Valtuutetun edustajan kustannukset Cyber Resilience Actissa: opas 2026

• REP27 — Europe Services, SE: 490 €/vuosi, uusinta 440 €
• Kadano: 999 €/vuosi (Itävalta), Euverify: 590 £/vuosi (Irlanti)
• Mandaatissa ainoastaan laillinen edustus (Art. 18 CRA)
• Tekninen vaatimustenmukaisuus, testit ja SBOM eivät sisälly
• Hinnat julkaistu ja tarkistettu lokakuussa 2026
• Ei koske maahantuojia, jakelijoita tai pelkästään EU-yrityksiä

Päivitetty 20 October 2026 · 3 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 20 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä laki vaatii: Cyber Resilience Actin 18 artikla

Cyber Resilience Act (EU-asetus 2024/2847) asettaa uusia velvoitteita digitaalisten tuotteiden valmistajille, jotka haluavat markkinoida tuotteitaan Euroopan unionissa. Erityisesti 18 artikla velvoittaa EU:n ulkopuoliset valmistajat nimeämään valtuutetun edustajan unionin sisällä. Tämä edustaja toimii virallisena yhteyspisteenä valmistajan ja jäsenvaltioiden viranomaisten välillä, erityisesti haavoittuvuuksien ilmoitusten (14 artikla) ja kansallisten CSIRT-ryhmien sekä ENISA:n kanssa kommunikoinnin osalta.

Nimeäminen on tehtävä muodollisesti kirjallisesti ja dokumentoituna. Valtuutetun edustajan tehtävänä on vastaanottaa ja välittää kaikki markkinavalvontaviranomaisten pyynnöt sekä varmistaa jatkuva viestintäkanava. Velvoite koskee valmistajaa, kun:

• Valmistaja on EU:n ulkopuolella
• Tuote on tarkoitettu EU-markkinoille (suora myynti, jakelijat tai markkinapaikat)

EU:n maahantuojat ja jakelijat eivät ole velvollisia nimeämään edustajaa, elleivät he myy tuotteita omissa nimissään. Edustaja ei vastaa teknisestä arvioinnista, turvallisuustesteistä tai SBOM:n laatimisesta; nämä jäävät valmistajan vastuulle.

Edustajan nimeämättä jättäminen voi johtaa hallinnollisiin seuraamuksiin ja EU-markkinoille pääsyn estämiseen.

Miten valita edustaja: käytännön kriteerit ja vertailu

Valtuutetun edustajan valinta Cyber Resilience Actin noudattamiseksi on strateginen päätös, joka vaikuttaa vaatimustenmukaisuuteen, reagointinopeuteen ja viranomaisviestintään. Keskeiset arviointikriteerit ovat:

• Läpinäkyvä hinta ja uusintaehtojen selkeys: Suosi palveluntarjoajia, jotka julkaisevat sekä aloitushinnan että uusintahinnan. REP27 julkaisee molemmat; muut voivat antaa tiedot vain pyynnöstä.
• Varmennettava todistus: Digitaalinen todistus QR-koodilla ja julkisella tarkistussivulla (kuten REP27:n) helpottaa nimeämisen todentamista viranomaisille ja liikekumppaneille.
• Kielituki ja vasteajat: Kyky käsitellä pyyntöjä useilla kielillä ja vastata nopeasti, myös pyhäpäivinä tai aukioloaikojen ulkopuolella, on välttämätöntä CRA:n tiukkojen määräaikojen noudattamiseksi.
• Selkeät poissulkemiset: Kukaan palveluntarjoajista ei tarjoa teknisiä arviointeja, turvallisuustestejä tai SBOM-palveluita. Nämä on aina hoidettava erikseen.

Seuraavassa käytännön päätöstaulukko:

Harkitse myös yhdistelmäpaketteja: REP27 tarjoaa alennuksia, jos yhdistät useita mandaattia (esim. GDPR Art. 27 + CRA + NIS2), mikä vähentää hallinnollista taakkaa ja uusintariskejä.

Mitä hinta todella kattaa: yksityiskohtainen vertailu ja rajat

Palveluntarjoajien julkaisema hinta kattaa ainoastaan lain edellyttämän laillisen edustuksen Art. 18 CRA:n mukaisesti. Tämä tarkoittaa:

• Kirjallisen mandaatin allekirjoitus ja nimeämistodistuksen myöntäminen
• Markkinavalvontaviranomaisten pyyntöjen vastaanotto ja välitys
• Haavoittuvuuksien ilmoitusten hallinta Art. 14 CRA:n mukaisesti (esim. välitys CSIRT:lle ja ENISA:lle)

Ei sisällä koskaan:

• Vaatimustenmukaisuuden arviointia (pakollinen tärkeän II luokan tai kriittisille tuotteille)
• Turvallisuustestejä, SBOM:n laatimista tai teknistä tukea
• Teknisten politiikkojen tai dokumentaation laatimista

Yhteenvetotaulukko:

Mandaatilla on vähimmäisoikeudellinen merkitys EU-markkinoille pääsyssä, mutta tekninen vaatimustenmukaisuus on aina valmistajan vastuulla.

Piilokustannukset ja lisämaksut: mitä todella tietää

Valtuutetun edustajan kustannukset ovat vain pieni osa Cyber Resilience Actin noudattamisen kokonaiskustannuksista. Merkittävimmät piilokustannukset ovat:

• Vaatimustenmukaisuuden arviointi (notified body): Tärkeän II luokan tai kriittisille tuotteille vaadittu arviointi ilmoitetulta elimeltä, joka voi maksaa huomattavasti enemmän kuin edustajan mandaatti. Kukaan palveluntarjoajista ei sisällytä tätä hintaan.
• Tekninen tuki ja päivitykset: CRA edellyttää vähintään viiden vuoden tietoturvapäivityksiä, jotka on suunniteltava ja rahoitettava osana tuotteen elinkaarta.
• Haavoittuvuuksien hallinta: Organisaation on oltava valmis havaitsemaan, dokumentoimaan ja ilmoittamaan haavoittuvuudet 24 tunnin kuluessa löydöstä, muuten seuraa sanktiot ja mainehaitat.

REP27 korostaa selkeästi, että arvioinnit, testaukset ja SBOM eivät sisälly eikä niistä yritetä veloittaa lisämaksuja. Muut palveluntarjoajat eivät julkaise tietoja mahdollisista lisäkustannuksista kiireellisissä pyynnöissä tai lisäpalveluissa; näistä on siksi tärkeää kysyä erikseen ennen sopimuksen allekirjoittamista.

Tarkistuslista yllätyksien välttämiseksi:

1. Kysy aina uusintahinta ja irtisanomisehdot
2. Tarkista onko lisämaksuja aukioloajan ulkopuolisista pyynnöistä tai kiireellisistä palveluista
3. Varmista, että palveluntarjoaja listaa selkeästi, mitä hinta sisältää ja mitä ei

Nimeämisprosessi: vaihe vaiheelta ja käytännön tarkistuslista

CRA-edustajan nimeäminen noudattaa tarkkaa prosessia, joka on välttämätön vaatimustenmukaisuuden ja viranomaisjäljityksen varmistamiseksi. Näin se toimii:

1. Tarkista tarve: Oletko EU:n ulkopuolinen valmistaja, jonka tuotteet myydään EU-markkinoilla? Jos kyllä, jatka.
2. Arvioi tuoteluokka: Tavallinen, tärkeä I/II tai kriittinen. Tämä määrittää, tarvitsetko pelkän edustajan vai myös ilmoitetun elimen arvioinnin.
3. Valitse palveluntarjoaja: Vertaa hintoja, uusintaehtoja ja nimeämisen varmennusmenetelmiä.
4. Pyydä nimeämistä: Allekirjoita kirjallinen mandaatti (Art. 18 CRA) valitun palveluntarjoajan kanssa. REP27 esimerkiksi myöntää nimeämisen 24 tunnin sisällä.
5. Vastaanota todistus: Palveluntarjoaja antaa varmennettavan todistuksen (esim. REP27:n QR-koodi), joka liitetään tekniseen dokumentaatioon ja raportointikanaviin.
6. Valmistele sisäinen toimintasuunnitelma: Määrittele, kuka voi ilmoittaa haavoittuvuuden, kuka lähettää ilmoitukset ja miten vasteajat dokumentoidaan.
7. Lisää edustajan tiedot: Päivitä tekninen dokumentaatio, verkkosivut ja tukikanavat edustajan tiedoilla.

Tarkistuslista toteutettavaksi heti:

1. Tarkista, oletko EU:n ulkopuolinen valmistaja, jolla on suoraa myyntiä EU:ssa
2. Arvioi tuoteluokkasi
3. Vertaa palveluntarjoajien hintoja ja ehtoja
4. Kysy selvennyksiä poissulkemisista ja lisäkustannuksista
5. Valmistele nimeämiseen tarvittavat dokumentit
6. Määrittele sisäinen haavoittuvuuksien hallintaprosessi

Riskit ja sanktiot: mitä tapahtuu ilman edustajaa

Valtuutetun edustajan nimeämättä jättäminen aiheuttaa konkreettisia riskejä ja mahdollisesti merkittäviä seuraamuksia. Erityisesti:

• Hallinnolliset sanktiot: Kansalliset viranomaiset voivat määrätä sakkoja ja estää ei-vaatimustenmukaisia tuotteita markkinoille pääsyn. Sanktioiden määrä vaihtelee kansallisen soveltamisen mukaan.
• EU-markkinoille pääsyn estyminen: Ilman edustajaa tuotetta ei voi laillisesti saattaa EU-markkinoille, mikä voi estää kokonaisia liiketoimintalinjoja.
• Viivästykset incidenttien hallinnassa: Ilman toimivaa viestintäkanavaa haavoittuvuuksien ilmoitukset eivät välttämättä käsitellä ajoissa (24 tunnin varoitusaika), mikä altistaa yrityksen lisäsanktioille ja mainehaitoille.

On tärkeää korostaa, että edustaja ei ota teknistä tai oikeudellista vastuuta tuotteen turvallisuudesta: lopullinen vastuu on aina valmistajalla. Edustaja toimii ainoastaan yhteyshenkilönä ja välittäjänä viranomaisille.

Riskiyhteenvetotaulukko:

Mitä palveluntarjoajat eivät kerro: rajat, poissulkemiset ja uusinnat

Monet palveluntarjoajat eivät julkaise tärkeitä yksityiskohtia, jotka voivat vaikuttaa mandaatin valintaan ja hallintaan:

• Uusintahinta: Vain REP27 julkaisee uusintahinnan (esim. 440 €/vuosi). Muut voivat korottaa hintaa ensimmäisen vuoden jälkeen, joten on tärkeää saada tieto kirjallisesti ennen sopimuksen allekirjoittamista.
• Poissulkemiset: Tekninen arviointi, turvallisuustestit, SBOM ja tekninen raportointi eivät sisälly koskaan. Nämä palvelut on hankittava erikseen ja ne voivat olla compliance-kustannusten suurin osa.
• Irtisanomisehdot: Edustajan vaihdon ehdot ja ilmoitusajat eivät aina ole selkeitä. Tarkista sopimuksesta ennen allekirjoitusta.
• Lisämaksut pyyntöjen ylityksistä: Kukaan mukana olevista palveluntarjoajista ei julkaise hintoja kiireellisille tai aukioloajan ulkopuolisille pyynnöille. Kysy aina, onko lisämaksuja.
• Vastuun rajat: Edustaja ei ota teknistä tai oikeudellista vastuuta tuotteesta. Sen tehtävä on rajattu välitykseen ja muodolliseen edustukseen.

Tietoon perustuva valinta alkaa aina sopimuksen huolellisesta lukemisesta ja kaikkien ehtojen kirjallisesta varmistamisesta.

Käytännön tilanteet: kolme esimerkkiä ja yksinkertaisin ratkaisu

Selkeyttääksemme velvoitteiden soveltamista ja helpointa ratkaisua, tässä kolme realistista tilannetta:

• Yhdysvaltalainen SaaS-yritys: Yritys myy ohjelmistoa suoraan EU-asiakkaille. Sen on nimettävä CRA:n Art. 18 mukainen edustaja. Vaihtoehtoja ovat REP27 (490 €/vuosi) tai muut palveluntarjoajat. Jos yritys tarjoaa myös pilvipalveluita, NIS2-vaatimukset voivat tulla kyseeseen.
• Kiinalainen myyjä Amazonissa: Jos tuote on myyjän nimellä, valmistajan on nimettävä edustaja. Jos Amazon toimii maahantuojana, vastuu siirtyy Amazonille. On tärkeää tarkistaa, kuka on valmistaja tai maahantuoja myyntiasiakirjoissa.
• Brittiläinen verkkokauppa: Kauppa, joka myy suoraan EU-asiakkaille, on velvollinen nimeämään edustajan. Jos myynti tapahtuu EU-jakelijoiden kautta, jotka toimivat omissa nimissään, velvoite ei koske brittiläistä kauppaa.

Tämä analyysi auttaa välttämään yleiset virheet ja valitsemaan tehokkaimman ratkaisun omaan tilanteeseen.