Dostawcy wsparcia 24-godzinnego raportowania podatności: przegląd rynku i ceny (2026)

• Obowiązek 24-godzinnego raportowania obowiązuje od 11.09.2026 dla producentów produktów cyfrowych (CRA Art. 14)
• REP27, kadano i Euverify oferują odpowiednią reprezentację
• Ceny: REP27 od 490 EUR/rok, kadano 999 EUR/rok, Euverify 590 GBP/rok
• Zakres usług różni się: mandat, kanał zgłoszeń, brak testów technicznych i tworzenia SBOM
• Nie jest wymagane dla importerów, dystrybutorów ani sprzedawców na platformach handlowych

Zaktualizowane 26 October 2026 · 4 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 26 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Co wymaga prawo? (CRA Art. 14, Art. 18)

Unijny Cyber Resilience Act (CRA) nakłada od 11 września 2026 obowiązek dla producentów produktów z elementami cyfrowymi, aby zgłaszać aktywnie wykorzystywane podatności lub poważne incydenty bezpieczeństwa w ciągu 24 godzin od ich wykrycia (artykuł 14). Zgłoszenie odbywa się przez centralny portal ENISA i kierowane jest do odpowiedniego CSIRT państwa członkowskiego. Terminy są surowe: 24 godziny na wczesne ostrzeżenie, 72 godziny na pierwsze pełne zgłoszenie oraz 14 dni na raport końcowy. Czas liczony jest w czasie rzeczywistym – także nocą, w weekendy i święta.

Producenci spoza UE muszą zgodnie z artykułem 18 CRA wyznaczyć upoważnionego przedstawiciela w UE. Przedstawiciel ten pełni rolę kanału zgłoszeń i kontaktu z organami. Bez takiego przedstawiciela zgłoszenie nie jest zgodne z prawem. Importerzy, dystrybutorzy i sprzedawcy na platformach handlowych (np. Amazon, Etsy, eBay), którzy nie wprowadzają produktów pod własną nazwą, są zwolnieni z obowiązku. Projekty open-source o charakterze niekomercyjnym podlegają uproszczonemu reżimowi zgłoszeń, ale obowiązek zgłoszenia pozostaje.

• Artykuł 14 CRA: 24h wczesne ostrzeżenie, 72h pełne zgłoszenie, 14 dni raport końcowy
• Artykuł 18 CRA: Upoważniony przedstawiciel dla producentów bez siedziby w UE

Kluczowa jest dokładna definicja podatności podlegającej zgłoszeniu: tylko aktywnie wykorzystywane podatności lub poważne incydenty dotyczące bezpieczeństwa produktu powodują obowiązek zgłoszenia. Niewykryte lub nieużywane podatności nie podlegają zgłoszeniu. Odpowiedzialność za dotrzymanie terminów spoczywa na producencie – opóźnienia lub błędne zgłoszenia mogą skutkować poważnymi sankcjami.

Porównanie usług: co jest w cenie, a co nie?

Dostawcy różnią się znacznie pod względem przejrzystości i zakresu oferowanych usług. REP27 jako jedyny publikuje wszystkie ceny i jasno wymienia, co jest objęte mandatem, a co nie. Mandat obejmuje prawne reprezentowanie zgodnie z artykułem 18 CRA, 24-godzinny dyżur w Europie, przyjmowanie i przekazywanie zgłoszeń do właściwych organów oraz publiczną weryfikację mandatu. REP27 wyraźnie nie wykonuje testów technicznych, nie tworzy SBOM, nie przeprowadza oceny zgodności ani testów – te zadania leżą po stronie producenta lub muszą być zlecone osobno.

W przypadku kadano i Euverify ceny są podane, ale szczegóły dotyczące zakresu usług, możliwych dodatkowych opłat lub wyłączeń są dostępne "na zapytanie". Zaleca się przed podpisaniem umowy uzyskać pisemne potwierdzenie, jakie usługi są faktycznie objęte i czy występują dodatkowe opłaty za np. każde zgłoszenie, język lub wyjątkowe zapytania.

Ważne: faktyczne opracowanie techniczne, tworzenie SBOM (Software Bill of Materials) oraz przeprowadzanie audytów bezpieczeństwa zasadniczo nie są wliczone w cenę reprezentacji. Kto potrzebuje tych usług, musi je zlecić osobno wyspecjalizowanym dostawcom.

Macierz decyzji: kto czego potrzebuje?

Potrzeba reprezentanta CRA i 24-godzinnego raportowania zależy od roli w łańcuchu dostaw, lokalizacji siedziby i struktury sprzedaży. Poniższa macierz pomaga szybko się zorientować:

Przykłady praktyczne: amerykański dostawca SaaS sprzedający rozwiązania klientom w UE potrzebuje reprezentanta i musi wdrożyć 24-godzinne raportowanie. Chiński producent IoT sprzedający własne produkty pod własną marką w UE również jest zobowiązany. Brytyjski sklep internetowy sprzedający jako sprzedawca produkty innych firm bez własnej marki nie potrzebuje reprezentanta ani 24-godzinnego raportowania.

Lista kontrolna dla kupujących: jak postępować

1. Sprawdź rolę: Czy jesteś producentem produktu z elementami cyfrowymi sprzedawanego w UE?
2. Określ siedzibę: Czy Twoja firma ma siedzibę poza UE?
3. Porównaj dostawców: Wybierz dostawcę z opublikowaną ceną i jasno określonym mandatem. Sprawdź, czy cena obejmuje wszystkie usługi lub czy mogą wystąpić dodatkowe opłaty.
4. Potwierdź zakres usług na piśmie: Uzyskaj przed podpisaniem umowy pisemne potwierdzenie, co jest w mandacie, a co nie.
5. Przygotuj procesy wewnętrzne: Wyznacz osoby odpowiedzialne za 24-godzinne zgłoszenia. Stwórz instrukcję postępowania z jasnym podziałem obowiązków i szablonami zgłoszeń.
6. Zarejestruj dane przedstawiciela: Wprowadź dane przedstawiciela i jego kontakt do dokumentacji zgodności i poinformuj zespół.
7. Przetestuj proces zgłoszeń: Przeprowadź symulację 24-godzinnego zgłoszenia przed terminem, aby wykryć ewentualne słabe punkty.
8. Regularnie weryfikuj: Co roku sprawdzaj, czy zmiany w strukturze sprzedaży lub ofercie produktów wpływają na obowiązek zgłoszenia.

Dzięki tej liście kontrolnej unikniesz typowych błędów i zapewnisz zgodność na czas.

Co dostawcy często pomijają (wyłączenia, terminy, opłaty)

Wielu dostawców nie informuje jasno, jakie usługi są faktycznie w mandacie, a jakie nie. REP27 wyraźnie wskazuje, że testy techniczne, ocena zgodności, tworzenie SBOM i testowanie nie są częścią mandatu. Wyłączone są też usługi dodatkowe, jak przygotowanie szablonów, wsparcie w analizie technicznej czy komunikacja z klientami końcowymi.

• Cena REP27 jest ryczałtowa i nie zawiera ukrytych opłat. Cena odnowienia jest ustalona z góry i nie zmienia się bez powiadomienia.
• W przypadku kadano i Euverify brak danych o dodatkowych kosztach, terminach wypowiedzenia czy limitach odpowiedzialności. Warto o to pytać wyraźnie.
• Odpowiedzialność za dotrzymanie terminów i jakość zgłoszenia zawsze spoczywa na producencie. Przedstawiciel może jedynie przyjąć i przekazać zgłoszenie, nie może ocenić technicznie.
• Termin udzielenia mandatu w REP27 to 24 godziny. W innych firmach czas realizacji jest "na zapytanie".

Częsty błąd: mandat nie obejmuje całej zgodności z CRA. Kosztowne i złożone części (np. ocena zgodności, dokumentacja techniczna, SBOM) trzeba zorganizować osobno. Brak przygotowania grozi opóźnieniami i karami.

Trzy scenariusze z praktyki: kto co musi zrobić?

• Amerykański dostawca SaaS: Firma z USA oferuje oprogramowanie w chmurze dla firm europejskich. Jako producent produktów cyfrowych sprzedający w UE musi wyznaczyć przedstawiciela CRA. Raportowanie 24h odbywa się przez tego przedstawiciela, który jest jasno wskazany w mandacie. Dostawca musi wyznaczyć wewnętrznych odpowiedzialnych za zgłoszenia i przygotować szablony.
• Chiński sprzedawca na Amazon: Firma z Chin sprzedaje urządzenia IoT pod własną marką bezpośrednio klientom w UE. Obowiązek dotyczy również jej – bez siedziby w UE wymaga się przedstawiciela zgodnie z art. 18 CRA. Zgłoszenia odbywają się przez przedstawiciela. Jeśli firma jest tylko sprzedawcą i nie używa własnej marki, obowiązek nie występuje.
• Brytyjski sklep internetowy: Sklep z Wielkiej Brytanii sprzedaje jako sprzedawca produkty innych firm do Europy, ale bez własnej marki. W takim przypadku nie ma obowiązku 24h raportowania ani wyznaczania przedstawiciela CRA, ponieważ sklep nie jest producentem. Odpowiedzialność spoczywa na faktycznym producencie.

Te scenariusze pokazują, jak ważne jest dokładne określenie własnej roli. Błędy w ocenie prowadzą do niepotrzebnych kosztów lub luk w zgodności.