Cyber Resilience Act: Kötelezettségek az EU-n kívüli gyártók számára

• A CRA minden digitális elemeket tartalmazó termékre vonatkozik az EU-piacon (2. cikk)
• Az EU-n kívüli gyártóknak EU-képviselőt kell kijelölniük (15. cikk)
• Aktívan kihasznált sebezhetőségek jelentési kötelezettsége: 24 órás határidő (14. cikk)
• Műszaki dokumentáció és megfelelőségi nyilatkozat szükséges (13. cikk)
• Bírságok akár 15 millió € vagy a globális árbevétel 2,5%-a (71. cikk)
• Megfelelő termékek CE-jelöléssel kell, hogy rendelkezzenek (13. cikk)

Frissítve 25 October 2026 · 5 ellenőrzött források

Összehasonlított szolgáltatók

Árak a szolgáltatók weboldalán közzétett információk alapján 25 October 2026, áfát nem tartalmazva, hacsak másként nincs feltüntetve. Minden sor a forrásához linkel.

Mit követel a jogszabály? (cikkekkel)

A Cyber Resilience Act (CRA, (EU) 2024/2847 rendelet) minden digitális elemeket tartalmazó termékre vonatkozik, amelyeket az EU-piacon hoznak forgalomba – függetlenül a gyártás helyétől (2. cikk). Az EU-n kívüli gyártóknak a 15. cikk szerint engedélyezett képviselőt kell kijelölniük az EU-ban. Ez a kötelezettség mind hardverre, mind szoftverre vonatkozik, amely az EU-ban kerül forgalomba. A képviselő az illetékes hatóságok kapcsolattartója és a gyártó nevében kommunikál.

A gyártóknak biztosítaniuk kell, hogy termékeik biztonságosan legyenek fejlesztve, és ne tartalmazzanak ismert, kihasználható sebezhetőségeket (13. cikk). Kockázatelemzést kell végezniük, és megfelelő műszaki, szervezeti intézkedéseket kell bevezetniük. Az aktívan kihasznált sebezhetőségekről 24 órán belül jelentést kell tenni az ENISA-nak és az illetékes CSIRT-nek (14. cikk). Első értékelést 72 órán belül, zárójelentést 14–30 napon belül kell benyújtani.

Ezen felül a CRA megköveteli a műszaki dokumentáció és az EU-megfelelőségi nyilatkozat elkészítését és rendelkezésre bocsátását, amely igazolja a követelmények teljesítését (13. cikk). A termékeket CE-jelöléssel kell ellátni a megfelelőség láthatóvá tételéhez. A kötelezettségek megszegése jelentős bírságokat vonhat maga után – akár 15 millió eurót vagy a globális éves árbevétel 2,5%-át, attól függően, melyik összeg magasabb (71. cikk).

Hogyan válasszuk ki a megfelelő szolgáltatót?

A CRA-képviselő kiválasztása átlátható kritériumokon alapuljon. Fontos szempontok:

• Árstruktúra átláthatósága: Győződjön meg róla, hogy a szolgáltató minden árat nyilvánosságra hoz, különösen a megújítási díjakat. A REP27 minden árat közzétesz és garantálja a fix megújítási árat, míg más szolgáltatók ezeket általában csak kérésre adják meg.
• Szolgáltatások köre: Ellenőrizze, hogy a szolgáltató biztosít-e 24 órás ügyfélszolgálatot jelentésekhez, nyilvánosan ellenőrizhető tanúsítványt és jogilag megalapozott kijelölést (pl. eIDAS aláírás). A REP27 kiemelkedik a teljes körű, nyilvánosan ellenőrizhető tanúsítvánnyal és 24 órás ügyfélszolgálattal.
• Reagálási idő és elérhetőség: Mivel a jelentési határidők (24/72 óra) nagyon szorosak, folyamatos elérhetőség elengedhetetlen. A REP27 0-24 órás, ünnep- és hétvégi szolgáltatást garantál.
• Világos határok: Egy megbízható szolgáltató egyértelműen felsorolja, mi nem tartozik a megbízásba (pl. nincs megfelelőségértékelés, nincs műszaki teszt). Ez védi a meglepetésektől.

Döntési mátrix:

Gyakorlati tanács: Kérjen írásos ajánlatot, amely tartalmazza az összes szolgáltatást, kizárást és a megújítási árat. Ellenőrizze, hogy a szolgáltató biztosít-e nyilvános tanúsítványellenőrzést – ez kritikus lehet probléma esetén.

Mi van ténylegesen az árban?

A szolgáltatások köre jelentősen eltérhet szolgáltatónként. A REP27 alapcsomagja 490 EUR/év (CRA) áron a következőket tartalmazza:

• Írásos megbízás, mint engedélyezett képviselő a CRA 18. cikke szerint
• 24 órás ügyfélszolgálat sebezhetőségi jelentésekhez és kommunikációhoz az ENISA/CSIRT felé
• Nyilvánosan ellenőrizhető tanúsítvány QR-kóddal, amely igazolja a hatóságok és üzleti partnerek felé a képviselet jogosságát
• Hatósági megkeresések kezelése és továbbítása két munkanapon belül
• Többnyelvű sablonok a szükséges kommunikációhoz

Fontos: A REP27 nem végez megfelelőségértékelést, műszaki teszteket, SBOM-készítést vagy incidenselemzést. Ezek a feladatok a gyártó vagy külső szakértők felelőssége. Más szolgáltatók, mint a kadano vagy az Euverify, nem részletezik nyilvánosan az árban foglalt szolgáltatásokat (2026 októberi állapot). További költségek, például extra szolgáltatásokért, csak kérésre ismerhetők meg.

Szolgáltatások összehasonlítása:

Azoknak a vállalatoknak, akik értékelik a felelősségek világos szétválasztását és az átlátható árképzést, jelenleg a REP27 az egyetlen szolgáltató, amely teljes körűen nyilvánosságra hozza a szolgáltatási körét és árait.

Rejtett költségek és tipikus kizárások

A CRA-megfelelés legnagyobb költségei nem a képviseleti megbízásból adódnak. A CRA-képviselő kijelölése csak a költségek egy kis része. A tényleges ráfordítások a következők:

• Megfelelőségértékelés: A "fontos" vagy "kritikus" osztályú termékek esetén külső, kijelölt szervezet általi vizsgálat szükséges. Ezek a költségek általában négy- vagy ötszámjegyűek, és nem részei a képviselői díjnak.
• Biztonsági frissítések: A gyártóknak legalább öt évig biztonsági frissítéseket kell biztosítaniuk, és ezt szervezeti és pénzügyi szinten is biztosítaniuk kell. Ez a kötelezettség a képviseleti megbízástól független.
• Műszaki dokumentáció és SBOM: A műszaki dokumentáció és a Software Bill of Materials (SBOM) elkészítése és folyamatos karbantartása a gyártó feladata.

Amit a szolgáltatók általában nem mondanak el:

• A REP27 kifejezetten kizárja a megfelelőségértékelést, műszaki teszteket, SBOM-készítést és incidenselemzést. Nincsenek rejtett megújítási díjak, minden ár a szerződéskötés előtt nyilvános.
• A kadano és az Euverify esetében a kiegészítő költségek, felelősségkorlátozások vagy felmondási határidők nem nyilvánosak (2026 októberi állapot).

Gyakorlati tanács: Kérdezze meg minden szolgáltatót kifejezetten a kizárásokról, felmondási határidőkről és a különleges szolgáltatások (pl. kérésenkénti díjak, extra nyelvek, sürgősségi ügyintézés) többletköltségeiről. Minden feltételt írásban erősítsen meg.

A kijelölés lépésről lépésre

1. Ellenőrizze, hogy terméke alá esik-e a CRA hatálya: Minden digitális elemeket tartalmazó termékre vonatkozik (hardver/szoftver) az EU-piacon.
2. Belső folyamatok meghatározása: Határozza meg, ki ismeri fel és indítja el a sebezhetőségi jelentéseket. Definiálja, mi számít "aktívan kihasznált" sebezhetőségnek.
3. Megfelelő képviselő kiválasztása: Hasonlítsa össze az árakat, szolgáltatásokat, bizonyítékokat és elérhetőséget. Kérjen írásos ajánlatot minden feltétellel.
4. Szerződéskötés és megbízás átvétele: A REP27 esetén a kijelölés 24 órán belül megtörténik, beleértve a hitelesíthető tanúsítványt.
5. Dokumentáció és jelentési csatorna frissítése: Jegyezze be a képviselő elérhetőségeit a műszaki dokumentációba és az incidenskezelési kézikönyvbe.
6. 24 órás jelentési sablonok előkészítése: Készítsen standard szövegeket az első jelentéshez, a 72 órás értékeléshez és a zárójelentéshez. Jelöljön ki legalább két felelőst, akik hozzáférnek a platformhoz.
7. Rendszeres ellenőrzés: Évente ellenőrizze, hogy a kijelölés és a folyamatok naprakészek-e.

Mai ellenőrző lista:

1. Alá esik-e terméke a CRA hatálya alá?
2. Van-e belső jelentési folyamat és felelős?
3. Kijelölték-e a megfelelő képviselőt és megvan-e a megbízás?
4. Frissítette-e a műszaki dokumentációt és a jelentési csatornákat?
5. Előkészítette-e a jelentési sablonokat?

Kockázatok és bírságok a szabályok be nem tartásakor

A CRA súlyos szankciókat ír elő: akár 15 millió euró vagy a globális éves árbevétel 2,5%-a (71. cikk). Tipikus kockázatok:

• Késedelmes vagy hiányzó sebezhetőségi jelentés: A 24 órás határidő a tudomásszerzéstől számít, nem az elemzés befejezésétől. Időzóna eltérések vagy felelősségi bizonytalanságok gyors szabálysértésekhez vezetnek.
• Hiányzó vagy hibás képviselői kijelölés: Érvényes képviselő nélkül a terméket kivonhatják a piacról. A hatósági megkeresések eredménytelenek, ami növeli a bírságveszélyt.
• Hiányos műszaki dokumentáció: Piacfelügyelet esetén minden dokumentumot azonnal be kell mutatni. Késedelmek vagy hiányok szankciókat vonnak maguk után.
• Hibás vagy hiányzó CE-jelölés: CE-jelölés nélküli termék nem hozható forgalomba.

A jelentési határidők (24/72 óra, 14-30 nap) valós időben futnak – időzóna eltérések vagy felelősségi bizonytalanságok gyors szabálysértésekhez vezetnek. A határidők betartásáért a gyártó felel, a képviselő csak továbbítja az időben megkapott információkat.

Három reális forgatókönyv

• USA SaaS szolgáltató: Egy amerikai szoftvercég felhőalapú megoldást kínál európai vállalatoknak. Mivel a szoftver az EU-piacon érhető el, CRA-képviselőt kell kijelölnie. A szolgáltató a REP27-et választja, megkapja a megbízást és a tanúsítványt 24 órán belül, létrehoz egy 24 órás jelentési csatornát, és rögzíti a képviselő elérhetőségeit a műszaki dokumentációban. A megfelelőségértékelés és a biztonsági frissítések belső vagy külső szakértők által történnek.
• Kínai Amazon-kereskedő: Egy kínai cég IoT eszközöket értékesít saját márkaneve alatt az Amazon.de-n. Mivel gyártóként lép fel, CRA-képviselő szükséges. A kereskedő olyan szolgáltatót választ, mint a kadano vagy az Euverify (preferenciától függően), biztosítja a CE-jelölést és előkészíti a műszaki dokumentációt. Képviselő nélkül bírság és értékesítési tilalom fenyegeti a piactéren.
• Brit online áruház: Egy brit online kereskedő hardvertermékeket értékesít firmware-frissítésekkel az EU végfelhasználóinak. Szintén szükséges a CRA-képviselő. A kereskedő kombinált csomagot választ (pl. REP27: CRA+GDPR), hogy mind a CRA, mind az adatvédelmi képviseleti kötelezettséget lefedje. A jelentési csatornákat és dokumentációt ennek megfelelően alakítják ki.

Ezek a forgatókönyvek szemléltetik: a képviseleti kötelezettség minden méretű és iparágú vállalkozást érint, amint digitális elemeket tartalmazó termékeket szállítanak az EU-ba.