Cyber Resilience Act: Skyldigheter för tillverkare utanför EU

• CRA gäller för alla produkter med digitala inslag på EU-marknaden (Art. 2)
• Tillverkare utanför EU måste utse en EU-representant (Art. 15)
• Rapporteringsplikt för aktivt utnyttjade sårbarheter: 24-timmarsfrist (Art. 14)
• Teknisk dokumentation och överensstämmelseförklaring krävs (Art. 13)
• Böter upp till 15 miljoner € eller 2,5 % av global omsättning (Art. 71)
• CE-märkning för överensstämmande produkter (Art. 13)

Uppdaterad 24 October 2026 · 5 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 24 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad kräver lagen? (med artikelnummer)

Cyber Resilience Act (CRA, förordning (EU) 2024/2847) gäller för alla produkter med digitala inslag som tillhandahålls på EU-marknaden – oavsett tillverkningsland (Art. 2). Tillverkare utanför EU måste enligt Art. 15 utse en auktoriserad representant inom EU. Denna skyldighet gäller både hårdvara och mjukvara som säljs i EU. Representanten fungerar som kontaktpunkt för myndigheter och hanterar kommunikationen för tillverkarens räkning.

Tillverkare måste säkerställa att deras produkter utvecklas säkert och inte innehåller kända, utnyttjade sårbarheter (Art. 13). De är skyldiga att genomföra riskanalyser och vidta lämpliga tekniska och organisatoriska åtgärder. Vid aktivt utnyttjade sårbarheter ska en rapport lämnas till ENISA och ansvarigt CSIRT inom 24 timmar (Art. 14). En första bedömning ska göras inom 72 timmar och en slutrapport inom 14 till 30 dagar.

CRA kräver dessutom upprättande och tillhandahållande av teknisk dokumentation samt en EU-överensstämmelseförklaring som visar att kraven uppfylls (Art. 13). Produkterna måste vara CE-märkta för att visa överensstämmelse. Underlåtenhet att följa dessa skyldigheter kan leda till betydande böter – upp till 15 miljoner € eller 2,5 % av den globala årsomsättningen, beroende på vilket belopp som är högst (Art. 71).

Hur väljer man rätt leverantör?

Valet av CRA-representant bör baseras på tydliga kriterier. Viktigt är:

• Prisstrukturens transparens: Kontrollera att leverantören redovisar alla priser, särskilt för förnyelser. REP27 publicerar alla priser och garanterar fast förnyelsepris, medan andra leverantörer oftast bara lämnar denna information på begäran.
• Tjänsteutbud: Kontrollera om leverantören erbjuder en 24-timmarsdesk för rapporter, ett offentligt granskbart certifikat och en juridiskt säker utnämning (t.ex. eIDAS-signatur). REP27 utmärker sig med ett komplett, offentligt granskbart certifikat och 24-timmarsdesk.
• Reaktionstider och tillgänglighet: Eftersom rapporteringsfristerna (24h/72h) är mycket korta är ständig tillgänglighet avgörande. REP27 garanterar bemanning dygnet runt, även helger och helgdagar.
• Tydlig avgränsning: En seriös leverantör listar tydligt vad som inte ingår i mandatet (t.ex. ingen överensstämmelsebedömning, inga tekniska tester). Detta skyddar mot överraskningar senare.

Beslutsmatris:

Praktiskt tips: Begär ett skriftligt erbjudande där alla tjänster, undantag och förnyelsepris framgår. Kontrollera om leverantören möjliggör offentlig certifikatgranskning – detta är avgörande vid behov.

Vad ingår egentligen i priset?

Tjänsterna som ingår i priset varierar kraftigt mellan leverantörer. Hos REP27 ingår i baspaketet för EUR 490/år (CRA) följande:

• Skriftligt mandat som auktoriserad representant enligt artikel 18 CRA
• 24-timmarsdesk för sårbarhetsrapportering och kommunikation med ENISA/CSIRT
• Offentligt granskningsbart certifikat med QR-kod som bevis gentemot myndigheter och affärspartner
• Hantera och vidarebefordra myndighetsförfrågningar inom två arbetsdagar
• Flerspråkiga mallar för nödvändig kommunikation

Viktigt: REP27 utför ingen överensstämmelsebedömning, inga tekniska tester, ingen SBOM-generering och ingen incidentanalys. Dessa uppgifter ligger på tillverkaren eller externa experter. Hos andra leverantörer som kadano eller Euverify är tjänsteinnehållet inte detaljerat publicerat (oktober 2026). Tilläggskostnader för extra tjänster framgår endast på begäran.

Jämförelse av tjänster:

För företag som värdesätter tydlig ansvarsfördelning och transparent prisstruktur är REP27 för närvarande den enda leverantören med fullständigt publicerat tjänsteinnehåll och prissättning.

Dolda kostnader & typiska undantag

De största kostnaderna för CRA-efterlevnad ligger utanför representantmandatet. Att utse en CRA-representant är bara en liten del av totalkostnaden. De verkliga kostnaderna uppstår genom:

• Överensstämmelsebedömning: För produkter i "viktig" eller "kritisk" klass krävs extern granskning av en anmäld organ. Dessa kostnader är ofta fyr- till femsiffriga och ingår inte i representantens arvode.
• Säkerhetsuppdateringar: Tillverkare måste tillhandahålla säkerhetsuppdateringar i minst fem år och säkerställa detta organisatoriskt och ekonomiskt. Denna skyldighet gäller oavsett representantmandat.
• Teknisk dokumentation och SBOM: Upprättande och löpande underhåll av teknisk dokumentation och Software Bill of Materials (SBOM) är tillverkarens ansvar.

Vad leverantörer oftast inte säger:

• REP27 utesluter uttryckligen överensstämmelsebedömning, tekniska tester, SBOM-generering och incidentanalys. Det finns inga dolda förnyelsekostnader, alla priser är publicerade före avtal.
• Hos kadano och Euverify är detaljer om tilläggskostnader, ansvarsfördelning och uppsägningstider inte offentligt tillgängliga (oktober 2026).

Praktiskt råd: Fråga varje leverantör uttryckligen om undantag, uppsägningstider och tilläggskostnader för särskilda tjänster (t.ex. per förfrågan, extra språk, brådskande hantering). Begär skriftlig bekräftelse på alla villkor.

Så fungerar utnämningen steg för steg

1. Kontrollera om din produkt omfattas av CRA: Gäller alla produkter med digitala inslag (hårdvara/mjukvara) på EU-marknaden.
2. Definiera interna processer: Bestäm vem som upptäcker och initierar sårbarhetsrapporter. Definiera vad som räknas som "aktivt utnyttjad".
3. Välj lämplig representant: Jämför priser, tjänsteutbud, bevisföring och tillgänglighet. Begär skriftligt erbjudande med alla villkor.
4. Slut avtal och få mandat: Hos REP27 sker utnämning inom 24 timmar inklusive verifierbart certifikat.
5. Uppdatera dokumentation och rapporteringskanaler: Lägg in representantens kontaktuppgifter i teknisk dokumentation och incidenthanteringsplan.
6. Förbered mallar för 24-timmarsrapporter: Skapa standardtexter för första rapport, 72-timmarsbedömning och slutrapport. Utse minst två ansvariga med plattformsåtkomst.
7. Regelbunden översyn: Kontrollera årligen att utnämningen och processerna är aktuella.

Dagens checklista:

1. Omfattas din produkt av CRA?
2. Har du interna rapporteringsprocesser och ansvariga utsedda?
3. Har du valt representant och undertecknat mandat?
4. Är all teknisk dokumentation och rapporteringskanaler uppdaterade?
5. Är mallar för rapporter förberedda?

Risker & böter vid underlåtenhet

CRA föreskriver kännbara straff: Upp till 15 miljoner € eller 2,5 % av global årsomsättning (Art. 71). Typiska risker är:

• Försenad eller utebliven rapportering av sårbarheter: 24-timmarsfristen börjar vid kännedom, inte efter analysens slut. Tidszonsskillnader eller oklara ansvar leder snabbt till överträdelser.
• Felaktig eller utebliven representantutnämning: Utan giltig representant kan produkten tas bort från marknaden. Myndighetsförfrågningar når inte fram, vilket ökar böterisk.
• Ofullständig teknisk dokumentation: Vid marknadskontroll ska all dokumentation kunna visas omedelbart. Förseningar eller luckor leder till sanktioner.
• Felaktig eller utebliven CE-märkning: Produkter utan giltig CE-märkning får inte släppas ut på marknaden.

Rapporteringsfristerna (24h/72h/14-30 dagar) gäller i realtid – fördröjningar p.g.a. tidszon eller oklara ansvar leder snabbt till överträdelser. Ansvar för att hålla tidsfristerna ligger på tillverkaren; representanten kan endast vidarebefordra information som kommer i tid.

Tre realistiska scenarier

• Amerikansk SaaS-leverantör: Ett amerikanskt mjukvaruföretag erbjuder en molnlösning till europeiska företag. Eftersom mjukvaran tillhandahålls på EU-marknaden måste en CRA-representant utses. Leverantören väljer REP27, får mandat och certifikat inom 24 timmar, upprättar 24-timmars rapporteringskanal och lägger in kontaktuppgifter i teknisk dokumentation. Själva överensstämmelsebedömningen och säkerhetsuppdateringarna hanteras internt eller av externa experter.
• Kinesisk Amazon-handlare: Ett företag i Kina säljer IoT-enheter under eget namn på Amazon.de. Eftersom det agerar som tillverkare krävs en CRA-representant. Handlaren använder en leverantör som kadano eller Euverify (beroende på preferens), säkerställer CE-märkning och förbereder teknisk dokumentation. Utan representant riskerar man böter och försäljningsförbud på marknadsplatsen.
• Brittisk webbutik: En brittisk onlinehandlare säljer hårdvaruprodukter med firmwareuppdateringar till slutkunder i EU. Även här är CRA-representant obligatoriskt. Handlaren väljer ett kombinationspaket (t.ex. REP27: CRA+GDPR) för att täcka både CRA- och GDPR-representantplikter. Rapporteringskanaler och dokumentation anpassas därefter.

Dessa scenarier visar att representantplikten berör företag i alla storlekar och branscher så snart de levererar produkter med digitala inslag till EU.