Przedstawiciel Autoryzowany Cyber Resilience Act: Obowiązki, Ceny i Wybór (2026)

• Obowiązek dla producentów spoza UE sprzedających na rynku UE (art. 18 CRA)
• Opublikowane ceny: od 490 € do 999 €/rok (październik 2026)
• Przedstawiciel zarządza relacjami, dokumentacją i powiadomieniami dla władz
• Nie obejmuje oceny, testów ani SBOM: tylko mandat i przekazywanie
• Porównanie dostawców z przejrzystymi cenami: REP27, Kadano, Euverify
• Kary do 10 mln € lub 2% światowego obrotu

Zaktualizowane 23 October 2026 · 8 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 23 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Co wymaga prawo: obowiązek przedstawiciela CRA (art. 18)

Cyber Resilience Act (CRA) wprowadza nowy obowiązek dla wszystkich producentów produktów z elementami cyfrowymi, którzy nie mają siedziby w Unii Europejskiej, ale zamierzają wprowadzić takie produkty na rynek UE. Zgodnie z art. 18 ci producenci muszą wyznaczyć autoryzowanego przedstawiciela na podstawie pisemnego mandatu. Przedstawiciel działa jako jedyny punkt kontaktowy między producentem spoza UE a europejskimi organami nadzoru, z określonymi obowiązkami:

• Przechowywanie deklaracji zgodności UE oraz dokumentacji technicznej przez co najmniej 10 lat po wprowadzeniu na rynek lub przez cały okres wsparcia, jeśli jest dłuższy.
• Udostępnianie informacji i dokumentacji organom nadzoru na żądanie, potwierdzając zgodność produktu.
• Współpraca z władzami w celu eliminacji ryzyk związanych z produktami cyfrowymi objętymi mandatem.

Prawo dotyczy wszystkich producentów, niezależnie od kraju pochodzenia, jeśli produkty są przeznaczone na rynek UE (źródło). Obowiązek nie dotyczy importerów, dystrybutorów i platform handlowych, które nie działają jako producenci. Brak wyznaczenia przedstawiciela może skutkować karami do 10 mln € lub 2% światowego obrotu oraz blokadą sprzedaży.

Wyznaczenie przedstawiciela to nie tylko formalność: organy mogą w każdej chwili zażądać dokumentacji technicznej i deklaracji zgodności przez przedstawiciela. W przypadku incydentów bezpieczeństwa przedstawiciel musi być w stanie szybko odpowiedzieć na żądania właściwych organów.

Jak wybrać przedstawiciela CRA: kryteria, porównanie i różnice

Wybór autoryzowanego przedstawiciela CRA jest strategiczny zarówno dla zgodności, jak i efektywnego zarządzania żądaniami władz. Oto główne kryteria do rozważenia:

• Jasność mandatu: Mandat powinien ograniczać się do obowiązków przewidzianych w art. 18, bez niedozwolonych rozszerzeń (np. oceny lub testów, które prawo przypisuje innym podmiotom).
• Przejrzysta cena: Sprawdź, czy cena jest opublikowana i czy odnowienie jest jasno określone, aby uniknąć niespodzianek w kolejnych latach.
• Weryfikowalny certyfikat: Preferuj dostawców oferujących publiczny i weryfikowalny certyfikat (np. kod QR) potwierdzający wyznaczenie w przypadku kontroli lub audytu.
• Proces przekazywania zapytań: Zapytaj, jak obsługiwane są żądania władz, w jakich językach i w jakim czasie.
• Wyłączenia i ograniczenia: Solidny dostawca jasno wymienia, co jest w cenie, a co nie, unikając niejasności dotyczących oceny, testów, SBOM czy wsparcia technicznego.

Porównawcza tabela włączeń i opłat dodatkowych:

Rozważ też dodatkowe usługi, takie jak screening katalogu produktów (przydatny przy wielu referencjach) oraz możliwość obsługi wielu regulacji (np. RODO, GPSR) u jednego dostawcy.

Co naprawdę obejmuje cena: koszty widoczne i ukryte

Opublikowana cena przez dostawców obejmuje wyłącznie pisemny mandat reprezentacji oraz obsługę żądań organów nadzoru. Nie obejmuje:

• Oceny zgodności (zadanie jednostek notyfikowanych, nie przedstawiciela)
• Testów bezpieczeństwa, generowania SBOM czy wsparcia technicznego
• Przygotowania lub przeglądu dokumentacji technicznej
• Porad prawnych lub szkoleń (chyba że są to oferty specjalne, np. Comply.Land)

Tabela włączeń:

Uważaj na ukryte koszty: niektórzy dostawcy nie publikują ceny odnowienia lub naliczają opłaty za dodatkowe żądania, zmianę dostawcy lub usługi poza mandatem. Zawsze żądaj pisemnej oferty z ceną odnowienia i warunkami rezygnacji.

Pamiętaj, że koszt przedstawiciela to tylko niewielka część zgodności z CRA: większe wydatki dotyczą dostosowań technicznych, przygotowania dokumentacji i – dla wyższych klas produktów – certyfikacji przez jednostki notyfikowane.

Ukryte koszty i co pytać przed podpisaniem

Przed podpisaniem mandatu z dostawcą ważne jest wyjaśnienie kilku kwestii, aby uniknąć niespodzianek:

• Cena odnowienia: Poproś o jej jasne określenie w umowie lub ofercie pisemnej, nie tylko na stronie internetowej.
• Opłaty za dodatkowe żądania: Sprawdź, czy są koszty za obsługę żądań poza godzinami pracy, pilnych spraw lub zmiany dostawcy.
• Zakres mandatu: Mandat musi obejmować tylko art. 18; oferty zawierające ocenę, testy lub inne usługi są sprzeczne z przepisami.
• Weryfikowalny certyfikat: Publiczny certyfikat (np. kod QR) jest przydatny do potwierdzenia wyznaczenia podczas audytu lub żądania władz.
• Czas reakcji: Zapytaj o czas przekazywania żądań i czy usługa działa również w święta i poza godzinami pracy.

Tabela decyzyjna:

Zawsze żądaj pisemnej listy tego, co jest wliczone, wyłączone i ewentualnych dodatkowych opłat. Przejrzysty dostawca udzieli tych informacji bez wahania.

Jak przebiega wyznaczenie: krok po kroku i praktyczna lista kontrolna

Wyznaczenie przedstawiciela CRA odbywa się według jasnej procedury, którą możesz rozpocząć z dużym wyprzedzeniem przed wejściem w życie sankcji (grudzień 2027):

1. Zweryfikuj swoją sytuację: Jesteś producentem spoza UE sprzedającym produkty cyfrowe w Europie? Jeśli tak, kontynuuj.
2. Zidentyfikuj objęte produkty: Zmapuj wszystkie produkty cyfrowe przeznaczone na rynek UE i sprawdź, czy podlegają CRA.
3. Przygotuj dokumentację: Przygotuj deklarację zgodności UE i wymaganą dokumentację techniczną zgodnie z przepisami.
4. Wybierz dostawcę: Wybierz spośród dostawców z opublikowaną ceną i przejrzystym mandatem (patrz tabela powyżej).
5. Poproś o mandat: Wypełnij formularz online lub wyślij pisemną prośbę. Otrzymaj podpisany mandat (często z podpisem elektronicznym eIDAS).
6. Zarejestruj przedstawiciela: Wprowadź dane przedstawiciela do swoich polityk wewnętrznych, runbooków i dokumentacji technicznej.
7. Zarządzanie operacyjne: W przypadku żądania władz przedstawiciel odbiera i przekazuje komunikację w wyznaczonym czasie (np. 2 dni robocze dla REP27).

Lista kontrolna na dziś:

1. Zweryfikuj swoją sytuację prawną i obsługiwane rynki
2. Zbierz i zaktualizuj dokumentację techniczną
3. Poproś o wyceny u kilku dostawców
4. Porównaj włączenia, wyłączenia i ceny odnowienia
5. Podpisz mandat i zaktualizuj swoje procedury wewnętrzne

Ryzyka, kary i co się dzieje bez przedstawiciela

Brak wyznaczenia autoryzowanego przedstawiciela niesie poważne ryzyka:

• Kary: Do 10 mln € lub 2% światowego obrotu, w zależności od tego, która kwota jest wyższa (źródło).
• Blokada sprzedaży: Produkty mogą zostać wycofane z rynku UE lub zablokowane na granicy.
• Opóźnienia i nieefektywność: Bez jasnego punktu kontaktowego żądania władz mogą trafiać do dystrybutorów, klientów lub importerów, powodując opóźnienia i szkody wizerunkowe.
• Problemy przy incydentach: W przypadku luk bezpieczeństwa lub incydentów brak przedstawiciela może spowolnić reakcję i pogorszyć skutki prawne oraz handlowe.

Scenariusz decyzyjny:

Terminowe wyznaczenie przedstawiciela zmniejsza ryzyko kar i zapewnia szybką obsługę żądań władz, co jest kluczowe przy incydentach bezpieczeństwa z krótkimi terminami (np. 24 godziny na zgłoszenie wykorzystanych luk).

Czego dostawcy zwykle nie mówią: ograniczenia, wyłączenia, ryzyka

Wielu dostawców nie podkreśla kluczowych aspektów usługi reprezentacji CRA:

• Oceny i testy wyłączone: Żaden przedstawiciel nie może przeprowadzać oceny zgodności, testów bezpieczeństwa ani generować SBOM: są to oddzielne, często droższe zadania należące do jednostek notyfikowanych lub producenta.
• Mandat ograniczony prawem: Mandat musi obejmować tylko art. 18; każde rozszerzenie (np. obowiązki z art. 13) jest zabronione przez przepisy.
• Nie zawsze przejrzysta cena odnowienia: Niektórzy dostawcy nie publikują ceny odnowienia lub naliczają opłaty za zmianę dostawcy czy dodatkowe żądania.
• Ograniczona odpowiedzialność: Przedstawiciel odpowiada tylko za przekazywanie i przechowywanie dokumentów, nie za zgodność techniczną czy bezpieczeństwo produktu.
• Czas reakcji i języki: Nie wszyscy dostawcy określają czasy reakcji lub obsługiwane języki: to kluczowe dla skutecznej obsługi żądań władz.

Zawsze żądaj pisemnej listy wyłączeń i warunków usługi, aby uniknąć nieporozumień i ryzyka niezgodności.

Praktyczne scenariusze: trzy realne przykłady i najprostsze rozwiązanie

• SaaS USA: Amerykańska firma oferuje oprogramowanie w chmurze klientom UE. Musi wyznaczyć przedstawiciela CRA, przygotować dokumentację techniczną i deklarację zgodności. Może wybrać dostawcę z przejrzystym mandatem i stałą ceną (np. REP27 lub Euverify). Ocena nie jest potrzebna, jeśli produkt jest klasy podstawowej i stosuje się normy zharmonizowane.
• Sprzedawca Amazon Chiny: Chiński producent sprzedaje urządzenia IoT na Amazon klientom UE. Musi wyznaczyć przedstawiciela CRA, nawet jeśli marketplace zarządza logistyką. Przedstawiciel musi być wskazany w dokumentacji technicznej i politykach produktu. Marketplace nie pokrywa tego obowiązku.
• Sklep online UK: Brytyjski sklep internetowy sprzedaje sprzęt smart w UE. Po Brexicie jest traktowany jako spoza UE i musi wyznaczyć przedstawiciela CRA, przygotować dokumentację i wybrać dostawcę z weryfikowalnym mandatem. Jeśli sprzedaje też na marketplace, pozostaje odpowiedzialny jako producent.

We wszystkich tych przypadkach najprostszym rozwiązaniem jest wybór dostawcy z opublikowaną ceną, pisemnym mandatem i szybkim procesem wyznaczenia (np. REP27: wyznaczenie w 24 godziny, certyfikat QR, stała cena).