Cyber Resilience Act kötelezettségek EU-n kívüli gyártók számára

• A CRA 2026. szeptember 11-től vonatkozik az EU-ban értékesítő EU-n kívüli gyártókra
• 18. cikk: EU engedélyezett képviselő szükséges, ha nincs EU-beli telephely
• 24 órás jelentési kötelezettség a kihasznált sebezhetőségekről (14. cikk)
• A megfelelőség értékelése a termék osztályától függ
• Bírságok akár 15 millió euró vagy az árbevétel 2,5%-a a szabályszegésért

Frissítve 18 October 2026 · 9 ellenőrzött források

Összehasonlított szolgáltatók

Árak a szolgáltatók weboldalán közzétett információk alapján 18 October 2026, áfát nem tartalmazva, hacsak másként nincs feltüntetve. Minden sor a forrásához linkel.

Mit ír elő a jogszabály (cikkek szerint)

A Cyber Resilience Act (CRA) az EU új szabályozása a digitális elemeket tartalmazó termékekre, beleértve a hardvert, szoftvert és alkatrészeket. Bármely gyártóra vonatkozik – helytől függetlenül –, ha termékeiket az EU piacára helyezik. A jogszabály 2024. december 10-én lépett hatályba. A jelentési kötelezettségek 2026. szeptember 11-én kezdődnek; a teljes megfelelőség (beleértve a CE-jelölést és megfelelőségértékelést) 2027. december 11-től kötelező.

• 18. cikk: Az EU-n kívüli gyártóknak minden termékvonalra EU engedélyezett képviselőt kell kijelölniük, ha nincs EU-beli telephelyük. Ez a képviselő az illetékes hatóságok és piacfelügyelet hivatalos kapcsolattartója.
• 14. cikk: A gyártóknak jelenteniük kell a kihasznált sebezhetőségeket és súlyos termékbiztonsági eseményeket. A határidők szigorúak: 24 órán belül korai figyelmeztetés, 72 órán belül teljes értesítés, és 14 napon belül végleges jelentés a mérséklés vagy értesítés után. A jelentési platformot az ENISA kezeli, a címzett a képviselő tagállama.
• I. és II. melléklet: A gyártóknak teljesíteniük kell az alapvető kiberbiztonsági követelményeket, beleértve a sebezhetőségkezelést, biztonságos tervezést és érthető, a felhasználók és hatóságok számára könnyen érthető használati útmutatókat.
• Megfelelőségértékelés: A szükséges eljárás a termék osztályától függ. Az alapértelmezett termékek önértékelhetők; az I. osztályú fontos termékek harmonizált szabványokat vagy harmadik fél értékelést igényelnek; a II. osztályú fontos és kritikus termékek értesített szervezeti vagy tanúsítási eljárást igényelnek.
• Támogatási időszak: A gyártóknak a meghatározott támogatási időszak alatt (minimum öt év) biztonsági frissítéseket és sebezhetőségkezelést kell biztosítaniuk.
• Kivétel: Mikro- és kisvállalkozások, valamint nyílt forráskódú gondozók mentesülnek a késedelmes jelentés miatti bírság alól, de a műszaki és jelentési kötelezettségeket teljesíteniük kell.

A behozók és forgalmazók gyártónak minősülnek, ha saját nevük alatt helyezik forgalomba vagy jelentősen módosítják a terméket. Egyébként az eredeti gyártó felelős a CRA megfelelésért és jelentésért.

Hogyan válasszunk CRA képviselőt vagy megfelelőségi szolgáltatót

Az EU-n kívüli gyártók számára kritikus a megfelelő 18. cikk szerinti képviselő vagy megfelelőségi szolgáltató kiválasztása. A piac árban, átláthatóságban és szolgáltatásokban jelentősen eltér. Íme, mire figyeljünk:

• Jogi személy és székhely: Ellenőrizze a szolgáltató jogi személyét és EU-beli telephelyét. Például a REP27 a cseh kereskedelmi nyilvántartásban szereplő Europe Services, SE, prágai székhellyel. Mindig ellenőrizze fizetés előtt.
• Mandátum terjedelme: Egyes szolgáltatók csak a 18. cikk szerinti képviseletet nyújtják, mások GDPR vagy NIS2 képviselettel együtt. Győződjön meg róla, hogy a mandátum csak a 18(3) cikk szerinti feladatokat tartalmazza, és nem vállal tiltott kötelezettségeket (18(2) cikk).
• Ár átláthatósága: Keressen olyan szolgáltatókat, akik közzéteszik az első év és a megújítási díjakat is. Vigyázzon az alacsony kezdő árakra, melyeket magas megújítás követ. A REP27 például egyértelműen közli a megújítási díjakat.
• Igazolás és támogatás: Biztosítsa, hogy a szolgáltató ellenőrizhető tanúsítványt, nyilvános ellenőrzési lehetőséget és ügyfélszolgálatot kínál. Kérdezze meg a hatósági vagy CSIRT kérelmek továbbításának folyamatát, támogatott nyelveket és válaszidőt.
• Szolgáltatáscsomagok: Ha GDPR 27. cikk vagy GPSR 16. cikk képviseletre is szüksége van, egyes szolgáltatók (pl. REP27) kedvezményes csomagokat kínálnak.

Döntési mátrix:

Mindig kérjen írásos mandátumot és tanúsítványt, mielőtt terméket helyez piacra az EU-ban.

Mit tartalmaz valójában az ár: szolgáltató összehasonlítás

Az árak és a tartalmazott szolgáltatások jelentősen eltérnek. A 18. cikk szerinti mandátum általában a legalacsonyabb külső költség a CRA megfelelésben, de sok szolgáltató nem közli a teljes részleteket. Az alábbi táblázat bemutatja, mit tartalmaz, mit nem, és milyen további díjak merülhetnek fel (2026 október):

A legtöbb gyártó számára a 18. cikk mandátum egyoldalas dokumentum és a kérelmek továbbításának kötelezettsége. A megfelelőségértékelés, műszaki tesztelés és SBOM készítés külön költség, nem része az alap képviseleti díjnak.

Rejtett költségek és kizárások

Bár a 18. cikk mandátum jogilag kötelező, a teljes CRA megfelelés költségeinek csak kis részét teszi ki. A legdrágább elemek – megfelelőségértékelés, értesített szervezeti díjak, műszaki dokumentáció és támogatási időszak – általában nem részei a képviseleti csomagoknak. Figyeljen erre:

• Megfelelőségértékelési díjak: Fontos II. osztályú vagy kritikus termékek esetén az értesített szervezeti vagy tanúsítási díjak több ezer eurósak lehetnek és hónapokat vesznek igénybe. Ezeket külön kell tervezni.
• Műszaki dokumentáció: A Reglyze és EmberKat például kínál műszaki fájl készítést, SBOM feldolgozást és dokumentációs hiányosság elemzést, de ezek nem részei az alap mandátumnak.
• Megújítási és egyedi díjak: Egyes szolgáltatók magasabb megújítási díjakat vagy kérelmenkénti jelentési díjakat számíthatnak fel. Mindig kérjen írásos megerősítést a megújítási árakról és extra költségekről a szerződés előtt.
• Felmondási idő és felelősség korlátozások: A néma megújítások és tisztázatlan lemondási feltételek váratlan költségeket okozhatnak. A képviselők általában kizárják a megfelelési hibákért való felelősséget.
• Támogatási időszak költségei: A jogszabály legalább öt év biztonsági frissítést és sebezhetőségkezelést ír elő, amelyet termékvonalként kell tervezni és finanszírozni.

A REP27 átláthatóan közli, hogy mi nem tartozik a mandátumba: jogi tanácsadás, műszaki értékelés és SBOM készítés. Mindig tisztázza a kizárásokat és rejtett költségeket bármely szolgáltatónál.

A képviselet lépései: részletes útmutató

A 18. cikk szerinti képviselő kijelölése és a CRA megfelelés elérése több konkrét lépést igényel. Íme egy gyakorlati folyamat EU-n kívüli gyártók számára:

1. Határozza meg, hogy termékei érintettek-e: Azonosítsa az összes digitális elemeket (hardver, szoftver, alkatrészek vagy távoli adatfeldolgozó megoldások) tartalmazó terméket, amelyet az EU piacára helyez.
2. Osztályozza termékeit: A CRA definíciói alapján állapítsa meg, hogy alapértelmezett, fontos I/II osztályú vagy kritikus termékek-e. Ez befolyásolja a megfelelőségértékelési eljárást.
3. Válasszon képviselőt: Válasszon 18. cikk szerinti képviselőt, amelynek ellenőrizhető EU jogi személye van. Írásban erősítse meg a mandátum terjedelmét, árakat és megújítási feltételeket.
4. Írja alá a mandátumot: Kösse meg a 18(3) cikk szerinti írásos mandátumot a kiválasztott szolgáltatóval. Szerezzen be tanúsítványt és nyilvános ellenőrzési módot.
5. Készítse elő a dokumentációt: Állítsa össze a műszaki dokumentációt (VII. melléklet), SBOM-ot, EU megfelelőségi nyilatkozatot és a szükséges nyelveken használati útmutatókat.
6. Állítson fel 24 órás jelentési csatornát: Biztosítson személyzettel ellátott csatornát a sebezhetőségek és események fogadására. Előre írja meg a korai figyelmeztetés és értesítés sablonokat.
7. Regisztráljon az ENISA-nál: Regisztrálja a jelentő személyeket az ENISA jelentési platformján. Legalább két, különböző időzónában dolgozó személyt jelöljön ki.
8. Tervezze meg a folyamatos megfelelést: Készítsen költségvetést a támogatási időszakra (minimum öt év frissítés), megfelelőségértékelésre (ha szükséges) és dokumentáció karbantartására.
9. Rendszeresen vizsgálja felül: Ütemezzen rendszeres megfelelőségi és dokumentációs felülvizsgálatokat.

Ezzel a listával biztosítható a jogi és gyakorlati CRA megfelelés.

Kockázatok és bírságok nem megfelelés esetén

A CRA jelentős szankciókat vezet be a nem megfelelésért. Az alapvető kiberbiztonsági követelmények vagy gyártói kötelezettségek megsértése akár 15 millió eurós vagy a világméretű éves árbevétel 2,5%-os bírságot vonhat maga után, a magasabb összeg szerint. Ezek a szankciók az EU-s és EU-n kívüli gyártókra egyaránt vonatkoznak, akik az EU piacára helyeznek termékeket.

• Jelentési mulasztások: A 24 órás sebezhetőség jelentési határidő elmulasztása végrehajtási intézkedéseket vonhat maga után. Mikro- és kisvállalkozások, valamint nyílt forráskódú gondozók mentesülnek a késedelmes jelentés miatti bírság alól, de nem a jelentési kötelezettség alól.
• Beszerzési és piaci hozzáférési kockázatok: 18. cikk képviselő nélkül a beszerzési folyamatok elakadhatnak, és kizárhatják az értékesítést vállalati vagy közbeszerzési ügyfeleknek.
• Piacfelügyeleti intézkedések: A hatóságok felléphetnek a nem megfelelőséget mutató gyártók ellen, beleértve a termék visszahívását vagy forgalomból való kivonását.
• Forgalmazó/behozó kockázatok: Ha nem jelöl ki képviselőt, az EU behozók vagy forgalmazók alapértelmezett jelentési útvonalként kezelhetők, ami a megfelelőség kommunikációjának elvesztéséhez vezethet.
• Néma mulasztások: A mandátumok megújításának elmulasztása vagy a dokumentáció naprakészen tartásának hiánya észrevétlen mulasztásokat okozhat, ami végrehajtási kockázatot jelent.

A hatékony megfelelés nemcsak a bírságok elkerüléséről szól, hanem a zavartalan piaci hozzáférés és a bizalom fenntartásáról is ügyfelekkel és partnerekkel.

Mit nem mondanak el általában a szolgáltatók

Sok szolgáltató a 18. cikk mandátum jogi szükségességére fókuszál, de nem közli a teljes képet. Íme, mi marad gyakran ki:

• Mandátum terjedelme: A 18. cikk mandátum csak a kérelmek továbbítására és kapcsolattartásra korlátozódik. Nem tartalmaz jogi tanácsadást, műszaki értékelést vagy SBOM készítést, hacsak ezt kifejezetten nem jelzik.
• Megfelelőségértékelés: Fontos II. osztályú és kritikus termékek esetén az értesített szervezeti vagy tanúsítási költségek jóval magasabbak a képviselői díjnál és hónapokat vehetnek igénybe. Ezek sosem részei az alap mandátumnak.
• Támogatási időszak: Az öt év biztonsági frissítés és sebezhetőségkezelés jelentős működési költség, amelyet egyetlen képviselői szolgáltatás sem fedez.
• Megújítási és felmondási feltételek: Egyes szolgáltatók alacsony kezdő árakat kínálnak, de magas megújításokat vagy hosszú felmondási időket írnak elő. Mindig kérjen írásos megállapodást a megújításról.
• Felelősség: A képviselők általában kizárják a megfelelési hibákért való felelősséget. A gyártó marad a CRA összes kötelezettségéért felelős.

Az átláthatóság arról, mi nem tartozik bele, ugyanolyan fontos, mint az, hogy mi igen. Mindig kérjen teljes kizárási listát és tisztázza a szolgáltató szerepét a szerződés előtt.

Reális példák: melyik útvonal vonatkozik?

• USA SaaS cég: Egy amerikai SaaS szolgáltató közvetlenül értékesít szoftvert EU ügyfeleknek. Képviselőt kell kijelölnie, műszaki dokumentációt és SBOM-ot kell készítenie, valamint 24 órás jelentési csatornát kell létrehoznia. Alapértelmezett termék esetén önértékelés elegendő; fontos vagy kritikus termék esetén értesített szervezet szükséges. A legegyszerűbb út a képviselő (pl. REP27) kijelölése, dokumentáció előkészítése és ENISA regisztráció.
• Kínai Amazon eladó: Egy kínai gyártó IoT eszközöket értékesít saját név alatt az Amazon EU vásárlóinak. Képviselőt kell kijelölnie és teljesítenie kell a CRA követelményeit. Ha az EU-beli behozó helyezi forgalomba a terméket, az behozó vállalja a kötelezettségeket. Ha nem, az eredeti gyártó felelős a jelentésért és dokumentációért.
• UK online áruház: Egy brit kiskereskedő csatlakoztatott eszközöket szállít EU vásárlóknak. Képviselőt kell kijelölnie, műszaki fájlokat kell előkészítenie és 24 órás jelentési folyamatot kell biztosítania. Ha EU forgalmazó helyezi forgalomba saját név alatt, a forgalmazó vállalja a kötelezettségeket; különben a brit kiskereskedő felelős.

Minden esetben kulcsfontosságú az értékesítési csatornák feltérképezése, a piacra helyező azonosítása és szükség esetén képviselő kijelölése. Ez megelőzi a beszerzési késedelmeket, biztosítja a megfelelést és elkerüli a bírságokat.

Ellenőrző lista: hogyan legyek ma megfelelőségi állapotban

1. Térképezze fel EU értékesítési csatornáit és azonosítsa a digitális elemeket tartalmazó termékeket.
2. Osztályozza termékeit (alapértelmezett, fontos I/II, kritikus) a CRA definíciói alapján.
3. Határozza meg, szüksége van-e 18. cikk szerinti képviselőre (EU-n kívüli gyártóknak kötelező).
4. Kérjen írásos mandátumot és tanúsítványt a választott szolgáltatótól (pl. REP27, kadano, Euverify).
5. Készítse elő a műszaki dokumentációt: VII. melléklet, SBOM, EU megfelelőségi nyilatkozat, használati útmutatók EU nyelveken.
6. Állítson fel személyzettel ellátott, 24 órás sebezhetőség jelentési csatornát. Előre írja meg a korai figyelmeztetés és értesítés sablonokat.
7. Regisztráljon legalább két jelentőt az ENISA jelentési platformján (lehetőleg különböző időzónákban).
8. Tervezzen költségvetést értesített szervezeti vagy tanúsítási díjakra, ha terméke fontos II. osztályú vagy kritikus.
9. Jelentse be és biztosítson erőforrást legalább öt éves támogatási időszakra a biztonsági frissítésekhez és sebezhetőségkezeléshez.
10. Ütemezzen rendszeres megfelelőségi és dokumentációs felülvizsgálatokat.

Ezek a lépések biztosítják, hogy felkészült legyen a 2026-2027-es CRA végrehajtási határidőkre és elkerülje a költséges megfelelési hiányosságokat.