Cyber Resilience Actin valtuutettu edustaja EU:n ulkopuolisille valmistajille: tarjoajat & hinnat (2026)

• CRA:n 18 artikla vaatii EU:n ulkopuolisia valmistajia nimeämään valtuutetun edustajan EU:ssa.
• REP27 — Europe Services, SE: 490 €/vuosi (uudistus 440 €), julkaistu hinta, selkeä palvelun laajuus.
• Kadano: 999 €/vuosi, hinta vahvistettu, Itävallassa toimiva.
• Euverify: 590 £/vuosi, hinta vahvistettu, Irlannissa toimiva.
• Palvelu ei sisällä vaatimustenmukaisuuden arviointia tai oikeudellista neuvontaa.
• EU:ssa toimivat valmistajat tai omalla nimellään tuotteita markkinoivat maahantuojat eivät tarvitse palvelua.

Päivitetty 16 October 2026 · 7 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 16 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lain vaatimukset: CRA:n 18 artikla

Cyber Resilience Act (CRA), asetus (EU) 2024/2847, on merkittävä EU:n laki, joka asettaa pakolliset kyberturvallisuusvaatimukset kaikille EU-markkinoille saatetuille digitaalisia elementtejä sisältäville tuotteille — laitteistoille tai ohjelmistoille. CRA:n 18 artikla edellyttää, että EU:n ulkopuolella toimivan valmistajan on nimettävä EU:ssa toimiva valtuutettu edustaja. Tämä edustaja toimii virallisena yhteyspisteenä EU:n markkinavalvontaviranomaisille, hallinnoi vaatimustenmukaisuusselvitystä ja teknistä dokumentaatiota sekä välittää viranomaispyynnöt valmistajalle.

Laki koskee laajaa tuotevalikoimaa, mukaan lukien sulautetut laitteet, ohjelmistot, SaaS, IoT ja erikseen myytävät komponentit. Edustajan rooli on tarkasti määritelty: hän ei ota valmistajan oikeudellista vastuuta eikä anna teknistä tai oikeudellista neuvontaa. Keskeinen tehtävä on varmistaa, että viranomaiset tavoittavat valmistajan nopeasti ja tehokkaasti, erityisesti haavoittuvuustilanteissa tai häiriöissä.

• 14 artikla asettaa 24 tunnin ilmoitusvelvollisuuden aktiivisesti hyödynnetyistä haavoittuvuuksista alkaen 11. syyskuuta 2026. Valmistajien on ilmoitettava ENISA:lle (EU:n kyberturvallisuusvirasto) yhden raportointialustan kautta, täydellinen ilmoitus 72 tunnissa ja lopullinen raportti 14 päivässä.
• 71 artiklan 2 kohta määrittää soveltamisajat: raportointivelvollisuus alkaa 11. syyskuuta 2026, täydet velvoitteet (tuotteen merkintä ja vaatimustenmukaisuuden arviointi) 11. joulukuuta 2027.
• 18 artiklan noudattamatta jättäminen (edustajan nimeämättä jättäminen) voi johtaa jopa 10 miljoonan euron sakkoihin tai 2 %:iin maailmanlaajuisesta liikevaihdosta (69 artikla 1 kohta), kun taas olennaisten vaatimusten rikkomisesta sakot voivat olla jopa 15 miljoonaa euroa tai 2,5 % (69 artikla 2 kohta).

Tärkeää on, että jos EU:n ulkopuolinen valmistaja ei nimeä edustajaa, maahantuoja tai jakelija voi joutua vastuuseen oletuksena, mikä voi aiheuttaa liiketoiminnan häiriöitä tai hankintaviiveitä.

Kuinka valita CRA:n valtuutettu edustaja

Oikean CRA:n valtuutetun edustajan valinta on keskeinen vaatimustenmukaisuuspäätös. Markkina on uusi, ja tarjoajat eroavat läpinäkyvyydessä, palvelun laajuudessa ja uusimisehdoissa. Näin teet perustellun valinnan:

• Oikeushenkilö: Varmista, että tarjoaja on rekisteröity EU-yritys selkeällä oikeushenkilöllä. Esimerkiksi REP27 on Europe Services, SE, rekisteröity Prahassa vuodesta 2014 (IČO 03571785).
• Julkaistu hinta ja uusimisehdot: Vaatikaa tarjoajaa, joka julkaisee sekä ensimmäisen vuoden että uusimishinnat. REP27 ilmoittaa 490 €/vuosi (uudistus 440 €) ja tarjoaa pakettialennuksia. Monet tarjoajat eivät julkaise uusimishintoja, mikä voi johtaa yllätyskustannuksiin.
• Valtuutuksen laajuus: Valtuutuksen tulee rajoittua 18 artiklan 3 kohtaan. Tarjoajien ei tule väittää kattavansa muita oikeudellisia velvoitteita (kuten 13 artikla), koska CRA ei sitä salli.
• Todistuksen varmennus: Etsi tarjoaja, joka tarjoaa varmennettavan todistuksen, esimerkiksi QR-koodin julkisella tarkistussivulla. Tämä on välttämätöntä hankinnoissa ja viranomaisvalvonnassa.
• Pyyntöjen käsittely: Selvitä, miten tarjoaja välittää viranomaispyynnöt — tuetut kielet, vasteajat ja mahdolliset pyyntömaksut.

Alla vertailu siitä, mitä kunkin tarjoajan hinta sisältää, ei sisällä tai saattaa aiheuttaa lisäkuluja:

Pyydä aina mallisopimus ja selvitä kaikki poissulkemiset ja uusimisehdot kirjallisesti ennen päätöstä.

Mitä hinta todella sisältää

Useimmat julkaistut CRA:n valtuutetun edustajan hinnat kattavat vain perusvaltuutuksen 18 artiklan mukaisesti. Tämä tarkoittaa tyypillisesti:

• Allekirjoitettu nimityskirje (valtuutus) EU-edustajan oikeushenkilön kanssa
• Varmennettava todistus (joskus QR-koodilla tai julkisella rekisterimerkinnällä)
• EU-viranomaisten pyyntöjen välitys valmistajalle
• Valinnainen: pyyntöpiste tai tukikanava sääntelykyselyille, joskus monikielinen

Mitä ei sisälly:

• Oikeudellinen neuvonta tai edustus oikeudessa
• Vaatimustenmukaisuuden arviointi, turvallisuustestaus tai SBOM:n laatiminen
• Häiriötilanteiden hallinta tai tekninen korjaus
• Teknisen dokumentaation laatiminen tai tarkastus

REP27:n julkaistu maksu on 490 €/vuosi CRA-valtuutuksesta, uudistus 440 €/vuosi. Pakettivaihtoehtoja on: 690 €/vuosi CRA:n ja GDPR:n 27 artiklan edustuksesta, 990 €/vuosi CRA, GDPR ja NIS2, sekä +200 € GPSR:n 16 artiklan vastuuhenkilöstä. Kaikki hinnat ovat alv:n ulkopuolella ja laskutetaan vuosittain etukäteen. EU:n ulkopuolisille asiakkaille tšekkiläinen arvonlisävero ei koske; EU-asiakkaille, joilla on voimassa oleva ALV-numero, sovelletaan käännettyä verovelvollisuutta.

Kadano veloittaa 999 €/vuosi oletus- tai Tärkeä, luokka I -valtuutuksesta (sisältö pyynnöstä). Euverify veloittaa 590 £/vuosi vain CRA-edustuksesta (sisältö pyynnöstä). Lokakuussa 2026 Kadano ja Euverify eivät julkaise yksityiskohtaisia sisältöjä tai uusimisehtoja verkkosivuillaan.

Yhteenveto: Edustajan maksu on yleensä pienin osa CRA-vaatimustenmukaisuuden kustannuksista. Suurin osa kuluista tulee sisäisestä suunnittelusta, dokumentaatiosta ja korkeampien riskiluokkien tuotteissa ilmoitetun laitoksen arvioinneista.

Piilokustannukset ja poissulkemiset

Vaikka julkaistu hinta CRA:n valtuutetulle edustajalle on suoraviivainen, ostajien tulee olla tietoisia useista piilokustannuksista tai poissulkemisista, jotka voivat merkittävästi vaikuttaa kokonaiskustannuksiin:

• Vaatimustenmukaisuuden arviointi: Tärkeille luokan II ja kriittisille tuotteille ilmoitetun laitoksen arviointi on pakollinen ja voi maksaa tuhansia euroja, aikataulut voivat venyä kuukausiin. Tämä ei sisälly edustajan maksuun.
• Sisäinen suunnittelu: Teknisen dokumentaation, SBOM:ien ja tukikausien valmistelukustannukset ovat valmistajan vastuulla. Oletusluokan tuotteissa nämä ovat pääosin sisäisiä kuluja.
• Oikeudellinen neuvonta ja tietosuojavastaavan palvelut: Tässä oppaassa mikään tarjoaja ei tarjoa oikeudellista neuvontaa, tietosuojavastaavaa tai vaatimustenmukaisuuden arviointia CRA-edustajapalvelun osana. REP27 sulkee nämä palvelut nimenomaisesti pois.
• Pyyntömaksut: Jotkut tarjoajat voivat veloittaa lisämaksuja viranomaispyyntöjen välittämisestä tai käsittelystä, vaikka REP27 ei julkaise tällaisia maksuja. Varmista aina kirjallisesti.
• Uusimishintojen korotukset: Monet tarjoajat eivät julkaise uusimishintoja, mikä voi johtaa yllätyskorotuksiin. REP27 on läpinäkyvä uusimishinnoista.
• Irtisanomisajat ja peruutusehdot: Tarkista sopimuksesta irtisanomisajat ja peruutusehdot. Hiljaiset uusimiset ja matalat ensimmäisen vuoden hinnat ovat yleisiä markkinoilla.

Poissulkemistaulukko:

Yhteenvetona, selvitä aina tarkasti, mitä palvelu sisältää ja mitä ei, ja budjetoi merkittävät kustannukset suunnitteluun, dokumentaatioon ja tarvittaessa ilmoitetun laitoksen arviointiin.

Miten nimitys toimii: vaihe vaiheelta

CRA:n valtuutetun edustajan nimeäminen on jäsennelty prosessi. Näin se yleensä etenee, käytännön vinkkeineen:

1. Tarkista soveltuvuus: Varmista, että tuotteesi kuuluu lain piiriin (mikä tahansa digitaalisia elementtejä sisältävä laite tai ohjelmisto, joka myydään EU:ssa).
2. Tarkista toimipaikka: Jos yrityksesi ei ole EU:ssa, sinun on nimettävä edustaja.
3. Tutki tarjoajat: Vertaa tarjoajien oikeushenkilöitä, julkaistuja hintoja, uusimisehtoja ja palvelun laajuutta. Pyydä mallisopimuksia ja selvitä poissulkemiset.
4. Allekirjoita valtuutus: Tee kirjallinen sopimus (valtuutus) valitsemasi tarjoajan kanssa. Varmista, että valtuutus rajoittuu 18 artiklan tehtäviin.
5. Vastaanota dokumentit: Saat nimityskirjeen ja varmennettavan todistuksen. REP27 käyttää eIDAS-allekirjoituksia ja QR-koodia julkiseen tarkistukseen.
6. Päivitä tekniset tiedostot: Merkitse edustajan tiedot tekniseen dokumentaatioon, vaatimustenmukaisuusselvityksiin ja tarvittaessa tuotteen merkintöihin.
7. Valmistaudu raportointiin: Laadi toimintasuunnitelma haavoittuvuuksien raportointiin (14 artikla), mukaan lukien kuka voi ilmoittaa, kenellä on pääsy alustalle ja valmistele mallipohjat varhaisvaroituksille ja ilmoituksille.
8. Yhdistä palvelut tarvittaessa: Jos tarvitset GDPR 27 artiklan, NIS2:n tai GPSR:n edustusta, harkitse pakettiratkaisuja kustannussäästöjen ja hallinnon helpottamiseksi.

Päätösmatriisi:

Riskit ja sakot

CRA:n noudattamatta jättäminen aiheuttaa merkittäviä riskejä taloudellisesti ja toiminnallisesti. Laki määrää huomattavia sakkoja ja muita seuraamuksia:

• Edustajan nimeämättä jättäminen: voi johtaa jopa 10 miljoonan euron sakkoihin tai 2 %:iin maailmanlaajuisesta liikevaihdosta (69 artikla 1 kohta).
• Olennaisten vaatimusten rikkominen: sakot voivat nousta 15 miljoonaan euroon tai 2,5 %:iin liikevaihdosta (69 artikla 2 kohta).
• Raportointiviiveet: 24 tunnin ilmoitusajan ylittäminen aktiivisesti hyödynnetyistä haavoittuvuuksista (14 artikla) voi johtaa valvontatoimiin, markkinoilta vetämiseen ja mainehaittoihin.
• Hankintaviiveet: Edustajan puute voi hidastaa myyntiprosesseja, koska hankintatiimit vaativat yleensä EU-edustuksen todistuksen ennen ostoa.
• Hallinnan menetys: Jos et nimeä edustajaa, maahantuoja tai jakelija voi tulla oletusyhteyshenkilöksi, mikä voi johtaa hallinnan menetykseen häiriöraportoinnissa ja sääntelyvuorovaikutuksissa.
• Hiljaiset katkokset: Useiden valtuutusten hallinta eri uusimispäivämäärillä lisää vahingossa tapahtuvien katkosten riskiä, mikä voi johtaa vaatimustenmukaisuuden puutteeseen.

REP27 korostaa, että valtuutuksen tärkein arvo on sen estämät ongelmat: ajanhukka häiriötilanteissa, viivästyneet dokumenttipyynnöt, hankintaviiveet ja vahingossa tapahtuvat katkokset. Nämä toiminnalliset riskit ovat yhtä merkittäviä kuin taloudelliset sanktiot.

Mitä tarjoajat yleensä eivät kerro

Monet CRA-edustusmarkkinoiden tarjoajat eivät selkeästi paljasta tärkeitä sopimus- ja toimintatietoja. Ostajien tulee olla tietoisia seuraavista:

• Uusimishinnat: Jotkut tarjoavat alhaisen ensimmäisen vuoden hinnan, mutta eivät julkaise uusimishintoja, jotka voivat nousta yllättäen. REP27 on harvoja, joka ilmoittaa uusimishinnat etukäteen.
• Irtisanomisajat: Hiljaiset uusimiset ja pitkät irtisanomisajat ovat yleisiä. Pyydä aina kirjallinen vahvistus ehdoista.
• Laajuuden laajentaminen: Jotkut tarjoajat voivat väittää kattavansa velvoitteita 18 artiklan ulkopuolelta, kuten 13 artiklaa, mikä ei ole CRA:n mukaista. Varmista, että valtuutus rajoittuu lain sallimaan.
• Pyyntömaksut: Lisämaksut viranomaispyyntöjen käsittelystä voivat tulla, vaikka REP27 ei niitä listaa. Selvennä aina etukäteen.
• Vastuukattavuuden rajat: Tarjoajat harvoin paljastavat vastuukattojaan tai vahingonkorvauspoissulkemisiaan, mikä voi olla ratkaisevaa riitatilanteissa.
• Poissulkemiset: Kukaan tarjoajista ei kata vaatimustenmukaisuuden arviointia, turvallisuustestausta, SBOM:n laatimista tai oikeudellista neuvontaa. Nämä ovat aina valmistajan vastuulla.

Yhteenvetona vaadi täydellistä kirjallista tietoa uusimishinnoista, irtisanomisajoista, pyyntömaksuista ja vastuuehdoista ennen sopimuksen allekirjoittamista.

Päätösmatriisi: Tarvitsetko CRA-edustajan?

Käytä tätä matriisia arvioidaksesi, tarvitsetko CRA:n valtuutetun edustajan liiketoimintamallisi ja markkina-asemasi perusteella:

Tämä matriisi kattaa suurimman osan käytännön tilanteista valmistajille ja myyjille. Epävarmoissa tapauksissa konsultoi lakia tai asiantuntijaa tuotteesi ja myyntimallisi osalta.

Tarkistuslista: CRA-vaatimusten täyttäminen

Noudata tätä tarkistuslistaa varmistaaksesi tehokkaan CRA-vaatimusten täyttämisen:

1. Tarkista, kuuluuko tuotteesi CRA:n piiriin (laitteisto/ohjelmisto, jossa digitaalisia elementtejä).
2. Tarkista, oletko EU:n ulkopuolella toimiva yritys.
3. Tunnista, myytkö suoraan EU-asiakkaille tai markkinapaikkojen kautta (Amazon, Etsy, eBay).
4. Tutki ja vertaile CRA-edustajia oikeushenkilön, hinnan ja laajuuden perusteella.
5. Pyydä mallisopimuksia ja selvitä kaikki poissulkemiset ja uusimisehdot kirjallisesti.
6. Allekirjoita 18 artiklan valtuutus valitsemasi tarjoajan kanssa.
7. Vastaanota ja varmista nimityskirje ja todistus (mieluiten julkinen varmennus).
8. Päivitä tekninen dokumentaatio ja tuotteen vaatimustenmukaisuusselvitykset edustajan tiedoilla.
9. Valmistaudu haavoittuvuuksien raportointiin (14 artikla, alkaen syyskuu 2026).
10. Budjetoi sisäiset suunnittelukustannukset, dokumentaatio ja tarvittaessa ilmoitetun laitoksen arviointi.
11. Tarkista tukikausien sitoumukset (vähintään viisi vuotta tietoturvapäivityksiä).
12. Seuraa uusimispäiviä ja irtisanomisaikoja hiljaisten katkosten välttämiseksi.

Todelliset esimerkit

• Yhdysvaltalainen SaaS-toimittaja: Myy pilvipohjaista tuotetta EU-asiakkaille. On nimettävä CRA-edustaja ja perustettava 24 tunnin haavoittuvuuksien raportointikanava. REP27 tarjoaa julkaistun hinnan, nopean nimityksen ja varmennettavan todistuksen. SaaS-toimittajan on myös valmisteltava tekninen dokumentaatio ja raportointiohjeet, mutta vaatimustenmukaisuuden arviointi on todennäköisesti itseilmoitus, ellei tuote ole Tärkeä luokka II tai Kriittinen.
• Kiinalainen Amazon-myyjä: Toimittaa brändättyjä IoT-laitteita EU:hun. Tarvitsee CRA-edustajan markkinoille pääsyn varmistamiseksi, koska Amazon ja EU:n tulliviranomaiset voivat vaatia edustustodistusta. Myyjän on varmistettava tuotteen CRA-vaatimustenmukaisuus, nimettävä edustaja (esim. REP27, Kadano tai Euverify) ja päivittää tuotetiedot. Jos myy omalla nimellään, velvoite koskee; jos maahantuoja uudelleenbrändää, vastuu siirtyy maahantuojalle.
• Brittiläinen verkkokauppa: Myy liitettyjä laitteita B2B EU-yrityksille. Tarvitsee CRA-edustajan, ellei EU:ssa toimiva maahantuoja ota vastuuta. Kauppiaan tulee selvittää vastuut kumppaneiden kanssa, nimetä edustaja tarvittaessa ja valmistautua haavoittuvuuksien raportointiin syyskuusta 2026 alkaen.

Nämä esimerkit havainnollistavat lain käytännön soveltamista ja vaatimusten täyttämisen vaiheita yrityksen koosta tai toimialasta riippumatta.