Cyber Resilience Act-krav för tillverkare utanför EU

• CRA gäller för tillverkare utanför EU som säljer i EU från 11 september 2026
• Artikel 18: Auktoriserad EU-representant krävs om ingen EU-närvaro finns
• 24-timmars rapporteringsplikt för utnyttjade sårbarheter (Artikel 14)
• Bedömning av överensstämmelse beror på produktklass
• Böter upp till 15 miljoner euro eller 2,5 % av omsättningen vid överträdelser

Uppdaterad 18 October 2026 · 9 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 18 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad lagen kräver (med artikelnr)

Cyber Resilience Act (CRA) är EU:s nya förordning för produkter med digitala inslag, inklusive hårdvara, mjukvara och komponenter. Den gäller för alla tillverkare – oavsett plats – om deras produkter släpps ut på EU-marknaden. Lagen trädde i kraft den 10 december 2024. Rapporteringsskyldigheter börjar gälla 11 september 2026; full efterlevnad (inklusive CE-märkning och bedömning av överensstämmelse) krävs från 11 december 2027.

• Artikel 18: Tillverkare utanför EU måste utse en auktoriserad representant inom EU för varje produktlinje, om de inte har en etablering i EU. Representanten fungerar som officiell kontakt för myndigheter och marknadskontroll.
• Artikel 14: Tillverkare måste rapportera aktivt utnyttjade sårbarheter och allvarliga incidenter som påverkar produktsäkerheten. Tidsramarna är strikta: tidig varning inom 24 timmar, fullständig anmälan inom 72 timmar och slutrapport inom 14 dagar efter åtgärd eller anmälan. Rapportplattformen hanteras av ENISA och mottagaren bestäms av representantens medlemsstat.
• Bihang I & II: Tillverkare måste uppfylla grundläggande cybersäkerhetskrav, inklusive hantering av sårbarheter, säkerhetsdesign och tydliga användarinstruktioner på ett språk som är lätt att förstå för användare och myndigheter.
• Bedömning av överensstämmelse: Den nödvändiga processen beror på produktklass. Standardprodukter kan självvärdera; viktiga klass I-produkter måste använda harmoniserade standarder eller tredjepartsbedömning; viktiga klass II och kritiska produkter kräver anmält organ eller certifieringssystem.
• Supportperiod: Tillverkare måste tillhandahålla säkerhetsuppdateringar och hantering av sårbarheter under hela den deklarerade supportperioden (minst fem år).
• Undantag: Mikro- och småföretag samt öppna källkodsansvariga är undantagna från böter för sen rapportering men måste ändå följa tekniska och rapporteringsskyldigheter.

Importörer och distributörer blir tillverkare om de släpper ut produkter under eget namn eller väsentligt modifierar dem. Annars är den ursprungliga tillverkaren ansvarig för CRA-efterlevnad och rapportering.

Hur man väljer en CRA-representant eller efterlevnadsleverantör

Att välja rätt representant enligt Artikel 18 eller efterlevnadsleverantör är avgörande för tillverkare utanför EU. Marknaden varierar mycket i pris, transparens och inkluderade tjänster. Här är vad du bör tänka på:

• Juridisk enhet och plats: Kontrollera leverantörens juridiska enhet och EU-etablering. Till exempel är REP27 Europe Services, SE, baserat i Prag och registrerat i det tjeckiska handelsregistret. Kontrollera alltid innan betalning.
• Mandatets omfattning: Vissa leverantörer erbjuder endast mandatet enligt Artikel 18 (som lagen kräver), medan andra inkluderar ytterligare tjänster som GDPR- eller NIS2-representation. Bekräfta att mandatet är begränsat till Artikel 18(3) (som det ska vara) och inte omfattar förbjudna uppgifter enligt Artikel 18(2).
• Prisets transparens: Leta efter leverantörer som publicerar både första årets och förnyelsepriser. Var försiktig med låga introduktionspriser följda av tysta, högre förnyelseavgifter. REP27 anger tydligt förnyelsepriser bredvid första årets avgift.
• Verifiering och stöd: Säkerställ att leverantören erbjuder ett verifierbart certifikat, en offentlig verifieringsmetod och bemannad förfrågningsdesk. Fråga om processen för vidarebefordran av myndighets- eller CSIRT-förfrågningar, språkstöd och svarstider.
• Paketerade tjänster: Om du även behöver GDPR Artikel 27 eller GPSR Artikel 16-representation erbjuder vissa leverantörer (t.ex. REP27) kombinerade paket till reducerat pris.

Beslutsmatris:

Begär alltid skriftligt mandat och certifikat innan du släpper ut produkter på EU-marknaden.

Vad priset verkligen inkluderar: Leverantörsjämförelse

Priser och inkluderade tjänster varierar avsevärt. Mandat enligt Artikel 18 är vanligtvis den lägsta externa kostnaden i CRA-efterlevnad, men många leverantörer publicerar inte fullständiga detaljer. Nedan är en jämförelse av vad som ingår, inte ingår eller kan medföra extra avgifter för varje leverantör (oktober 2026):

För de flesta tillverkare är mandatet enligt Artikel 18 ett endasidig dokument plus skyldighet att vidarebefordra förfrågningar. Bedömning av överensstämmelse, teknisk testning och SBOM-generering är separata kostnader och ingår inte i grundavgiften för representanter.

Dolda kostnader och undantag

Medan mandatet enligt Artikel 18 är ett lagkrav är det bara en liten del av de totala kostnaderna för CRA-efterlevnad. De dyraste delarna – bedömning av överensstämmelse, avgifter för anmält organ, teknisk dokumentation och supportperiod – ingår inte i de flesta representantpaket. Här är vad du bör vara uppmärksam på:

• Avgifter för bedömning av överensstämmelse: För viktiga klass II eller kritiska produkter kan kostnader för anmält organ eller certifieringssystem uppgå till flera tusen euro och kräva månader att slutföra. Budgetera separat för dessa.
• Teknisk dokumentation: Leverantörer som Reglyze och EmberKat erbjuder teknisk filgenerering, SBOM-import och analys av dokumentationsbrister, men detta ingår inte i standardmandat.
• Förnyelse- och per-förfrågningsavgifter: Vissa leverantörer kan ta ut högre förnyelseavgifter eller avgifter per förfrågan/rapport. Begär alltid skriftlig bekräftelse på förnyelsepriser och eventuella extra kostnader innan avtal.
• Uppsägningstider och ansvarsfrihet: Tysta förnyelser och oklara avbokningsvillkor kan leda till oväntade kostnader. Ansvar för efterlevnadsbrister är ofta uteslutet eller begränsat av representanten.
• Kostnader för supportperiod: Lagen kräver minst fem års säkerhetsuppdateringar och hantering av sårbarheter, vilket måste budgeteras och resursplaneras som en produktlinje.

REP27 är tydliga med vad som inte ingår: juridisk rådgivning, teknisk bedömning och SBOM-generering ligger utanför mandatet. Klargör alltid undantag och dolda kostnader med leverantören.

Så fungerar utnämningen: Steg för steg

Att utse en representant enligt Artikel 18 och uppnå CRA-efterlevnad innebär flera konkreta steg. Här är en praktisk, handlingsorienterad process för tillverkare utanför EU:

1. Bestäm om dina produkter omfattas: Identifiera alla produkter med digitala inslag (hårdvara, mjukvara, komponenter eller fjärrdatabehandlingslösningar) som släpps ut på EU-marknaden.
2. Klassificera dina produkter: Använd CRA:s definitioner för att avgöra om dina produkter är standard, viktiga klass I/II eller kritiska. Detta påverkar din bedömningsväg för överensstämmelse.
3. Välj representant: Välj en representant enligt Artikel 18 med verifierbar juridisk enhet inom EU. Bekräfta omfattning, priser och förnyelsevillkor skriftligt.
4. Skriv under mandatet: Utför ett skriftligt mandat (Artikel 18(3)) med vald leverantör. Skaffa certifikat och offentlig verifieringsmetod.
5. Förbered dokumentation: Samla teknisk dokumentation (Bihang VII), SBOM, EU-försäkran om överensstämmelse och användarinstruktioner på erforderliga språk.
6. Upprätta 24-timmars rapporteringskanal: Säkerställ bemannad mottagningskanal för sårbarheter och incidenter. Förbered mallar för tidig varning och anmälan.
7. Registrera hos ENISA: Registrera minst två personer med tillgång på ENISA:s rapporteringsplattform, gärna i olika tidszoner.
8. Budgetera för löpande efterlevnad: Planera för kostnader för supportperiod (minst fem år med uppdateringar), bedömning av överensstämmelse (om krävs) och underhåll av dokumentation.
9. Granska och uppdatera regelbundet: Schemalägg periodiska granskningar av efterlevnad, dokumentation och rapporteringsprocesser.

Genom att följa denna checklista är du förberedd för både lagliga och praktiska krav vid CRA-efterlevnad.

Risker och böter vid bristande efterlevnad

CRA inför betydande påföljder vid bristande efterlevnad. Överträdelse av grundläggande cybersäkerhetskrav eller tillverkarplikter kan leda till böter upp till 15 miljoner euro eller 2,5 % av den totala globala årsomsättningen, beroende på vilket som är högst. Dessa påföljder gäller både EU- och icke-EU-tillverkare som släpper ut produkter på EU-marknaden.

• Rapporteringsmissar: Att missa 24-timmarsfristen för rapportering av sårbarheter kan leda till rättsliga åtgärder. Mikro- och småföretag samt öppna källkodsansvariga är undantagna från böter för sen rapportering men inte från själva rapporteringsplikten.
• Risker vid upphandling och marknadstillträde: Utan Artikel 18-representant kan upphandlingsprocesser försenas och du kan uteslutas från företagsförsäljning eller offentliga upphandlingar.
• Marknadskontrollåtgärder: Myndigheter kan vidta åtgärder mot icke-efterlevande tillverkare, inklusive produktåterkallelse eller återkallande.
• Risker för distributörer/importörer: Om du inte utser representant kan EU-importörer eller distributörer betraktas som din rapporteringsväg, vilket kan leda till förlorad kontroll över efterlevnadskommunikation.
• Tysta överträdelser: Underlåtenhet att förnya mandat eller hålla dokumentation aktuell kan leda till obemärkta överträdelser och rättsliga påföljder utan förvarning.

Effektiv efterlevnad handlar inte bara om att undvika böter utan också om att säkerställa obruten marknadstillgång och bibehållen förtroende hos kunder och partners.

Vad leverantörer ofta inte säger

Många leverantörer fokuserar på den juridiska nödvändigheten av mandatet enligt Artikel 18 men redovisar inte hela bilden. Här är vad som ofta utelämnas:

• Mandatets omfattning: Mandatet enligt Artikel 18 är begränsat till att vidarebefordra förfrågningar och fungera som kontaktpunkt. Det inkluderar inte juridisk rådgivning, teknisk bedömning eller SBOM-generering om det inte uttryckligen anges.
• Bedömning av överensstämmelse: För viktiga klass II och kritiska produkter är kostnader för anmält organ eller certifieringssystem mycket högre än representantavgiften och kan kräva månader att slutföra. Dessa ingår aldrig i grundmandat.
• Supportperiod: Kravet på minst fem års säkerhetsuppdateringar och hantering av sårbarheter är en stor operativ kostnad som inte täcks av någon representantjänst.
• Förnyelse- och uppsägningstider: Vissa leverantörer använder låga förstaårsavgifter med mycket högre förnyelseavgifter eller kräver långa uppsägningstider. Begär alltid skriftliga villkor för förnyelse.
• Ansvar: Representanter utesluter vanligtvis ansvar för efterlevnadsbrister. Tillverkaren är fortsatt ansvarig för alla skyldigheter enligt CRA.

Transparens om vad som inte ingår är lika viktigt som vad som gör det. Begär alltid fullständig lista över undantag och klargör leverantörens roll innan avtal.

Realistiska scenarier: Vilken väg gäller?

• Amerikanskt SaaS-företag: En SaaS-leverantör baserad i USA säljer mjukvara direkt till EU-kunder. Företaget måste utse en representant enligt Artikel 18, förbereda teknisk dokumentation och SBOM samt upprätta en 24-timmars rapporteringskanal. Om produkten är standardklass kan självvärdering räcka; om viktig eller kritisk krävs anmält organ. Den enklaste vägen är att utse representant (t.ex. REP27), förbereda dokumentation och registrera sig hos ENISA.
• Kinesisk Amazon-säljare: En tillverkare i Kina säljer IoT-enheter under eget namn på Amazon till EU-kunder. Säljaren måste utse en representant enligt Artikel 18 och följa alla CRA-krav. Om produkten släpps ut på marknaden av en EU-baserad importör kan importören ta över skyldigheterna. Om inte måste den ursprungliga tillverkaren hantera rapportering och dokumentation.
• Brittisk nätbutik: En återförsäljare i Storbritannien skickar uppkopplade enheter till EU-kunder. Återförsäljaren måste utse en representant enligt Artikel 18, förbereda tekniska filer och säkerställa en 24-timmars rapporteringsprocess för sårbarheter. Om försäljning sker via en EU-distributör som släpper ut produkten under eget namn tar distributören över skyldigheterna; annars är den brittiska återförsäljaren ansvarig.

För alla scenarier är nyckeln att kartlägga försäljningskanaler, avgöra vem som släpper ut produkten på marknaden och utse representant vid behov. Detta förhindrar upphandlingsförseningar, säkerställer efterlevnad och undviker böter.

Checklista: Så blir du compliant idag

1. Kartlägg dina EU-försäljningskanaler och identifiera alla produkter med digitala inslag.
2. Klassificera varje produkt (standard, viktig I/II, kritisk) enligt CRA-definitioner.
3. Avgör om du behöver en representant enligt Artikel 18 (krävs för tillverkare utanför EU).
4. Begär skriftligt mandat och certifikat från vald leverantör (t.ex. REP27, kadano, Euverify).
5. Förbered teknisk dokumentation: Bihang VII-fil, SBOM, EU-försäkran om överensstämmelse, användarinstruktioner på EU-språk.
6. Upprätta bemannad 24-timmars rapporteringskanal för sårbarheter. Förbered mallar för tidig varning och anmälan.
7. Registrera minst två personer på ENISA:s rapporteringsplattform (gärna i olika tidszoner).
8. Budgetera för anmält organ eller certifieringssystem om din produkt är viktig klass II eller kritisk.
9. Deklarera och resursplanera en supportperiod på minst fem år för säkerhetsuppdateringar och hantering av sårbarheter.
10. Planera regelbundna efterlevnadsgranskningar och uppdateringar av dokumentation.

Genom att följa dessa steg är du redo för CRA:s ikraftträdande 2026-2027 och undviker kostsamma efterlevnadsgap.