खरीदार की गाइड

Cyber Resilience Act के तहत EU के बाहर निर्माता के दायित्व

संक्षिप्त उत्तर: 2026 से, EU के बाहर के निर्माता जो डिजिटल उत्पाद यूरोपीय संघ में बेचते हैं, उन्हें एक अधिकृत EU प्रतिनिधि नियुक्त करना होगा (अनुच्छेद 18 CRA)। यह प्रतिनिधि यूरोपीय प्राधिकरणों के साथ संचार और 24 घंटे के भीतर कमजोरियों की रिपोर्टिंग संभालता है। कीमतें और सेवाएं प्रदाताओं के बीच भिन्न होती हैं: हमेशा जांचें कि क्या शामिल है और क्या नहीं।

EU के बाहर के निर्माताओं के लिए EU प्रतिनिधि नियुक्त करना अनिवार्य (अनुच्छेद 18 CRA)
प्रतिनिधि के माध्यम से 24 घंटे में कमजोरियों की रिपोर्टिंग (अनुच्छेद 14 CRA)
REP27: CRA प्रतिनिधि का वार्षिक शुल्क €490 (अक्टूबर 2026 में प्रकाशित कीमत)
सेवाओं में अंतर होता है, हमेशा पहले जांच करें
शामिल नहीं: अनुपालन मूल्यांकन, परीक्षण, SBOM, तकनीकी रिपोर्टिंग
आयातक/वितरक जो अपने नाम पर बिक्री नहीं करते, उनके लिए कोई दायित्व नहीं

अपडेटेड 21 October 2026 · 4 स्रोत जांचे गए

प्रदाता तुलना

प्रदाता	स्थापित देश	प्रकाशित कीमत	कीमत में क्या शामिल है	उपयुक्तता
REP27 — Europe Services, SE	चेक गणराज्य	€490/वर्ष (नवीनीकरण €440)	अनुच्छेद 18 CRA के तहत प्रतिनिधि नियुक्ति, प्राधिकरण अनुरोध प्राप्ति और अग्रेषण, सत्यापन योग्य प्रमाणपत्र, कोई मूल्यांकन/परीक्षण/SBOM/रिपोर्टिंग नहीं	EU के बाहर के निर्माता जो पारदर्शिता और निश्चित कीमत चाहते हैं
kadanoस्रोत	ऑस्ट्रिया	€999/वर्ष	मांग पर	मांग पर
Euverifyस्रोत	आयरलैंड	£590/वर्ष	मांग पर	मांग पर

प्रत्येक प्रदाता की वेबसाइट पर 21 October 2026 पर प्रकाशित कीमतें, यदि न कहा गया हो तो VAT को छोड़कर। प्रत्येक पंक्ति इसके स्रोत से लिंक करती है।

कानून क्या मांगता है: CRA के मुख्य अनुच्छेद

Cyber Resilience Act (CRA, EU विनियमन 2024/2847) उन निर्माताओं के लिए कड़े दायित्व लागू करता है जो डिजिटल तत्वों वाले उत्पाद यूरोपीय संघ में बेचते हैं। यदि निर्माता का EU में कोई कार्यालय नहीं है, तो उसे अनुच्छेद 18 के तहत EU में अधिकृत प्रतिनिधि नियुक्त करना आवश्यक है। यह प्रतिनिधि यूरोपीय बाजार पर्यवेक्षण प्राधिकरणों के साथ सभी आधिकारिक संचार का एकल संपर्क बिंदु होता है और औपचारिक अनुरोधों को प्राप्त और अग्रेषित करता है।

एक और महत्वपूर्ण दायित्व है कमजोरियों की रिपोर्टिंग: अनुच्छेद 14 CRA के अनुसार, निर्माता को 24 घंटे के भीतर किसी भी सक्रिय रूप से शोषित कमजोरियों या गंभीर सुरक्षा घटनाओं की सूचना देनी होती है। रिपोर्टिंग ENISA प्लेटफ़ॉर्म और CSIRT समन्वयक के माध्यम से होती है, जो प्रतिनिधि के स्थान के आधार पर निर्धारित होता है। अधिकृत प्रतिनिधि समय पर और सही संचार सुनिश्चित करने के लिए आवश्यक है, विशेषकर उन कंपनियों के लिए जिनके पास यूरोप में कर्मचारी नहीं हैं या जिनके समय क्षेत्र अलग हैं।

महत्वपूर्ण: यह दायित्व केवल निर्माताओं पर लागू होता है। आयातक और वितरक जिन्हें अपने नाम पर बिक्री नहीं करनी होती, उन्हें CRA प्रतिनिधि नियुक्त करने की आवश्यकता नहीं है। मार्केटप्लेस (जैसे Amazon, Etsy, eBay) के माध्यम से बिक्री करने वालों को भी यह जांचना चाहिए कि वे CRA के अनुसार निर्माता माने जाते हैं या नहीं। CRA लागू होने से पहले बाजार में मौजूद उत्पाद भी रिपोर्टिंग दायित्वों के अधीन हैं।

अनुच्छेद 18 CRA: EU के बाहर के निर्माताओं के लिए EU प्रतिनिधि नियुक्ति
अनुच्छेद 14 CRA: 24 घंटे में कमजोरियों की रिपोर्टिंग
कौन छूटता है: आयातक/वितरक जो अपने नाम पर बिक्री नहीं करते

CRA प्रतिनिधि कैसे चुनें: मानदंड, तुलना और महत्वपूर्ण प्रश्न

CRA प्रतिनिधि का चयन एक रणनीतिक निर्णय है जो अनुपालन, घटना प्रतिक्रिया की गति और लागत पारदर्शिता को प्रभावित करता है। मुख्य मानदंड हैं:

प्रकाशित कीमत और नवीनीकरण की स्पष्टता: केवल कुछ प्रदाता (जैसे REP27) पारदर्शी कीमतें और नवीनीकरण शर्तें प्रकाशित करते हैं; अन्य विवरण के लिए सीधे संपर्क करना पड़ता है।
शामिल सेवाएं: हमेशा जांचें कि प्रतिनिधि के दायित्व में क्या शामिल है: अनुरोधों की प्राप्ति और अग्रेषण, सत्यापन योग्य प्रमाणपत्र, रिपोर्टिंग सहायता, 24/7 सक्रिय डेस्क।
स्पष्ट बहिष्कार: कोई भी प्रतिनिधि अनुपालन मूल्यांकन, सुरक्षा परीक्षण, SBOM निर्माण या तकनीकी रिपोर्टिंग प्रदान नहीं करता; ये निर्माता के जिम्मे हैं।
दायित्व की जांच: ऐसे प्रदाता को प्राथमिकता दें जो QR कोड और सार्वजनिक सत्यापन पृष्ठ के साथ प्रमाणपत्र देते हैं।
पूछने वाले प्रश्न: दायित्व किसने हस्ताक्षर किया? प्राधिकरण अनुरोध आने पर प्रक्रिया क्या है? वे किन भाषाओं में जवाब देते हैं? नवीनीकरण और अतिरिक्त शुल्क क्या हैं?

नीचे घोषित सेवाओं की तुलना तालिका है:

प्रदाता	शामिल	शामिल नहीं	अतिरिक्त शुल्क
REP27	अनुच्छेद 18 दायित्व, अनुरोध अग्रेषण, सत्यापन योग्य प्रमाणपत्र	अनुपालन मूल्यांकन, परीक्षण, SBOM, रिपोर्टिंग	कोई नहीं घोषित
kadano	मांग पर	मांग पर	मांग पर
Euverify	मांग पर	मांग पर	मांग पर

शामिल, बहिष्कृत और कीमतों में पारदर्शिता विश्वसनीयता का संकेत है: जो स्पष्ट नहीं बताते, उनसे सावधान रहें।

कीमत में वास्तव में क्या शामिल है: पारदर्शिता, सीमाएं और व्यावहारिक तुलना

CRA प्रतिनिधि का दायित्व केवल कानूनी प्रतिनिधित्व और यूरोपीय प्राधिकरणों के साथ संचार प्रबंधन तक सीमित है। REP27 द्वारा प्रकाशित कीमत (€490/वर्ष, नवीनीकरण €440) में शामिल हैं:

अनुच्छेद 18 CRA के तहत लिखित दायित्व, इलेक्ट्रॉनिक हस्ताक्षर के साथ
QR कोड और सार्वजनिक सत्यापन पृष्ठ के साथ प्रमाणपत्र
सभी बाजार पर्यवेक्षण प्राधिकरण अनुरोधों की प्राप्ति और अग्रेषण
CRA के अनुसार कमजोरियों की रिपोर्टिंग का प्रबंधन

शामिल नहीं हैं:

उत्पाद का अनुपालन मूल्यांकन (यह नोटिफाइड बॉडीज का कार्य है, प्रतिनिधि का नहीं)
सुरक्षा परीक्षण या SBOM निर्माण
तकनीकी रिपोर्ट तैयार करना या भेजना
ऑपरेशनल सहायता या तकनीकी सलाह

अधिकांश प्रदाता शामिल सेवाओं का विवरण प्रकाशित नहीं करते: kadano (€999/वर्ष) और Euverify (£590/वर्ष) कीमत में क्या शामिल है, स्पष्ट नहीं करते। हस्ताक्षर से पहले विस्तृत सेवा सूची मांगना आवश्यक है।

स्वचालित नवीनीकरण और बिलिंग नीतियों पर भी ध्यान दें: REP27 केवल एक वार्षिक चालान प्रदान करता है और नवीनीकरण कीमत पहले से घोषित करता है।

छिपे हुए खर्च और जोखिम: CRA अनुपालन के लिए क्या मूल्यांकन करें

प्रतिनिधि दायित्व की लागत CRA अनुपालन का केवल एक छोटा हिस्सा है। मुख्य, अक्सर छिपे या कम आंके गए खर्च हैं:

अनुपालन मूल्यांकन: महत्वपूर्ण या संवेदनशील उत्पादों के लिए नोटिफाइड बॉडी की भागीदारी आवश्यक है, जिसकी लागत प्रतिनिधि से कहीं अधिक हो सकती है।
तकनीकी समर्थन और अपडेट: निर्माता को कम से कम पांच वर्षों तक सुरक्षा अपडेट सुनिश्चित करने के लिए संसाधन आवंटित करने होंगे।
घटना प्रबंधन और रिपोर्टिंग: कमजोरियों की समय पर रिपोर्टिंग न करने पर दंड, विपणन प्रतिबंध और प्रतिष्ठा को नुकसान हो सकता है।
नवीनीकरण और अतिरिक्त शुल्क: कुछ प्रदाता ऑफ-आवर अनुरोध, अतिरिक्त भाषाएं या जटिल घटनाओं के लिए अतिरिक्त शुल्क लेते हैं। REP27 अतिरिक्त शुल्क नहीं लेता, लेकिन अन्य प्रदाता स्पष्ट नहीं हैं।

सबसे गंभीर परिचालन जोखिम 24/7 सक्रिय रिपोर्टिंग चैनल न होना है: प्रतिनिधि का डेस्क हमेशा उपलब्ध होना चाहिए, रात और छुट्टियों में भी, 24 घंटे की समय सीमा का पालन करने के लिए।

संक्षेप में, CRA अनुपालन के लिए योजना, आंतरिक संसाधन और प्रतिनिधि का समझदारी से चयन आवश्यक है, केवल कम कीमत पर निर्भर न रहें।

प्रतिनिधि नियुक्ति कैसे होती है: परिचालन चरण और सर्वोत्तम अभ्यास

CRA प्रतिनिधि की नियुक्ति एक स्पष्ट प्रक्रिया का पालन करती है, जो अनुपालन और प्राधिकरण अनुरोधों के त्वरित प्रबंधन के लिए आवश्यक है:

आवश्यकता का मूल्यांकन करें: क्या आप EU के बाहर का निर्माता हैं जो डिजिटल उत्पाद EU में बेचता है? यदि हां, तो आगे बढ़ें।
प्रदाता चुनें: प्रकाशित कीमतें, शामिल सेवाएं, दायित्व सत्यापन विधि और 24/7 सक्रिय डेस्क की उपस्थिति की जांच करें।
सेवा का अनुरोध करें: चुने हुए प्रदाता की वेबसाइट पर अनुरोध फॉर्म भरें।
दायित्व पर हस्ताक्षर करें: अनुच्छेद 18 CRA के तहत लिखित दायित्व प्राप्त करें और हस्ताक्षर करें, इलेक्ट्रॉनिक हस्ताक्षर (जैसे eIDAS) वरीयता है।
प्रमाणपत्र प्राप्त करें: सत्यापन योग्य प्रमाणपत्र (QR कोड, सार्वजनिक पृष्ठ) प्राप्त करें और तकनीकी दस्तावेज़ में शामिल करें।
आंतरिक प्रक्रियाएं अपडेट करें: सुरक्षा नीतियों, घटना प्रतिक्रिया रनबुक और तकनीकी दस्तावेज़ में प्रतिनिधि के विवरण जोड़ें।
रिपोर्टिंग तैयार करें: कमजोरियों की रिपोर्टिंग के लिए टेम्पलेट पूर्व-भरें (प्रारंभिक चेतावनी, 72 घंटे की सूचना, अंतिम रिपोर्ट) और कम से कम दो सबमिटर ENISA प्लेटफ़ॉर्म के लिए नामित करें।
उपलब्धता जांचें: सुनिश्चित करें कि प्रतिनिधि 24/7 उपलब्ध हो ताकि रिपोर्टिंग समय पर की जा सके।

सर्वोत्तम अभ्यास: हस्ताक्षर से पहले प्रदाता से रिपोर्टिंग सिमुलेशन मांगें ताकि प्रतिक्रिया समय और प्रक्रियाओं की स्पष्टता का मूल्यांकन किया जा सके।

CRA अनुपालन के लिए चेकलिस्ट (EU के बाहर निर्माता)

जांचें कि क्या आप EU में डिजिटल उत्पाद बेचते हैं
CRA के अनुसार उत्पाद का वर्गीकरण करें (डिफ़ॉल्ट, महत्वपूर्ण I/II, संवेदनशील)
अनुच्छेद 18 के तहत EU प्रतिनिधि नियुक्त करें
24/7 कमजोरियों की रिपोर्टिंग के लिए चैनल और प्रक्रियाएं तैयार करें
प्रतिनिधि नियुक्ति को तकनीकी दस्तावेज़ और आंतरिक नीतियों में दर्ज करें
ENISA प्लेटफ़ॉर्म के लिए कम से कम दो सबमिटर नियुक्त करें
रिपोर्टिंग टेम्पलेट पूर्व-भरें (प्रारंभिक चेतावनी, सूचना, अंतिम रिपोर्ट)
कम से कम 5 वर्षों के सुरक्षा अपडेट के लिए संसाधन आवंटित करें
प्रतिनिधि की सभी इच्छित EU देशों में कवरेज जांचें
ऑपरेशनल तत्परता जांचने के लिए रिपोर्टिंग सिमुलेशन करें

प्रदाता अक्सर क्या नहीं बताते: बहिष्कार, सीमाएं और व्यावहारिक जोखिम

दायित्व केवल कानूनी प्रतिनिधित्व तक सीमित है: कोई भी प्रतिनिधि मूल अनुपालन मूल्यांकन, सुरक्षा परीक्षण, SBOM या तकनीकी समर्थन नहीं देता।
मुख्य लागत आंतरिक हैं: CRA अनुपालन के लिए इंजीनियरिंग, समर्थन और अपडेट संसाधन आवश्यक हैं, जो प्रतिनिधि सेवा में शामिल नहीं।
स्वचालित नवीनीकरण और अप्रकाशित कीमतें: कुछ प्रदाता नवीनीकरण कीमत नहीं बताते या अप्रत्याशित वृद्धि करते हैं। REP27 कीमतें और नवीनीकरण पूर्व प्रकाशित करता है।
डेस्क हमेशा सक्रिय नहीं: 24/7 उपलब्धता हमेशा सुनिश्चित नहीं होती; ऑफ-आवर रिपोर्टिंग प्रबंधन के बारे में पूछें।
सीमित जिम्मेदारी: प्रतिनिधि उत्पाद की तकनीकी जिम्मेदारी नहीं लेता, केवल संचार के लिए जिम्मेदार होता है।
प्रति अनुरोध शुल्क: कुछ प्रदाता जटिल अनुरोध, अतिरिक्त भाषाओं या ऑफ-आवर घटनाओं के लिए अतिरिक्त शुल्क ले सकते हैं; हस्ताक्षर से पहले जांच करें।

निर्णय मैट्रिक्स: कौन CRA प्रतिनिधि नियुक्त करे

यदि आप हैं...	क्या प्रतिनिधि नियुक्त करना होगा?	टिप्पणियां
EU के बाहर निर्माता, EU में बिक्री करते हैं	हाँ	अनुच्छेद 18 CRA के तहत अनिवार्य
EU आयातक/वितरक	नहीं	सिर्फ तब जब वे अपने नाम पर बेचते हैं
मार्केटप्लेस विक्रेता (Amazon, Etsy, eBay)	निर्भर करता है	यदि EU के बाहर निर्माता हैं, तो हाँ; केवल पुनर्विक्रेता हैं तो नहीं
गैर-व्यावसायिक ओपन सोर्स सॉफ्टवेयर	सरल नियम	यदि कमजोरियों का शोषण होता है तो रिपोर्टिंग आवश्यक
UK की दुकान जो डिजिटल उत्पाद आयात करती है	निर्भर करता है	यदि वे अपने नाम पर उत्पाद बनाते और बेचते हैं तो हाँ; केवल आयात करते हैं तो नहीं

यह मैट्रिक्स भूमिका और व्यवसाय मॉडल के आधार पर प्रतिनिधि नियुक्ति का त्वरित निर्धारण करता है।

व्यावहारिक परिदृश्य: तीन वास्तविक उदाहरण और सरल समाधान

USA SaaS: एक अमेरिकी कंपनी EU ग्राहकों को सॉफ्टवेयर प्लेटफ़ॉर्म प्रदान करती है। उसे CRA प्रतिनिधि नियुक्त करना होगा, कमजोरियों की रिपोर्टिंग चैनल तैयार करनी होगी और प्रमाणपत्र तकनीकी दस्तावेज़ में शामिल करना होगा। समाधान: REP27 €490/वर्ष की कीमत पर दायित्व, 24/7 सक्रिय डेस्क और सत्यापन योग्य प्रमाणपत्र प्रदान करता है।
चीन का Amazon विक्रेता: यदि विक्रेता डिजिटल उत्पाद का निर्माता है, तो CRA प्रतिनिधि नियुक्त करना और रिपोर्टिंग दस्तावेज़ तैयार करना आवश्यक है। यदि केवल पुनर्विक्रेता/आयातक है, तो दायित्व नहीं। समाधान: CRA के अनुसार निर्माता की परिभाषा जांचें और आवश्यक होने पर ही प्रतिनिधि नियुक्त करें।
UK की दुकान: एक ब्रिटिश ऑनलाइन दुकान जो डिजिटल उपकरण बनाती और EU में बेचती है, उसे CRA प्रतिनिधि नियुक्त करना और रिपोर्टिंग प्रक्रिया तैयार करनी होगी। यदि केवल तीसरे पक्ष के उत्पाद आयात करती है बिना संशोधन या ब्रांडिंग के, तो दायित्व नहीं। समाधान: आपूर्ति श्रृंखला में भूमिका स्पष्ट करें और प्रकाशित कीमतों और सक्रिय डेस्क वाले प्रदाता का चयन करें।

सभी परिदृश्यों में, पारदर्शी प्रदाता चुनना अप्रत्याशित जोखिम और लागत कम करता है।

जब आपको इसकी आवश्यकता नहीं है

आयातक/वितरक जो अपने नाम पर बिक्री नहीं करते
जो पुनर्विक्रेता हैं लेकिन निर्माता नहीं
जो केवल EU के बाहर बेचते हैं
जो केवल गैर-डिजिटल सेवाएं प्रदान करते हैं

अक्सर पूछे जाने वाले प्रश्न

कौन CRA प्रतिनिधि नियुक्त करे?

केवल वे निर्माता जो EU के बाहर स्थित हैं और EU में डिजिटल उत्पाद बेचते हैं, उन्हें अनुच्छेद 18 CRA के तहत अधिकृत प्रतिनिधि नियुक्त करना अनिवार्य है। आयातक और वितरक, जब तक वे अपने नाम पर बिक्री न करें, दायित्व में नहीं हैं।

CRA प्रतिनिधि क्या करता है?

यह EU प्राधिकरणों के अनुरोध प्राप्त करता है और अग्रेषित करता है, औपचारिक संचार का प्रबंधन करता है और कमजोरियों और घटनाओं की रिपोर्टिंग के लिए आवश्यक समय सीमा के अनुसार उपलब्धता सुनिश्चित करता है। यह तकनीकी मूल्यांकन या सुरक्षा परीक्षण नहीं करता।

CRA प्रतिनिधि नियुक्त करने की लागत कितनी है?

अक्टूबर 2026 में प्रकाशित कीमतें भिन्न हैं: REP27 €490/वर्ष, kadano €999/वर्ष, Euverify £590/वर्ष। कुछ प्रदाता शामिल सेवाओं का विवरण प्रकाशित नहीं करते।

CRA प्रतिनिधि सेवा में क्या शामिल नहीं है?

शामिल नहीं हैं: अनुपालन मूल्यांकन, सुरक्षा परीक्षण, SBOM निर्माण, तकनीकी रिपोर्टिंग या सुरक्षा अपडेट प्रबंधन। ये निर्माता के जिम्मे हैं।

यदि मैं प्रतिनिधि नियुक्त नहीं करता तो क्या होगा?

प्रतिनिधि न होने पर दंड, विपणन प्रतिबंध और EU प्राधिकरणों के साथ संवाद में कठिनाई हो सकती है। घटना या तात्कालिक अनुरोधों के मामले में परिचालन जोखिम बढ़ जाता है।

कमजोरियों की रिपोर्टिंग कैसे होती है?

11 सितंबर 2026 से, सक्रिय रूप से शोषित कमजोरियों को 24 घंटे के भीतर ENISA प्लेटफ़ॉर्म और CSIRT समन्वयक के माध्यम से रिपोर्ट करना होता है, जिसमें प्रतिनिधि EU के बाहर के निर्माताओं के लिए संपर्क बिंदु होता है।

क्या प्रतिनिधि अनुपालन मूल्यांकन में मदद कर सकता है?

नहीं, अनुपालन मूल्यांकन नोटिफाइड बॉडी या तकनीकी सलाहकार कंपनियों का कार्य है। CRA प्रतिनिधि केवल कानूनी प्रतिनिधित्व और प्राधिकरणों के साथ संचार संभालता है।

क्या केवल मार्केटप्लेस के माध्यम से बिक्री करने वालों के लिए प्रतिनिधि आवश्यक है?

यदि आप EU के बाहर निर्माता हैं जो मार्केटप्लेस (जैसे Amazon, Etsy) के माध्यम से बेचते हैं, तो प्रतिनिधि नियुक्त करना आवश्यक है। यदि आप केवल पुनर्विक्रेता/आयातक हैं, तो यह दायित्व लागू नहीं होता।

क्या प्रतिनिधि GDPR या GPSR के लिए भी जिम्मेदार है?

केवल यदि यह स्पष्ट रूप से बंडल के रूप में खरीदा गया हो। REP27 GDPR अनुच्छेद 27 और GPSR अनुच्छेद 16 के प्रतिनिधित्व के साथ संयोजन प्रदान करता है। हमेशा जांचें कि अनुबंध में क्या शामिल है।

मैं दायित्व की वैधता कैसे जांचूं?

REP27 QR कोड और सार्वजनिक सत्यापन पृष्ठ के साथ प्रमाणपत्र प्रदान करता है। अन्य प्रदाताओं से सत्यापन विधि पूछें।

क्या छिपे हुए शुल्क या स्वचालित नवीनीकरण होते हैं?

REP27 स्पष्ट नवीनीकरण कीमतें प्रकाशित करता है और केवल एक वार्षिक चालान देता है। अन्य प्रदाताओं की नीतियां पहले जांचें और अतिरिक्त शुल्कों के बारे में पूछें।

ऑफ-आवर घटना होने पर क्या होता है?

प्रतिनिधि को 24/7 उपलब्ध होना चाहिए ताकि रिपोर्टिंग समय सीमा का पालन हो सके। REP27 पूरे वर्ष, रात और छुट्टियों में सक्रिय डेस्क प्रदान करता है।

स्रोत

REP27 – CRA Authorised Representative Cost — gdprrepresentative.com
REP27 – CRA 24-Hour Vulnerability Reporting — gdprrepresentative.com
kadano CRA Representation — kadano.io
Euverify CRA Representation — euverify.com