Cyber Resilience Act-forpligtelser for producenter uden for EU

• CRA gælder for producenter uden for EU, der sælger i EU fra 11. september 2026
• Artikel 18: EU-autoriseret repræsentant kræves, hvis ingen EU-tilstedeværelse
• 24-timers rapporteringspligt for udnyttede sårbarheder (Artikel 14)
• Vurderingsmetode afhænger af produktklasse
• Bøder op til €15 millioner eller 2,5 % af omsætning ved overtrædelser

Opdateret 18 October 2026 · 9 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 18 October 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Hvad loven kræver (med artikelnr.)

Cyber Resilience Act (CRA) er EU's nye regulering for produkter med digitale elementer, herunder hardware, software og komponenter. Den gælder for enhver producent – uanset placering – hvis deres produkter bringes på EU-markedet. Loven trådte i kraft 10. december 2024. Rapporteringspligter starter 11. september 2026; fuld overholdelse (inkl. CE-mærkning og vurdering af overensstemmelse) kræves fra 11. december 2027.

• Artikel 18: Producenter uden for EU skal udpege en autoriseret repræsentant i EU for hver produktlinje, medmindre de har et EU-etablissement. Denne repræsentant fungerer som officiel kontakt for myndigheder og markedsovervågning.
• Artikel 14: Producenter skal rapportere aktivt udnyttede sårbarheder og alvorlige hændelser, der påvirker produktsikkerheden. Tidsfristerne er strenge: en tidlig advarsel inden for 24 timer, en fuld anmeldelse inden for 72 timer og en endelig rapport inden for 14 dage efter afhjælpning eller anmeldelse. Rapporteringsplatformen administreres af ENISA, og modtageren bestemmes af repræsentantens medlemsstat.
• Bilag I & II: Producenter skal opfylde væsentlige cybersikkerhedskrav, herunder håndtering af sårbarheder, sikker-ved-design udvikling og klare brugervejledninger på et sprog, der let forstås af brugere og myndigheder.
• Vurdering af overensstemmelse: Den krævede proces afhænger af produktklasse. Standardprodukter kan selvvurdere; vigtige klasse I produkter skal bruge harmoniserede standarder eller tredjepartsvurdering; vigtige klasse II og kritiske produkter kræver vurdering af bemyndiget organ eller certificeringsordning.
• Supportperiode: Producenter skal levere sikkerhedsopdateringer og håndtering af sårbarheder gennem hele den deklarerede supportperiode (mindst fem år).
• Undtagelser: Mikro- og små virksomheder samt open source-forvaltere er undtaget fra bøder for sen rapportering, men skal stadig overholde tekniske og rapporteringspligter.

Importører og distributører bliver producenter, hvis de bringer produkter på markedet under eget navn eller væsentligt ændrer dem. Ellers er den oprindelige producent ansvarlig for CRA-overholdelse og rapportering.

Sådan vælger du en CRA-repræsentant eller compliance-udbyder

Valg af den rette Artikel 18 repræsentant eller compliance-udbyder er afgørende for producenter uden for EU. Markedet varierer meget i pris, gennemsigtighed og inkluderede ydelser. Her er, hvad du bør overveje:

• Juridisk enhed og placering: Bekræft udbyderens juridiske enhed og EU-etablissement. Fx er REP27 Europe Services, SE, baseret i Prag og registreret i det tjekkiske erhvervsregister. Tjek altid før betaling.
• Mandatets omfang: Nogle udbydere tilbyder kun Artikel 18 mandatet (som loven kræver), mens andre pakker yderligere ydelser som GDPR eller NIS2 repræsentation. Bekræft, at mandatet er begrænset til Artikel 18(3) (som det skal være) og ikke dækker opgaver forbudt i Artikel 18(2).
• Prisgennemsigtighed: Vælg udbydere, der offentliggør både førsteårs- og fornyelsespriser. Pas på introduktionspriser, der efterfølges af skjulte, højere fornyelsesgebyrer. REP27 angiver fx klart fornyelsespriser ved siden af førsteårsgebyrer.
• Verifikation og support: Sørg for, at udbyderen tilbyder et verificerbart certifikat, offentlig verifikationsmetode og bemandet anmodningsdesk. Spørg til processen for videresendelse af myndigheds- eller CSIRT-anmodninger, understøttede sprog og svartider.
• Pakker med flere ydelser: Hvis du også har brug for GDPR Artikel 27 eller GPSR Artikel 16 repræsentation, tilbyder nogle udbydere (fx REP27) kombinerede pakker til nedsat pris.

Beslutningsmatrix:

Bed altid om skriftligt mandat og certifikat, før produkter bringes på EU-markedet.

Hvad prisen reelt inkluderer: Udbydersammenligning

Priser og inkluderede ydelser varierer betydeligt. Artikel 18-mandater er typisk den laveste eksterne omkostning i CRA-overholdelse, men mange udbydere offentliggør ikke fulde detaljer. Nedenfor er en sammenligning af, hvad der er inkluderet, ikke inkluderet eller kan medføre ekstra gebyrer for hver udbyder (pr. oktober 2026):

For de fleste producenter er Artikel 18-mandatet et enkelt dokument plus pligt til at videresende anmodninger. Vurdering af overensstemmelse, teknisk test og SBOM-generering er separate omkostninger og ikke inkluderet i basisrepræsentationsgebyrer.

Skjulte omkostninger og undtagelser

Selvom Artikel 18-mandatet er en lovpligt, udgør det kun en lille del af de samlede CRA-overholdelsesomkostninger. De dyreste elementer – vurdering af overensstemmelse, bemyndigede organers gebyrer, teknisk dokumentation og supportperiode – er ikke inkluderet i de fleste repræsentationspakker. Her er, hvad du skal være opmærksom på:

• Gebyrer for vurdering af overensstemmelse: For vigtige klasse II eller kritiske produkter kan bemyndigede organers eller certificeringsordningers omkostninger løbe op i tusindvis af euro og tage måneder at gennemføre. Budgetter særskilt for disse.
• Teknisk dokumentation: Udbydere som Reglyze og EmberKat tilbyder teknisk filgenerering, SBOM-indtag og analyse af dokumentationsmangler, men dette er ikke en del af standardmandater.
• Fornyelses- og pr. anmodningsgebyrer: Nogle udbydere kan opkræve højere fornyelsespriser eller gebyrer pr. anmodning/rapportering. Bed altid om skriftlig bekræftelse af fornyelsespriser og ekstra omkostninger før underskrift.
• Opsigelsesvarsler og ansvarsbegrænsninger: Tavse fornyelser og uklare opsigelsesregler kan føre til uventede udgifter. Ansvar for overholdelsesfejl er ofte udelukket eller begrænset af repræsentanten.
• Omkostninger til supportperiode: Loven kræver mindst fem års sikkerhedsopdateringer og håndtering af sårbarheder, hvilket skal ressourceres og budgetteres som en produktlinje.

REP27 er gennemsigtig om, hvad der ikke er inkluderet: juridisk rådgivning, teknisk vurdering og SBOM-generering ligger uden for mandatet. Afklar altid undtagelser og skjulte omkostninger med enhver udbyder.

Sådan fungerer udpegning: Trin for trin

Udpegning af en Artikel 18 repræsentant og opnåelse af CRA-overholdelse involverer flere konkrete trin. Her er en praktisk, handlingsorienteret proces for producenter uden for EU:

1. Fastslå om dine produkter er omfattet: Identificer alle produkter med digitale elementer (hardware, software, komponenter eller fjernbehandlingsløsninger) bragt på EU-markedet.
2. Klassificer dine produkter: Brug CRA's definitioner til at afgøre, om produkterne er standard, vigtige klasse I/II eller kritiske. Dette påvirker vurderingsmetoden.
3. Vælg en repræsentant: Vælg en Artikel 18 repræsentant med verificerbar EU-juridisk enhed. Bekræft omfang, priser og fornyelsesvilkår skriftligt.
4. Underskriv mandatet: Indgå skriftligt mandat (Artikel 18(3)) med den valgte udbyder. Få certifikat og offentlig verifikationsmetode.
5. Forbered dokumentation: Saml teknisk dokumentation (Bilag VII), SBOM, EU-overensstemmelseserklæring og brugervejledninger på krævede sprog.
6. Opsæt 24-timers rapporteringskanal: Sørg for bemandet modtagelse af sårbarheder og hændelser. Forbered tidlige advarsler og anmeldelses-skabeloner på forhånd.
7. Registrer hos ENISA: Registrer mindst to submittere på ENISAs rapporteringsplatform, gerne i forskellige tidszoner.
8. Budgetter til løbende overholdelse: Planlæg omkostninger til supportperiode (mindst fem års opdateringer), vurdering af overensstemmelse (hvis påkrævet) og dokumentationsvedligeholdelse.
9. Gennemgå og opdater regelmæssigt: Planlæg periodiske gennemgange af compliance-status, dokumentation og rapporteringsprocesser.

Ved at følge denne tjekliste sikrer du, at du er forberedt på både lovgivningsmæssige og praktiske krav i CRA-overholdelse.

Risici og bøder ved manglende overholdelse

CRA indfører betydelige sanktioner ved manglende overholdelse. Overtrædelser af væsentlige cybersikkerhedskrav eller producentforpligtelser kan medføre bøder på op til €15 millioner eller 2,5 % af den samlede globale årlige omsætning, alt efter hvad der er højest. Disse sanktioner gælder både for EU- og ikke-EU-producenter, der bringer produkter på EU-markedet.

• Rapporteringsfejl: Manglende overholdelse af 24-timers fristen for sårbarhedsrapportering kan føre til håndhævelsesaktioner. Mikro- og små virksomheder samt open source-forvaltere er undtaget fra bøder for sen rapportering, men ikke fra selve rapporteringspligten.
• Indkøbs- og markedsadgangsrisici: Uden en Artikel 18 repræsentant kan indkøbsprocesser forsinkes, og du kan blive udelukket fra virksomhedssalg eller offentlige udbud.
• Markedsovervågningsaktioner: Myndigheder kan iværksætte tiltag mod ikke-overholdende producenter, herunder tilbagetrækning eller tilbagekaldelse af produkter.
• Risici for distributører/importører: Hvis du ikke udpeger en repræsentant, kan EU-importører eller distributører blive betragtet som din rapporteringskanal, hvilket kan medføre tab af kontrol over compliance-kommunikation.
• Tavsne svigt: Manglende fornyelse af mandater eller opdatering af dokumentation kan føre til uopdagede svigt, der udsætter dig for håndhævelse uden varsel.

Effektiv overholdelse handler ikke kun om at undgå bøder, men også om at sikre uafbrudt markedsadgang og bevare tillid hos kunder og partnere.

Hvad udbydere ofte ikke fortæller

Mange udbydere fokuserer på den juridiske nødvendighed af Artikel 18-mandatet, men afslører ikke hele billedet. Her er, hvad der ofte udelades:

• Mandatets omfang: Artikel 18-mandatet begrænser sig til at videresende anmodninger og fungere som kontaktpunkt. Det inkluderer ikke juridisk rådgivning, teknisk vurdering eller SBOM-generering, medmindre det udtrykkeligt er angivet.
• Vurdering af overensstemmelse: For vigtige klasse II og kritiske produkter er omkostninger til bemyndigede organer eller certificeringsordninger langt højere end repræsentationsgebyret og kan tage måneder at gennemføre. Disse er aldrig inkluderet i basismandater.
• Supportperiode: Kravet om mindst fem års sikkerhedsopdateringer og håndtering af sårbarheder er en stor driftsomkostning, som ikke dækkes af nogen repræsentantservice.
• Fornyelses- og opsigelsesvilkår: Nogle udbydere bruger lave førsteårspriser med meget højere fornyelser eller kræver lange opsigelsesvarsler. Få altid fornyelsesvilkår skriftligt.
• Ansvar: Repræsentanter udelukker typisk ansvar for overholdelsesfejl. Producenten er fortsat ansvarlig for alle forpligtelser under CRA.

Gennemsigtighed om, hvad der ikke er inkluderet, er lige så vigtigt som hvad der er. Bed altid om en fuld liste over undtagelser og afklar udbyderens rolle, før du underskriver.

Realistiske scenarier: Hvilken rute gælder?

• Amerikansk SaaS-virksomhed: En SaaS-udbyder baseret i USA sælger software direkte til EU-kunder. Virksomheden skal udpege en Artikel 18 repræsentant, forberede teknisk dokumentation og SBOM samt etablere en 24-timers rapporteringskanal. Hvis produktet er standardklasse, kan selvvurdering være tilstrækkelig; er det vigtigt eller kritisk, kræves et bemyndiget organ. Den enkleste rute er at udpege en repræsentant (fx REP27), forberede dokumentation og registrere hos ENISA.
• Kinesisk Amazon-sælger: En producent i Kina sælger IoT-enheder under eget navn på Amazon til EU-købere. Sælgeren skal udpege en Artikel 18 repræsentant og overholde alle CRA-krav. Hvis produktet bringes på markedet af en EU-baseret importør, kan importøren påtage sig forpligtelserne. Ellers skal den oprindelige producent håndtere rapportering og dokumentation.
• Britisk onlinebutik: En britisk detailhandler sender tilsluttede enheder til EU-kunder. Detailhandleren skal udpege en Artikel 18 repræsentant, forberede tekniske filer og sikre en 24-timers rapporteringsproces for sårbarheder. Sælges der via en EU-distributør, som bringer produktet på markedet under eget navn, overtager distributøren forpligtelserne; ellers er den britiske detailhandler ansvarlig.

For alle scenarier er det afgørende at kortlægge salgskanaler, afgøre hvem der bringer produktet på markedet, og udpege en repræsentant, hvis det kræves. Det forebygger indkøbsforsinkelser, sikrer overholdelse og undgår bøder.

Tjekliste: Sådan bliver du compliant i dag

1. Kortlæg dine EU-salgskanaler og identificer alle produkter med digitale elementer.
2. Klassificer hvert produkt (standard, vigtig I/II, kritisk) baseret på CRA-definitioner.
3. Fastslå, om du har brug for en Artikel 18 repræsentant (krævet for producenter uden for EU).
4. Bed om skriftligt mandat og certifikat fra din valgte udbyder (fx REP27, kadano, Euverify).
5. Forbered teknisk dokumentation: Bilag VII-fil, SBOM, EU-overensstemmelseserklæring, brugervejledninger på EU-sprog.
6. Opsæt bemandet 24-timers rapporteringskanal for sårbarheder. Forbered tidlige advarsler og anmeldelsesskabeloner.
7. Registrer mindst to submittere på ENISAs rapporteringsplatform (gerne i forskellige tidszoner).
8. Budgetter for bemyndiget organ eller certificeringsordning, hvis dit produkt er vigtig klasse II eller kritisk.
9. Erklær og ressourcér en supportperiode på mindst fem år for sikkerhedsopdateringer og håndtering af sårbarheder.
10. Planlæg regelmæssige compliance-gennemgange og dokumentationsopdateringer.

Ved at følge disse trin er du klar til CRA-håndhævelsesfristerne i 2026-2027 og undgår dyre compliance-brister.