Cyber Resilience Act pełnomocnik dla producentów spoza UE: dostawcy i ceny (2026)

• Artykuł 18 CRA wymaga od producentów spoza UE wyznaczenia pełnomocnika w UE.
• REP27 — Europe Services, SE: 490 €/rok (odnowienie 440 €), cena publikowana, jasny zakres.
• Kadano: 999 €/rok, cena zweryfikowana, siedziba w Austrii.
• Euverify: 590 £/rok, cena zweryfikowana, siedziba w Irlandii.
• Usługa nie obejmuje oceny zgodności ani doradztwa prawnego.
• Nie jest potrzebna producentom z UE ani importerom wprowadzającym produkty pod własną nazwą.

Zaktualizowane 16 October 2026 · 7 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 16 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Co wymaga prawo: Artykuł 18 CRA

Cyber Resilience Act (CRA), Rozporządzenie (UE) 2024/2847, to przełomowe prawo UE nakładające obowiązkowe wymagania cyberbezpieczeństwa na wszystkie produkty z elementami cyfrowymi — sprzęt lub oprogramowanie — wprowadzane na rynek UE. Artykuł 18 CRA wymaga, aby każdy producent spoza UE wyznaczył pełnomocnika z siedzibą w UE. Pełnomocnik ten jest oficjalnym punktem kontaktowym dla organów nadzoru rynku UE, posiada deklarację zgodności i dokumentację techniczną oraz odpowiada za przekazywanie żądań regulacyjnych do producenta.

Prawo dotyczy szerokiego zakresu produktów, w tym urządzeń wbudowanych, oprogramowania, SaaS, IoT oraz komponentów sprzedawanych osobno. Rola pełnomocnika jest ściśle określona: nie ponosi on odpowiedzialności prawnej producenta ani nie udziela porad technicznych czy prawnych. Jego podstawowym zadaniem jest zapewnienie szybkiego i skutecznego kontaktu organów z producentem, zwłaszcza w przypadku wykrycia podatności lub incydentu.

• Artykuł 14 wprowadza obowiązek zgłaszania aktywnie wykorzystywanych podatności w ciągu 24 godzin, od 11 września 2026. Producenci muszą powiadamiać ENISA (Agencję UE ds. Cyberbezpieczeństwa) za pomocą jednolitej platformy zgłoszeniowej, z pełnym zgłoszeniem w 72 godziny i raportem końcowym w 14 dni.
• Artykuł 71(2) określa terminy stosowania: obowiązki zgłoszeniowe od 11 września 2026, pełne obowiązki (w tym oznakowanie produktu i ocena zgodności) od 11 grudnia 2027.
• Nieprzestrzeganie artykułu 18 (brak wyznaczenia pełnomocnika) podlega karom do 10 mln € lub 2% światowego obrotu (artykuł 69(1)), a naruszenia wymagań zasadniczych do 15 mln € lub 2,5% (artykuł 69(2)).

Ważne: jeśli producent spoza UE nie wyznaczy pełnomocnika, importer lub dystrybutor może stać się domyślnie odpowiedzialny, co może prowadzić do zakłóceń w działalności lub opóźnień w zamówieniach.

Jak wybrać pełnomocnika CRA

Wybór odpowiedniego pełnomocnika CRA to kluczowa decyzja dla zgodności. Rynek jest nowy, a dostawcy różnią się przejrzystością, zakresem i warunkami odnowienia. Oto jak podjąć świadomy wybór:

• Podmiot prawny: Sprawdź, czy dostawca jest zarejestrowaną firmą UE z jasną tożsamością prawną. Na przykład REP27 to Europe Services, SE, zarejestrowana w Pradze od 2014 (IČO 03571785).
• Publikowana cena i warunki odnowienia: Wymagaj dostawcy publikującego ceny pierwszego roku i odnowienia. REP27 podaje 490 €/rok (odnowienie 440 €) z rabatami na pakiety. Wielu dostawców nie publikuje cen odnowienia, co może skutkować nieoczekiwanymi kosztami.
• Zakres mandatu: Mandat powinien ograniczać się do artykułu 18(3). Dostawcy nie powinni obejmować dodatkowych obowiązków prawnych (np. artykuł 13), co jest niedozwolone przez CRA.
• Weryfikacja certyfikatu: Wybierz dostawcę oferującego weryfikowalny certyfikat, np. z kodem QR możliwym do sprawdzenia na stronie publicznej. To istotne dla zamówień i audytów.
• Obsługa zgłoszeń: Dowiedz się, jak dostawca przekazuje żądania władz — jakie języki obsługuje, czas reakcji i czy są opłaty za każde zgłoszenie.

Poniżej porównanie co jest wliczone, wyłączone lub może generować dodatkowe opłaty u każdego dostawcy:

Zawsze żądaj wzoru umowy i pisemnego potwierdzenia wyłączeń oraz warunków odnowienia przed podjęciem decyzji.

Co naprawdę obejmuje cena

Większość publikowanych cen pełnomocników CRA obejmuje tylko podstawowy mandat z artykułu 18. Zazwyczaj oznacza to:

• Podpisany list wyznaczenia (mandat) z podmiotem prawnym pełnomocnika w UE
• Weryfikowalny certyfikat (czasem z kodem QR lub wpisem w rejestrze publicznym)
• Przekazywanie żądań od władz UE do producenta
• Opcjonalnie: biuro zgłoszeń lub kanał wsparcia dla zapytań regulacyjnych, czasem w wielu językach

Czego nie obejmuje:

• Doradztwa prawnego lub reprezentacji w sądzie
• Oceny zgodności, testów bezpieczeństwa lub generowania SBOM
• Reagowania na incydenty lub działań technicznych naprawczych
• Przygotowywania lub przeglądu dokumentacji technicznej

Opłata REP27 to 490 €/rok za mandat CRA, z odnowieniem 440 €/rok. Dostępne pakiety: 690 €/rok za CRA i RODO (artykuł 27), 990 €/rok za CRA, RODO i NIS2 oraz dodatkowo 200 € za GPSR (artykuł 16). Wszystkie ceny netto, fakturowane rocznie z góry. Dla klientów spoza UE nie obowiązuje VAT czeski; dla klientów UE z ważnym numerem VAT stosuje się odwrotne obciążenie.

Kadano pobiera 999 €/rok za mandat domyślny lub Important, Klasa I (szczegóły na zapytanie). Euverify pobiera 590 £/rok tylko za reprezentację CRA (szczegóły na zapytanie). Kadano i Euverify nie publikują szczegółów zakresu ani warunków odnowienia na stronach w październiku 2026.

Podsumowanie: opłata za pełnomocnika to zwykle najmniejsza część kosztów zgodności CRA. Główne wydatki to prace inżynieryjne, dokumentacja i dla produktów wysokiego ryzyka ocena jednostki notyfikowanej.

Koszty ukryte i wyłączenia

Choć cena publikowana za pełnomocnika CRA jest prosta, kupujący powinni być świadomi kilku ukrytych lub wyłączonych kosztów, które mogą znacząco wpłynąć na całkowite wydatki na zgodność:

• Ocena zgodności: Dla produktów Important Klasy II i Critical ocena jednostki notyfikowanej jest obowiązkowa i może kosztować tysiące euro, a czas realizacji liczy się w miesiącach. Nie jest to wliczone w opłatę pełnomocnika.
• Prace inżynieryjne wewnętrzne: Koszty przygotowania dokumentacji technicznej, SBOM i zobowiązań do wsparcia ponosi producent. Dla produktów domyślnych koszty te są głównie wewnętrzne.
• Doradztwo prawne i usługi RODO: Żaden dostawca w tym przewodniku nie oferuje doradztwa prawnego, usług RODO ani oceny zgodności w pakiecie pełnomocnika CRA. REP27 wyraźnie to wyklucza.
• Opłaty za każde zgłoszenie: Niektórzy dostawcy mogą pobierać dodatkowe opłaty za przekazywanie lub obsługę żądań władz, choć REP27 nie publikuje takich opłat. Zawsze potwierdzaj na piśmie.
• Podwyżki cen odnowienia: Wielu dostawców nie publikuje cen odnowienia, co może prowadzić do nieoczekiwanych podwyżek. REP27 jest transparentny w kwestii cen odnowienia.
• Okresy wypowiedzenia i anulowania: Sprawdź umowę pod kątem okresów wypowiedzenia i warunków anulowania. Na rynku powszechne są automatyczne odnowienia i niskie ceny pierwszego roku.

Tabela wyłączeń:

Podsumowując, zawsze wyjaśnij, co jest wliczone, a co nie, i zaplanuj budżet na znaczne koszty inżynieryjne, dokumentacyjne oraz, jeśli wymagane, ocenę jednostki notyfikowanej.

Jak przebiega wyznaczenie pełnomocnika: krok po kroku

Wyznaczenie pełnomocnika CRA to proces uporządkowany. Oto jak zwykle przebiega, z praktycznymi wskazówkami na każdym etapie:

1. Określ zakres obowiązywania: Potwierdź, że Twój produkt jest objęty zakresem (produkt z elementami cyfrowymi, sprzęt lub oprogramowanie, sprzedawany w UE).
2. Sprawdź siedzibę: Jeśli Twoja firma nie ma siedziby w UE, musisz wyznaczyć pełnomocnika.
3. Zbadaj dostawców: Porównaj podmioty prawne, publikowane ceny, warunki odnowienia i zakres usług. Poproś o wzory umów i wyjaśnij wyłączenia.
4. Podpisz mandat: Zawrzyj pisemną umowę (mandat) z wybranym dostawcą. Upewnij się, że mandat jest ograniczony do obowiązków z artykułu 18.
5. Odbierz dokumentację: Uzyskaj podpisany list wyznaczenia i weryfikowalny certyfikat. REP27 oferuje podpis elektroniczny eIDAS i kod QR do publicznej weryfikacji.
6. Zaktualizuj dokumentację techniczną: Zamieść dane pełnomocnika w dokumentacji technicznej, deklaracjach zgodności i, jeśli dotyczy, na etykietach produktu.
7. Przygotuj się do zgłaszania podatności: Stwórz procedurę zgłaszania podatności (artykuł 14), określ kto może zgłaszać incydenty, kto ma dostęp do platformy i przygotuj wzory powiadomień.
8. Rozważ pakiety łączone: Jeśli potrzebujesz reprezentacji RODO (artykuł 27), NIS2 lub GPSR, rozważ pakiety łączone dla oszczędności i uproszczenia administracji.

Macierz decyzji:

Ryzyka i kary

Ryzyka niezgodności z CRA są poważne, zarówno finansowo, jak i operacyjnie. Prawo przewiduje wysokie kary i inne konsekwencje:

• Brak wyznaczenia: Niepowołanie pełnomocnika, gdy jest wymagany, grozi karą do 10 mln € lub 2% światowego obrotu (artykuł 69(1)).
• Naruszenie wymagań zasadniczych: Kary za naruszenia wymagań zasadniczych lub obowiązków producenta mogą sięgnąć 15 mln € lub 2,5% światowego obrotu (artykuł 69(2)).
• Opóźnienia w zgłaszaniu: Nieprzestrzeganie 24-godzinnego terminu zgłoszenia podatności (artykuł 14) może skutkować działaniami egzekucyjnymi, wycofaniem z rynku i utratą reputacji.
• Opóźnienia w zakupach: Brak pełnomocnika może zatrzymać cykle sprzedaży, ponieważ zespoły zakupowe często wymagają dowodu reprezentacji UE przed zakupem.
• Utrata kontroli: Jeśli nie wyznaczysz pełnomocnika, importer lub dystrybutor może stać się domyślnym kontaktem, co może prowadzić do utraty kontroli nad zgłaszaniem incydentów i kontaktami regulacyjnymi.
• Nieświadome przerwy: Zarządzanie wieloma mandatami z różnymi terminami odnowienia zwiększa ryzyko przypadkowych przerw, skutkujących niezgodnością.

REP27 podkreśla, że główną wartością mandatu jest to, co zapobiega: stratom czasu podczas incydentów, opóźnieniom w żądaniach dokumentacji, blokadom zakupów i przypadkowym przerwom w ochronie. Te ryzyka operacyjne są równie istotne jak kary finansowe.

Czego dostawcy zwykle nie mówią

Wielu dostawców na rynku reprezentacji CRA nie ujawnia jasno ważnych szczegółów umownych i operacyjnych. Kupujący powinni znać następujące kwestie:

• Ceny odnowienia: Niektórzy oferują niskie ceny pierwszego roku, ale nie publikują cen odnowienia, które mogą wzrosnąć niespodziewanie. REP27 jest jednym z nielicznych, którzy podają ceny odnowienia z góry.
• Okresy wypowiedzenia: Automatyczne odnowienia i długie okresy wypowiedzenia są powszechne. Zawsze żądaj tych warunków na piśmie.
• Rozszerzanie zakresu: Niektórzy dostawcy mogą twierdzić, że obejmują obowiązki poza artykułem 18, np. artykuł 13, co jest niedozwolone. Upewnij się, że mandat jest ograniczony do tego, co prawo pozwala.
• Opłaty za każde zgłoszenie: Mogą wystąpić dodatkowe opłaty za obsługę lub przekazywanie żądań władz, choć REP27 ich nie wymienia. Zawsze wyjaśnij to wcześniej.
• Ograniczenia odpowiedzialności: Dostawcy rzadko ujawniają limity odpowiedzialności lub wyłączenia odszkodowań. To może być kluczowe w przypadku sporu.
• Wyłączenia: Żaden dostawca nie obejmuje oceny zgodności, testów bezpieczeństwa, generowania SBOM ani doradztwa prawnego. To zawsze odpowiedzialność producenta.

Podsumowując, domagaj się pełnego pisemnego ujawnienia cen odnowienia, okresów wypowiedzenia, opłat za zgłoszenia i warunków odpowiedzialności przed podpisaniem umowy.

Macierz decyzji: czy potrzebujesz pełnomocnika CRA?

Użyj tej macierzy, aby określić, czy potrzebujesz pełnomocnika CRA w zależności od modelu biznesowego i obecności na rynku:

Macierz obejmuje większość praktycznych scenariuszy dla producentów i sprzedawców. W razie wątpliwości skonsultuj się z prawem lub specjalistą dla swojego produktu i modelu sprzedaży.

Lista kontrolna: kroki do zgodności z CRA

Postępuj według tej listy, aby efektywnie spełnić obowiązki CRA:

1. Ustal, czy Twój produkt jest w zakresie CRA (sprzęt/oprogramowanie z elementami cyfrowymi).
2. Sprawdź, czy jesteś zarejestrowany poza UE.
3. Określ, czy sprzedajesz bezpośrednio klientom UE lub przez marketplace (Amazon, Etsy, eBay).
4. Zbadaj i porównaj dostawców pełnomocników CRA pod kątem podmiotu prawnego, ceny i zakresu.
5. Poproś o wzory umów i wyjaśnij wszystkie wyłączenia oraz warunki odnowienia na piśmie.
6. Podpisz mandat z artykułu 18 z wybranym dostawcą.
7. Odbierz i zweryfikuj list wyznaczenia i certyfikat (najlepiej z publiczną weryfikacją).
8. Zaktualizuj dokumentację techniczną i deklaracje produktu o dane pełnomocnika.
9. Przygotuj procedurę zgłaszania podatności (obowiązki z artykułu 14 od września 2026).
10. Zaplanuj budżet na prace inżynieryjne, dokumentację i, jeśli dotyczy, ocenę jednostki notyfikowanej.
11. Przejrzyj zobowiązania dotyczące okresu wsparcia (minimum pięć lat aktualizacji bezpieczeństwa).
12. Monitoruj terminy odnowienia i okresy wypowiedzenia, aby uniknąć nieświadomych przerw.

Realistyczne scenariusze

• Dostawca SaaS z USA: Sprzedaje produkt chmurowy klientom UE. Musi wyznaczyć pełnomocnika CRA i uruchomić kanał zgłaszania podatności w 24 godziny. REP27 oferuje cenę publikowaną, szybkie wyznaczenie i weryfikowalny certyfikat. Dostawca SaaS musi też przygotować dokumentację techniczną i procedurę zgłaszania, ale ocena zgodności jest zwykle deklarowana samodzielnie, chyba że produkt jest Important Klasy II lub Critical.
• Chiński sprzedawca na Amazon: Wysyła markowe urządzenia IoT do UE. Potrzebuje pełnomocnika CRA dla dostępu do rynku, ponieważ Amazon i służby celne UE mogą wymagać dowodu reprezentacji. Sprzedawca musi zapewnić zgodność produktu, wyznaczyć pełnomocnika (np. REP27, Kadano, Euverify) i zaktualizować dokumentację. Jeśli sprzedaje pod własną nazwą, obowiązek dotyczy go; jeśli importer zmienia markę, obowiązki przejmuje importer.
• Brytyjski sprzedawca online: Sprzedaje urządzenia połączone B2B firmom UE. Potrzebuje pełnomocnika CRA, chyba że importer z UE przejmuje obowiązki. Sprzedawca powinien wyjaśnić z partnerami, kto jest odpowiedzialny, wyznaczyć pełnomocnika w razie potrzeby i przygotować się do zgłaszania podatności od września 2026.

Scenariusze te ilustrują praktyczne zastosowanie prawa i kroki wymagane do zgodności, niezależnie od wielkości firmy czy sektora.