Cyber Resilience Act Ombud för Icke-EU-Tillverkare: Leverantörer & Priser (2026)

• CRA Artikel 18 kräver att icke-EU-tillverkare utser ett ombud inom EU.
• REP27 — Europe Services, SE: €490/år (förnyelse €440), publicerat pris, tydligt omfång.
• Kadano: €999/år, pris verifierat, baserat i Österrike.
• Euverify: £590/år, pris verifierat, baserat i Irland.
• Tjänsten inkluderar inte överensstämmelsebedömning eller juridisk rådgivning.
• Behövs inte av EU-baserade tillverkare eller importörer som sätter produkten under eget namn.

Uppdaterad 16 October 2026 · 7 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 16 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad lagen kräver: CRA Artikel 18

Cyber Resilience Act (CRA), förordning (EU) 2024/2847, är en banbrytande EU-lag som ställer obligatoriska cybersäkerhetskrav på alla produkter med digitala komponenter – hårdvara eller mjukvara – som släpps ut på EU-marknaden. Artikel 18 i CRA kräver specifikt att tillverkare etablerade utanför EU måste utse ett ombud etablerat inom EU. Detta ombud fungerar som officiell kontaktpunkt för EU:s marknadsövervakningsmyndigheter, innehar överensstämmelsedeklarationen och teknisk dokumentation, och ansvarar för att vidarebefordra regulatoriska förfrågningar till tillverkaren.

Lagen gäller en bred produktportfölj, inklusive inbäddade enheter, mjukvara, SaaS, IoT och komponenter som säljs separat. Ombudets roll är strikt definierad: de tar inte på sig tillverkarens juridiska ansvar och ger inte teknisk eller juridisk rådgivning. Deras huvuduppgift är att säkerställa att myndigheter snabbt och effektivt kan nå tillverkaren, särskilt vid sårbarheter eller incidenter.

• Artikel 14 inför en 24-timmars rapporteringsplikt för aktivt utnyttjade sårbarheter från och med 11 september 2026. Tillverkare måste anmäla till ENISA via en gemensam rapporteringsplattform, med fullständig anmälan inom 72 timmar och slutrapport inom 14 dagar.
• Artikel 71(2) fastställer tillämpningsdatum: rapporteringsskyldigheter från 11 september 2026, fulla skyldigheter (inklusive produktmärkning och överensstämmelsebedömning) från 11 december 2027.
• Underlåtenhet att följa Artikel 18 (att inte utse ombud) kan leda till böter upp till €10 miljoner eller 2 % av global omsättning (Artikel 69(1)), medan brott mot väsentliga krav kan ge böter upp till €15 miljoner eller 2,5 % (Artikel 69(2)).

Viktigt är att om en icke-EU-tillverkare inte utser ett ombud, kan importören eller distributören bli ansvarig som standard, vilket kan leda till affärsstörningar eller förseningar i inköp.

Hur man väljer ett CRA-ombud

Att välja rätt CRA-ombud är ett avgörande beslut för efterlevnad. Marknaden är ny och leverantörerna skiljer sig åt i transparens, omfattning och förnyelsevillkor. Så här gör du ett informerat val:

• Juridisk enhet: Kontrollera att leverantören är ett registrerat EU-företag med tydlig juridisk identitet. Exempelvis är REP27 Europe Services, SE, registrerat i Prag sedan 2014 (IČO 03571785).
• Publicerat pris och förnyelsevillkor: Kräv en leverantör som publicerar både första årets och förnyelsepriser. REP27 listar €490/år (förnyelse €440) med paketrabatter. Många leverantörer publicerar inte förnyelsepriser, vilket kan leda till oväntade kostnader.
• Mandatets omfattning: Mandatet bör begränsas till Artikel 18(3). Leverantörer bör inte hävda att de täcker ytterligare juridiska skyldigheter (som Artikel 13), då detta inte är tillåtet enligt CRA.
• Certifikatverifiering: Leta efter en leverantör som erbjuder ett verifierbart certifikat, t.ex. med QR-kod som kan kontrolleras på en offentlig sida. Detta är viktigt för inköp och regulatoriska revisioner.
• Hantera förfrågningar: Förstå hur leverantören vidarebefordrar myndighetsförfrågningar – vilka språk som stöds, svarstider och om det finns avgifter per förfrågan.

Nedan är en jämförelse av vad som ingår, inte ingår eller kan medföra extra avgifter för varje leverantör:

Begär alltid ett exempel på avtal och be om alla undantag och förnyelsevillkor skriftligen innan beslut fattas.

Vad priset verkligen inkluderar

De flesta publicerade priser för CRA-ombud täcker endast det grundläggande Artikel 18-mandatet. Detta innebär vanligtvis:

• En undertecknad utnämningsbrev (mandat) med EU-ombudets juridiska enhet
• Ett verifierbart certifikat (ibland med QR-kod eller offentlig registerpost)
• Vidarebefordran av förfrågningar från EU-myndigheter till tillverkaren
• Valfritt: en förfrågningsdesk eller supportkanal för regulatoriska frågor, ibland på flera språk

Vad som inte ingår:

• Juridisk rådgivning eller representation i domstol
• Överensstämmelsebedömning, säkerhetstestning eller SBOM-generering
• Incidenthantering eller teknisk åtgärd
• Upprättande eller granskning av teknisk dokumentation

REP27:s publicerade avgift är €490/år för CRA-mandatet, med förnyelsepris €440/år. Paket finns: €690/år för både CRA och GDPR Artikel 27-representation, €990/år för CRA, GDPR och NIS2, samt ytterligare €200 för GPSR Artikel 16 ansvarig person. Alla priser är exklusive moms och faktureras årligen i förskott. För icke-EU-kunder gäller ingen tjeckisk moms; för EU-kunder med giltigt momsnummer tillämpas omvänd skattskyldighet.

Kadano tar €999/år för standard- eller Viktigt, Klass I-mandat (detaljer om vad som ingår på begäran). Euverify tar £590/år för endast CRA-representation (ingår på begäran). Varken Kadano eller Euverify publicerar detaljer om vad som ingår eller förnyelsevillkor på sina webbplatser i oktober 2026.

Sammanfattning: Ombudets avgift är vanligtvis den minsta delen av CRA-efterlevnadskostnaderna. Största delen av kostnaderna kommer från intern teknik, dokumentation och för högre riskprodukter, bedömning av anmält organ.

Dolda kostnader och undantag

Även om det publicerade priset för ett CRA-ombud är tydligt, bör köpare vara medvetna om flera dolda eller uteslutna kostnader som kan påverka totala efterlevnadskostnader betydligt:

• Överensstämmelsebedömning: För Viktiga Klass II och Kritiska produkter är bedömning av anmält organ obligatorisk och kan kosta tusentals euro med tidsramar på flera månader. Detta ingår inte i något ombudsavgift.
• Intern teknik: Kostnaden för att förbereda teknisk dokumentation, SBOM och supportperioder bärs av tillverkaren. För standardklassade produkter är dessa kostnader främst interna.
• Juridisk rådgivning och DPO-tjänster: Ingen leverantör i denna guide erbjuder juridisk rådgivning, DPO-tjänster eller efterlevnadsbedömningar som del av CRA-ombudspaketet. REP27 utesluter uttryckligen dessa tjänster.
• Avgifter per förfrågan: Vissa leverantörer kan ta ut extra avgifter för vidarebefordran eller hantering av myndighetsförfrågningar, även om REP27 inte publicerar några sådana avgifter. Kontrollera alltid skriftligen.
• Prisökningar vid förnyelse: Många leverantörer publicerar inte förnyelsepriser, vilket kan leda till oväntade höjningar. REP27 är transparent med förnyelsepriser.
• Uppsägningstider och avbokning: Kontrollera avtalet för uppsägningstider och avbokningsvillkor. Tysta förnyelser och låga förstaårspriser är vanliga på marknaden.

Undantagstabell:

Sammanfattningsvis, klargör alltid vad som ingår och inte ingår, och budgetera för betydande kostnader för teknik, dokumentation och, om tillämpligt, bedömning av anmält organ.

Så fungerar utnämningen: Steg för steg

Att utse ett CRA-ombud är en strukturerad process. Så här går det vanligtvis till, med praktiska tips för varje steg:

1. Fastställ tillämplighet: Bekräfta att din produkt omfattas (alla produkter med digitala komponenter, hårdvara eller mjukvara, som säljs i EU).
2. Kontrollera etablering: Om ditt företag inte är etablerat i EU måste du utse ett ombud.
3. Undersök leverantörer: Jämför leverantörers juridiska enheter, publicerade priser, förnyelsevillkor och tjänsteomfång. Begär exempelavtal och klargör undantag.
4. Underteckna mandatet: Ingå ett skriftligt avtal (mandat) med vald leverantör. Säkerställ att mandatet är begränsat till Artikel 18-uppgifter.
5. Ta emot dokumentation: Få det undertecknade utnämningsbrevet och verifierbara certifikatet. REP27 tillhandahåller eIDAS elektroniska signaturer och QR-kod för offentlig verifiering.
6. Uppdatera tekniska filer: Lista ombudets uppgifter i din tekniska dokumentation, överensstämmelsedeklarationer och, där tillämpligt, på produktetiketter.
7. Förbered för rapportering: Sätt upp en handlingsplan för sårbarhetsrapportering (Artikel 14), inklusive vem som kan deklarera en incident, vem som har plattformsåtkomst och utkast till varningar och anmälningar.
8. Paketera vid behov: Om du behöver GDPR Artikel 27, NIS2 eller GPSR-representation, överväg paketlösningar för kostnadsbesparingar och administrativ enkelhet.

Beslutsmatris:

Risker och böter

Riskerna med att inte följa CRA är betydande, både ekonomiskt och operativt. Lagen föreskriver stora böter och andra konsekvenser:

• Underlåtenhet att utse: Att inte utse ett ombud när det krävs kan leda till böter upp till €10 miljoner eller 2 % av global omsättning (Artikel 69(1)).
• Brott mot väsentliga krav: Böter för brott mot väsentliga krav eller tillverkarens skyldigheter kan nå €15 miljoner eller 2,5 % av global omsättning (Artikel 69(2)).
• Försenad rapportering: Att missa 24-timmarsfönstret för rapportering av utnyttjade sårbarheter (Artikel 14) kan leda till rättsliga åtgärder, marknadsåterkallelser och skadat anseende.
• Förseningar i inköp: Avsaknad av ombud kan fördröja försäljningscykler då inköpsteam ofta kräver bevis på EU-representation innan köp.
• Förlust av kontroll: Om du inte utser ombud kan importören eller distributören bli standardkontakt, vilket kan leda till förlorad kontroll över incidentrapportering och regulatoriska kontakter.
• Tysta avbrott: Hantering av flera mandat med olika förnyelsedatum ökar risken för oavsiktliga avbrott, vilket kan resultera i bristande efterlevnad.

REP27 noterar att mandatets huvudsakliga värde är vad det förhindrar: bortkastad tid vid incidenter, fördröjda dokumentationsförfrågningar, inköpsstopp och oavsiktliga avbrott i täckning. Dessa operativa risker är lika viktiga som de ekonomiska sanktionerna.

Vad leverantörer oftast inte säger

Många leverantörer på CRA-ombudsmarknaden avslöjar inte tydligt viktiga avtals- och driftsdetaljer. Köpare bör vara medvetna om följande:

• Förnyelsepriser: Vissa leverantörer erbjuder låga förstaårspriser men publicerar inte förnyelsepriser, som kan höjas oväntat. REP27 är en av få som anger förnyelsepriser i förväg.
• Uppsägningstider: Tysta förnyelser och långa uppsägningstider är vanliga. Begär alltid dessa villkor skriftligen.
• Omfångsförskjutning: Vissa leverantörer kan hävda att de täcker skyldigheter utöver Artikel 18, som Artikel 13, vilket inte är tillåtet enligt CRA. Säkerställ att mandatet är begränsat till vad lagen tillåter.
• Avgifter per förfrågan: Extra avgifter för hantering eller vidarebefordran av myndighetsförfrågningar kan förekomma, även om REP27 inte anger några. Klargör alltid i förväg.
• Ansvarsbegränsningar: Leverantörer avslöjar sällan sina ansvarsgränser eller undantag för skador. Detta kan vara avgörande vid tvist.
• Undantag: Ingen leverantör täcker överensstämmelsebedömning, säkerhetstestning, SBOM-generering eller juridisk rådgivning. Dessa är alltid tillverkarens ansvar.

Sammanfattningsvis, insistera på fullständig skriftlig information om förnyelsepriser, uppsägningstider, avgifter per förfrågan och ansvarsvillkor innan du undertecknar något avtal.

Beslutsmatris: Behöver du ett CRA-ombud?

Använd denna matris för att avgöra om du behöver ett CRA-ombud baserat på din affärsmodell och marknadsnärvaro:

Denna matris täcker de flesta praktiska scenarier för tillverkare och försäljare. Vid osäkerhet, rådgör med lagen eller en specialist för din specifika produkt och försäljningsmodell.

Checklista: Steg till CRA-efterlevnad

Följ denna checklista för att säkerställa att du uppfyller dina CRA-krav effektivt:

1. Fastställ om din produkt omfattas av CRA (hårdvara/mjukvara med digitala komponenter).
2. Kontrollera om du är etablerad utanför EU.
3. Identifiera om du säljer direkt till EU-kunder eller via marknadsplatser (Amazon, Etsy, eBay).
4. Undersök och jämför CRA-ombudsleverantörer för juridisk enhet, pris och omfattning.
5. Begär exempelavtal och klargör alla undantag och förnyelsevillkor skriftligen.
6. Underteckna Artikel 18-mandatet med vald leverantör.
7. Ta emot och verifiera utnämningsbrev och certifikat (helst med offentlig verifiering).
8. Uppdatera teknisk dokumentation och produktdeklarationer med ombudets uppgifter.
9. Förbered din handlingsplan för sårbarhetsrapportering (Artikel 14-krav från september 2026).
10. Budgetera för intern teknik, dokumentation och, om tillämpligt, bedömning av anmält organ.
11. Granska dina supportperiodåtaganden (minst fem år av säkerhetsuppdateringar).
12. Övervaka förnyelsedatum och uppsägningstider för att undvika tysta avbrott.

Realistiska scenarier

• Amerikansk SaaS-leverantör: Säljer molnbaserad produkt till EU-kunder. Måste utse CRA-ombud och upprätta en 24-timmars rapporteringskanal för sårbarheter. REP27 erbjuder publicerat pris, snabb utnämning och verifierbart certifikat. SaaS-leverantören måste också förbereda teknisk dokumentation och rapporteringshandbok, men överensstämmelsebedömning är sannolikt självdeklarerad om produkten inte är Viktig Klass II eller Kritisk.
• Kinesisk Amazon-säljare: Levererar märkesbundna IoT-enheter till EU. Behöver CRA-ombud för marknadstillträde, eftersom Amazon och EU-tullen kan kräva bevis på representation. Säljaren måste säkerställa att produkten uppfyller CRA-krav, utse ombud (t.ex. REP27, Kadano eller Euverify) och uppdatera produktdokumentation. Om försäljning sker under eget namn gäller skyldigheten; om importören rebrandar, tar importören ansvar.
• Brittisk nätbutik: Säljer uppkopplade enheter B2B till EU-företag. Behöver CRA-ombud om inte en EU-baserad importör tar på sig skyldigheterna. Butiken bör klargöra ansvar med partners, utse ombud vid behov och förbereda sig för sårbarhetsrapportering från september 2026.

Dessa scenarier illustrerar lagens praktiska tillämpning och vilka steg som krävs för efterlevnad, oavsett företagsstorlek eller sektor.