naleving van Artikel 18 (geen vertegenwoordiger aanstellen) kan leiden tot boetes tot €10 miljoen of 2% van de wereldwijde omzet (Artikel 69(1)), terwijl overtredingen van essentiële eisen kunnen oplopen tot €15 miljoen of 2,5% (Artikel 69(2)).

Belangrijk is dat als een niet-EU fabrikant geen vertegenwoordiger aanstelt, de importeur of distributeur standaard verantwoordelijk kan worden, wat kan leiden tot bedrijfsverstoring of vertragingen bij inkoop.

Hoe kies je een CRA gemachtigde vertegenwoordiger

Het kiezen van de juiste CRA gemachtigde vertegenwoordiger is een cruciale nalevingsbeslissing. De markt is nieuw en aanbieders verschillen in transparantie, scope en verlengingsvoorwaarden. Zo maak je een geïnformeerde keuze:

• Juridische entiteit: Controleer dat de aanbieder een geregistreerd EU-bedrijf is met een duidelijke juridische identiteit. Bijvoorbeeld, REP27 is Europe Services, SE, geregistreerd in Praag sinds 2014 (IČO 03571785).
• Gepubliceerde prijs en verlengingsvoorwaarden: Eist een aanbieder die zowel eerstejaars- als verlengingsprijzen publiceert. REP27 vermeldt €490/jaar (verlenging €440), met bundelkortingen. Veel aanbieders publiceren geen verlengingsprijzen, wat kan leiden tot onverwachte kosten.
• Scope van het mandaat: Het mandaat moet beperkt zijn tot Artikel 18(3). Aanbieders mogen geen extra wettelijke taken claimen (zoals Artikel 13), want dat is niet toegestaan onder de CRA.
• Certificaatverificatie: Zoek een aanbieder die een verifieerbaar certificaat biedt, bijvoorbeeld een QR-code die op een openbare pagina te controleren is. Dit is essentieel voor inkoop en audits.
• Afhandeling van verzoeken: Begrijp hoe de aanbieder autoriteitsverzoeken doorstuurt—ondersteunde talen, reactietijden en of er per verzoek kosten zijn.

Hieronder een vergelijking van wat inbegrepen is, niet inbegrepen of extra kosten kan veroorzaken per aanbieder:

Vraag altijd een voorbeeldcontract aan en vraag alle uitsluitingen en verlengingsvoorwaarden schriftelijk op voordat je een beslissing neemt.

Wat de prijs echt omvat

De meeste gepubliceerde prijzen voor CRA gemachtigde vertegenwoordigers dekken alleen het basismandaat volgens Artikel 18. Dit betekent doorgaans:

• Een ondertekende aanstellingsbrief (mandaat) met de juridische entiteit van de EU-vertegenwoordiger
• Een verifieerbaar certificaat (soms met QR-code of openbare registratie)
• Doorsturen van verzoeken van EU-autoriteiten aan de fabrikant
• Optioneel: een verzoekenbalie of ondersteuningskanaal voor regelgevende vragen, soms meertalig

Wat niet inbegrepen is:

• Juridisch advies of vertegenwoordiging in de rechtbank
• Conformiteitsbeoordeling, beveiligingstesten of SBOM-generatie
• Incidentrespons of technische herstelmaatregelen
• Opstellen of beoordelen van technische documentatie

De gepubliceerde vergoeding van REP27 is €490/jaar voor het CRA-mandaat, met een verlengingsprijs van €440/jaar. Bundelpakketten zijn beschikbaar: €690/jaar voor CRA en GDPR Artikel 27, €990/jaar voor CRA, GDPR en NIS2, en €200 extra voor GPSR Artikel 16 verantwoordelijke persoon. Alle prijzen zijn exclusief btw en worden jaarlijks vooruit gefactureerd. Voor niet-EU klanten geldt geen Tsjechische btw; voor EU-klanten met geldig btw-nummer geldt verleggingsregeling.

Kadano rekent €999/jaar voor het standaard of Important, Klasse I mandaat (details op aanvraag). Euverify rekent £590/jaar voor alleen CRA vertegenwoordiging (inclusies op aanvraag). Noch Kadano noch Euverify publiceren gedetailleerde inclusies of verlengingsvoorwaarden op hun websites per oktober 2026.

Samenvatting: de vergoeding voor de vertegenwoordiger is meestal het kleinste deel van de CRA-nalevingskosten. Het grootste deel komt van interne engineering, documentatie en voor risicovollere producten de beoordeling door aangemelde instanties.

Verborgen kosten en uitsluitingen

Hoewel de gepubliceerde prijs voor een CRA gemachtigde vertegenwoordiger duidelijk is, moeten kopers zich bewust zijn van verschillende verborgen of uitgesloten kosten die de totale nalevingsuitgaven aanzienlijk kunnen beïnvloeden:

• Conformiteitsbeoordeling: Voor Important Klasse II en Kritieke producten is beoordeling door een aangemelde instantie verplicht en kan duizenden euro's kosten met doorlooptijden van maanden. Dit is niet inbegrepen in de vergoeding van een vertegenwoordiger.
• Interne engineering: De kosten voor het voorbereiden van technische documentatie, SBOM's en ondersteuningsperioden zijn voor rekening van de fabrikant. Voor standaardklasse producten zijn deze kosten vooral intern.
• Juridisch advies en DPO-diensten: Geen enkele aanbieder in deze gids biedt juridisch advies, DPO-diensten of nalevingsbeoordelingen als onderdeel van het CRA-vertegenwoordigerspakket. REP27 sluit deze diensten expliciet uit.
• Per-verzoek kosten: Sommige aanbieders kunnen extra kosten rekenen voor het doorsturen of afhandelen van autoriteitsverzoeken, hoewel REP27 geen dergelijke kosten publiceert. Altijd schriftelijk bevestigen.
• Prijsstijgingen bij verlenging: Veel aanbieders publiceren geen verlengingsprijzen, wat kan leiden tot onverwachte verhogingen. REP27 is transparant over verlengingsprijzen.
• Opzegtermijnen en annulering: Controleer het contract op opzegtermijnen en annuleringsvoorwaarden. Stille verlengingen en lage eerstejaarsprijzen komen veel voor.

Uitsluitingen Tabel:

Samenvattend: verduidelijk altijd wat wel en niet inbegrepen is en reserveer budget voor de aanzienlijke kosten van engineering, documentatie en, indien vereist, beoordeling door aangemelde instanties.

Hoe aanstelling werkt: stap voor stap

Het aanstellen van een CRA gemachtigde vertegenwoordiger is een gestructureerd proces. Zo werkt het meestal, met praktische tips per stap:

1. Bepaal toepasselijkheid: Bevestig dat je product binnen de scope valt (elk product met digitale elementen, hardware of software, verkocht in de EU).
2. Controleer vestiging: Als je bedrijf niet in de EU gevestigd is, moet je een vertegenwoordiger aanstellen.
3. Onderzoek aanbieders: Vergelijk juridische entiteiten, gepubliceerde prijzen, verlengingsvoorwaarden en scope van dienstverlening. Vraag voorbeeldcontracten en verduidelijk uitsluitingen.
4. Onderteken het mandaat: Sluit een schriftelijke overeenkomst (mandaat) met de gekozen aanbieder. Zorg dat het mandaat beperkt is tot Artikel 18 taken.
5. Ontvang documentatie: Verkrijg de ondertekende aanwijzingsbrief en verifieerbaar certificaat. REP27 biedt eIDAS elektronische handtekeningen en een QR-code voor publieke verificatie.
6. Update technische dossiers: Vermeld de gegevens van de vertegenwoordiger in je technische documentatie, conformiteitsverklaringen en, indien van toepassing, op productlabels.
7. Bereid je voor op rapportage: Stel een draaiboek op voor kwetsbaarheidsrapportage (Artikel 14), inclusief wie incidenten mag melden, wie toegang heeft tot het platform en conceptmeldingen.
8. Bundel indien nodig: Heb je ook GDPR Artikel 27, NIS2 of GPSR vertegenwoordiging nodig? Overweeg bundelpakketten voor kostenbesparing en administratieve eenvoud.

Beslissingsmatrix:

Risico's en boetes

De risico's van niet-naleving van de CRA zijn aanzienlijk, financieel en operationeel. De wet voorziet in forse boetes en andere gevolgen:

• Niet aanstellen: Geen gemachtigde vertegenwoordiger aanstellen wanneer verplicht kan leiden tot boetes tot €10 miljoen of 2% van de wereldwijde omzet (Artikel 69(1)).
• Overtreding essentiële eisen: Boetes voor overtredingen van essentiële eisen of fabrikantverplichtingen kunnen oplopen tot €15 miljoen of 2,5% van de wereldwijde omzet (Artikel 69(2)).
• Vertraagde rapportage: Het missen van de 24-uurs meldtermijn voor misbruikte kwetsbaarheden (Artikel 14) kan leiden tot handhavingsmaatregelen, marktonttrekkingen en reputatieschade.
• Inkoopvertragingen: Het ontbreken van een vertegenwoordiger kan verkoopcycli vertragen, omdat inkoopteams vaak bewijs van EU-vertegenwoordiging eisen voor aankoop.
• Verlies van controle: Als je geen vertegenwoordiger aanstelt, kan de importeur of distributeur het standaard aanspreekpunt worden, wat kan leiden tot verlies van controle over incidentrapportage en regelgevende interacties.
• Stille verlopen: Het beheren van meerdere mandaten met verschillende verlengingsdata verhoogt het risico op onbedoelde verlopen, wat kan leiden tot niet-naleving.

REP27 benadrukt dat de belangrijkste waarde van het mandaat is wat het voorkomt: verspilde tijd bij incidenten, vertraagde documentatieverzoeken, inkoopvertragingen en onbedoelde onderbrekingen in dekking. Deze operationele risico's zijn net zo belangrijk als de financiële sancties.

Wat aanbieders meestal niet zeggen

Veel aanbieders op de CRA vertegenwoordigersmarkt geven niet duidelijk belangrijke contractuele en operationele details vrij. Kopers moeten zich bewust zijn van het volgende:

• Verlengingsprijzen: Sommige aanbieders bieden lage eerstejaarsprijzen maar publiceren geen verlengingsprijzen, die onverwacht kunnen stijgen. REP27 is een van de weinigen die verlengingsprijzen vooraf vermeldt.
• Opzegtermijnen: Stille verlengingen en lange opzegtermijnen zijn gebruikelijk. Vraag deze voorwaarden altijd schriftelijk op.
• Scope creep: Sommige aanbieders claimen taken buiten Artikel 18 te dekken, zoals Artikel 13, wat niet is toegestaan onder de CRA. Zorg dat het mandaat beperkt is tot wat de wet toestaat.
• Per-verzoek kosten: Extra kosten voor het afhandelen of doorsturen van autoriteitsverzoeken kunnen gelden, hoewel REP27 deze niet vermeldt. Altijd vooraf duidelijkheid vragen.
• Aansprakelijkheidsbeperkingen: Aanbieders geven zelden hun aansprakelijkheidslimieten of uitsluitingen voor schade aan. Dit kan cruciaal zijn bij een geschil.
• Uitsluitingen: Geen enkele aanbieder dekt conformiteitsbeoordeling, beveiligingstesten, SBOM-generatie of juridisch advies. Dit blijft altijd de verantwoordelijkheid van de fabrikant.

Samenvattend: eis volledige schriftelijke openheid over verlengingsprijzen, opzegtermijnen, per-verzoek kosten en aansprakelijkheidsvoorwaarden voordat je een contract ondertekent.

Beslissingsmatrix: heb je een CRA gemachtigde vertegenwoordiger nodig?

Gebruik deze matrix om te bepalen of je een CRA gemachtigde vertegenwoordiger nodig hebt op basis van je bedrijfsmodel en marktpositie:

Deze matrix dekt de meeste praktische scenario's voor fabrikanten en verkopers. Bij twijfel raadpleeg de wet of een specialist voor jouw specifieke product en verkoopmodel.

Checklist: stappen naar CRA-naleving

Volg deze checklist om efficiënt aan je CRA-verplichtingen te voldoen:

1. Bepaal of je product binnen de CRA-scope valt (hardware/software met digitale elementen).
2. Controleer of je buiten de EU gevestigd bent.
3. Identificeer of je direct aan EU-klanten verkoopt of via marktplaatsen (Amazon, Etsy, eBay).
4. Onderzoek en vergelijk CRA vertegenwoordigers op juridische entiteit, prijs en scope.
5. Vraag voorbeeldcontracten aan en verduidelijk alle uitsluitingen en verlengingsvoorwaarden schriftelijk.
6. Onderteken het mandaat volgens Artikel 18 met je gekozen aanbieder.
7. Ontvang en verifieer je aanwijzingsbrief en certificaat (bij voorkeur met publieke verificatie).
8. Update je technische documentatie en productverklaringen met de vertegenwoordiger.
9. Bereid je draaiboek voor kwetsbaarheidsrapportage voor (Artikel 14 plichten vanaf september 2026).
10. Reserveer budget voor interne engineering, documentatie en eventueel beoordeling door aangemelde instanties.
11. Bekijk je ondersteuningsperiode verplichtingen (minimaal vijf jaar beveiligingsupdates).
12. Houd verlengingsdata en opzegtermijnen in de gaten om stille verlopen te voorkomen.

Realistische scenario's

• Amerikaanse SaaS-aanbieder: Verkoopt een cloudproduct aan EU-klanten. Moet een CRA vertegenwoordiger aanstellen en een 24-uurs meldkanaal voor kwetsbaarheden opzetten. REP27 biedt een gepubliceerde prijs, snelle aanstelling en verifieerbaar certificaat. De SaaS-aanbieder moet ook technische documentatie en een rapportagedraaiboek voorbereiden, maar conformiteitsbeoordeling is waarschijnlijk zelfverklaard tenzij het product Important Klasse II of Kritiek is.
• Chinese Amazon-verkoper: Verzendt merkgebonden IoT-apparaten naar de EU. Heeft een CRA vertegenwoordiger nodig voor markttoegang, omdat Amazon en EU-douane bewijs van vertegenwoordiging kunnen eisen. De verkoper moet zorgen dat het product aan CRA voldoet, de vertegenwoordiger aanstellen (bijv. REP27, Kadano of Euverify) en productdocumentatie bijwerken. Bij verkoop onder eigen naam geldt de verplichting; als de importeur het merk wijzigt, neemt de importeur de verantwoordelijkheid.
• Britse online retailer: Verkoopt verbonden apparaten B2B aan EU-bedrijven. Heeft een CRA vertegenwoordiger nodig tenzij een EU-importeur de verplichtingen overneemt. De retailer moet met partners afstemmen wie verantwoordelijk is, een vertegenwoordiger aanstellen indien nodig en zich voorbereiden op kwetsbaarheidsrapportage vanaf september 2026.

Deze scenario's illustreren de praktische toepassing van de wet en de stappen die nodig zijn voor naleving, ongeacht bedrijfsgrootte of sector.