Cyber Resilience Act: obligații pentru producătorii din afara UE

• CRA se aplică tuturor produselor cu elemente digitale pe piața UE (Art. 2)
• Producătorii din afara UE trebuie să desemneze un reprezentant în UE (Art. 15)
• Obligația de raportare pentru vulnerabilități exploatate activ: termen de 24h (Art. 14)
• Documentație tehnică și declarație de conformitate obligatorii (Art. 13)
• Amenzi de până la 15 milioane € sau 2,5% din cifra de afaceri globală (Art. 71)
• Marcaj CE pentru produsele conforme (Art. 13)

Actualizat 24 October 2026 · 5 surse verificate

Furnizori comparați

Prețuri publicate pe site-ul fiecărui furnizor la data de 24 October 2026, excluzând TVA-ul, cu excepția cazului în care se specifică altfel. Fiecare rând este legat de sursa sa.

Ce cere legea? (cu numere de articole)

Cyber Resilience Act (CRA, Regulamentul (UE) 2024/2847) se aplică tuturor produselor cu elemente digitale puse pe piața UE – indiferent de țara de fabricație (Art. 2). Producătorii din afara UE trebuie să desemneze un reprezentant autorizat în UE conform Art. 15. Această obligație vizează atât hardware-ul, cât și software-ul distribuit în UE. Reprezentantul este punctul de contact pentru autorități și gestionează comunicarea în numele producătorului.

Producătorii trebuie să se asigure că produsele lor sunt dezvoltate în siguranță și nu conțin vulnerabilități cunoscute și exploatabile (Art. 13). Sunt obligați să efectueze o analiză de risc și să implementeze măsuri tehnice și organizatorice adecvate. În cazul vulnerabilităților exploatate activ, raportarea către ENISA și CSIRT competent trebuie făcută în 24 de ore (Art. 14). Prima evaluare trebuie transmisă în 72 de ore, iar raportul final între 14 și 30 de zile.

CRA impune și elaborarea și punerea la dispoziție a documentației tehnice și o declarație de conformitate UE care să ateste respectarea cerințelor (Art. 13). Produsele trebuie marcate CE pentru a demonstra conformitatea. Nerespectarea acestor obligații poate atrage amenzi semnificative – până la 15 milioane € sau 2,5% din cifra de afaceri anuală globală, în funcție de valoarea mai mare (Art. 71).

Cum alegi furnizorul potrivit?

Alegerea unui reprezentant CRA trebuie să se bazeze pe criterii clare. Sunt esențiale:

• Transparența structurii de prețuri: Asigurați-vă că furnizorul afișează toate prețurile, inclusiv cele de reînnoire. REP27 publică toate prețurile și garantează un preț fix de reînnoire, în timp ce alții oferă aceste informații doar la cerere.
• Gama de servicii: Verificați dacă furnizorul oferă serviciu 24h pentru raportări, certificat public verificabil și desemnare legală (ex. semnătură eIDAS). REP27 se remarcă printr-un certificat complet public verificabil și serviciu 24h.
• Timp de reacție și disponibilitate: Termenele de raportare (24h/72h) sunt foarte strânse, deci disponibilitatea continuă este crucială. REP27 asigură prezență 24/7, inclusiv în weekend și sărbători.
• Claritatea delimitărilor: Un furnizor serios listează explicit ce nu este inclus în mandat (ex. fără evaluare conformitate, fără teste tehnice). Astfel se evită surprizele ulterioare.

Matrice decizională:

Sfat practic: Solicitați o ofertă scrisă care să includă toate serviciile, excluderile și prețul de reînnoire. Verificați dacă furnizorul permite verificarea publică a certificatului – este crucial în situații critice.

Ce este cu adevărat inclus în preț?

Serviciile incluse în preț variază semnificativ între furnizori. La REP27, pachetul de bază pentru 490 EUR/an (CRA) include:

• Mandat scris ca reprezentant autorizat conform Articolului 18 CRA
• Serviciu 24h pentru raportarea vulnerabilităților și comunicarea cu ENISA/CSIRT
• Certificat public verificabil cu cod QR pentru dovada în fața autorităților și partenerilor
• Gestionarea și transmiterea solicitărilor autorităților în maxim două zile lucrătoare
• Șabloane multilingve pentru comunicarea necesară

Important: REP27 nu oferă evaluare conformitate, teste tehnice, generare SBOM sau analiză incidente. Aceste responsabilități revin producătorului sau firmelor specializate externe. La alți furnizori precum kadano sau Euverify, serviciile incluse nu sunt detaliate public (stare octombrie 2026). Costurile suplimentare pentru servicii adiționale sunt disponibile doar la cerere.

Comparație servicii:

Pentru companiile care apreciază delimitarea clară a responsabilităților și transparența prețurilor, REP27 este în prezent singurul furnizor cu detalii complete publicate.

Costuri ascunse & excluderi tipice

Principalele costuri pentru conformitatea CRA sunt în afara mandatului de reprezentare. Desemnarea unui reprezentant CRA este doar o mică parte din costurile totale. Eforturile majore apar din:

• Evaluarea conformității: Pentru produsele din clasele „importante” sau „critice” este necesară o verificare externă de către un organism notificat. Costurile sunt de obicei între patru și cinci cifre și nu sunt incluse în onorariul reprezentantului.
• Actualizări de securitate: Producătorii trebuie să asigure actualizări de securitate pentru cel puțin cinci ani și să asigure suport financiar și organizatoric. Această obligație este independentă de mandatul de reprezentare.
• Documentație tehnică și SBOM: Crearea și întreținerea documentației tehnice și a listei de materiale software (SBOM) sunt responsabilitatea producătorului.

Ce nu spun de obicei furnizorii:

• REP27 exclude explicit evaluarea conformității, testele tehnice, generarea SBOM și analiza incidentelor. Nu există costuri ascunse de reînnoire, toate prețurile sunt publicate înainte de contract.
• La kadano și Euverify detaliile privind costurile suplimentare, limitele de răspundere sau termenele de reziliere nu sunt publice (stare octombrie 2026).

Sfat practic: Întrebați fiecare furnizor explicit despre excluderi, termene de reziliere și costuri suplimentare pentru servicii speciale (ex. pe solicitare, limbi suplimentare, procesare urgentă). Solicitați toate condițiile în scris.

Cum decurge desemnarea pas cu pas

1. Verificați dacă produsul dvs. intră sub incidența CRA: Se aplică tuturor produselor cu elemente digitale (hardware/software) pe piața UE.
2. Definiți procese interne: Stabiliți cine recunoaște și declanșează raportările de vulnerabilități. Definiți ce înseamnă „exploatare activă”.
3. Alegeți reprezentantul potrivit: Comparați prețuri, servicii, dovezi și disponibilitate. Solicitați ofertă scrisă cu toate condițiile.
4. Încheiați contractul și primiți mandatul: La REP27 desemnarea se face în 24 de ore, cu certificat verificabil inclus.
5. Actualizați documentația și canalul de raportare: Introduceți datele de contact ale reprezentantului în documentația tehnică și în planul de răspuns la incidente.
6. Pregătiți șabloane pentru raportări 24h: Elaborați texte standard pentru raportarea inițială, evaluarea în 72h și raportul final. Desemnați cel puțin doi responsabili cu acces la platformă.
7. Verificare periodică: Revizuiți anual dacă desemnarea și procesele sunt actuale.

Listă de verificare pentru azi:

1. Produsul dvs. intră sub incidența CRA?
2. Ați stabilit procese interne și responsabili pentru raportare?
3. Ați ales reprezentantul potrivit și ați semnat mandatul?
4. Documentația tehnică și canalele de raportare sunt actualizate?
5. Sunt pregătite șabloanele pentru raportări?

Riscuri & amenzi pentru nerespectare

CRA prevede sancțiuni severe: până la 15 milioane € sau 2,5% din cifra de afaceri globală anuală (Art. 71). Riscurile tipice includ:

• Raportări întârziate sau lipsă a vulnerabilităților: Termenul de 24h începe de la momentul cunoașterii, nu după finalizarea analizei. Diferențele de fus orar sau responsabilitățile neclare duc rapid la încălcări.
• Desemnarea lipsă sau incorectă a reprezentantului: Fără reprezentant valid, produsul poate fi retras de pe piață. Solicitările autorităților rămân fără răspuns, crescând riscul de amendă.
• Documentație tehnică incompletă: În timpul supravegherii pieței, toate documentele trebuie prezentate imediat. Întârzierile sau lipsurile atrag sancțiuni.
• Marcaj CE incorect sau lipsă: Produsele fără marcaj CE valid nu pot fi puse pe piață.

Termenele de raportare (24h/72h/14-30 zile) sunt în timp real – întârzierile cauzate de fusul orar sau responsabilități neclare duc rapid la încălcări. Responsabilitatea respectării termenelor revine producătorului, reprezentantul doar transmite informațiile primite la timp.

Trei scenarii realiste

• Furnizor SaaS din SUA: O companie software din SUA oferă o soluție cloud pentru companii europene. Deoarece software-ul este pus pe piața UE, trebuie desemnat un reprezentant CRA. Furnizorul alege REP27, primește mandatul și certificatul în 24 de ore, activează un canal de raportare 24h și înscrie datele în documentația tehnică. Evaluarea conformității și actualizările de securitate sunt gestionate intern sau prin firme specializate.
• Comerciant Amazon din China: O firmă chineză vinde dispozitive IoT sub propriul nume pe Amazon.de. Deoarece acționează ca producător, este necesar un reprezentant CRA. Comercianții folosesc un furnizor precum kadano sau Euverify, asigură marcajul CE și pregătesc documentația tehnică. Lipsa reprezentantului poate duce la amenzi și interdicții de vânzare pe platformă.
• Magazin online din UK: Un comerciant britanic vinde hardware cu actualizări firmware către clienți finali din UE. Și aici este obligatoriu un reprezentant CRA. Comercianții aleg un pachet combinat (ex. REP27: CRA+GDPR) pentru a acoperi atât obligațiile CRA, cât și pe cele GDPR. Canalele de raportare și documentația sunt adaptate corespunzător.

Aceste scenarii arată că obligația de reprezentare vizează companii de toate dimensiunile și industriile, ori de câte ori livrează produse cu elemente digitale în UE.