EU外で製造する場合、認定代理人は必要？提供者と2026年価格

• EU外の製造者がEUで販売する場合、CRA第18条に基づき認定代理人を任命する義務がある。
• この義務はデジタル要素を含む製品に対し2026年9月11日から適用される。
• REP27 — Europe Services, SEはCRA代理人サービスを年間490ユーロで提供。
• 競合価格：kadanoは年間999ユーロ、Euverifyは年間590ポンド（2026年10月確認）。
• EU内に拠点を置く製造者や一部の非商用オープンソース管理者は任命不要。
• 代理人は脆弱性報告およびEU当局との連絡を担当。

更新済み 19 October 2026 · 4 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、19 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法的要件：CRA第18条とあなたの義務

EUサイバー・レジリエンス法（CRA）は、デジタル要素を含む製品の製造者に新たな義務を課します。2026年9月11日から施行されるCRA第18条は、EU外に拠点を置く製造者がEUでこれらの製品を販売する場合、EU内に認定代理人を任命することを義務付けています。対象はB2BおよびB2C販売、SaaS、IoT、ソフトウェア、ハードウェアベンダーを含みます。

• 誰が任命すべきか：EU外の製造者で、EUの購入者に直接販売する場合（企業・消費者問わず）。
• 免除対象：EU内に拠点を置く製造者、自社名義で製品を市場に出す輸入業者や販売業者、一部の非商用オープンソース管理者（義務軽減）。
• 法的根拠：CRA第18条第1項（代理人）、第14条（脆弱性報告）、第3条（適用範囲）。

代理人はEU当局の公式連絡窓口として機能し、脆弱性報告（第14条）や市場監視の連絡を担当します。任命しない場合は独立した違反となり、重い罰金の対象です。GDPR違反ではLocatefamily.com事件で最大52万5千ユーロの罰金が科されました。

任命は書面で行い、範囲を明記する必要があります（第18条第3項）。代理人の所在国が脆弱性報告を受け取る国内CSIRTを決定します。任命しない場合、輸入業者や販売業者がデフォルトの連絡先となり、販売や遵守が複雑化します。

スイスの義務については、REP27が有料プランに無料評価を付けていますが、スイス代表者が必要なのは4つの条件すべてを満たす場合のみです。REP27はスイス代表者にはならず、不要の場合は免除宣言を提供します。

認定代理人の選び方：主要基準と提供者比較

適切な認定代理人の選択は、遵守とスムーズな市場参入に不可欠です。主な考慮点は以下の通りです：

• 法人格と登録：提供者がEU登録企業であることを確認。REP27は2014年からプラハに登録（IČO 03571785）。
• 委任範囲：委任は第18条第3項の義務に厳密に限定。CRA第13条の義務をカバーする提供者はいません。
• 透明性：更新価格と含まれるサービスは公開され、支払い前に書面で確認可能であること。REP27はすべての更新価格と範囲を事前公開。
• 検証可能性：QRコードや公開検証ページなど、当局や顧客に遵守を示せる証明書を提供。
• サポートと連絡：依頼転送のプロセス、対応言語、応答時間を確認。REP27は2営業日以内の転送保証と8言語のプライバシー文言を提供。

含まれるもの、含まれないもの、追加料金を比較してください：

特に公開情報がない場合は、書面で何が含まれるか詳細を必ず確認し、不意の費用を避けましょう。

価格に含まれる内容とCRA代理人の隠れたコスト

多くの提供者の公開価格は法的委任と基本的な連絡業務のみをカバーしています。CRA遵守で最も大きなコストは通常、社内のエンジニアリング、文書化、SBOM（ソフトウェア部品表）作成、最低5年間のセキュリティ更新対応です。重要なクラスIIやクリティカル製品は認証機関による評価が必要で、代理人費用よりはるかに高額です。

REP27の価格は透明で、CRAのみは年間490ユーロ、CRA+GDPRは690ユーロ、CRA+GDPR+NIS2は990ユーロで、更新費用はより低価格です。委任には書面の第18条任命、検証可能な証明書、有人の脆弱性報告デスク、依頼転送が含まれます。適合性評価、試験、SBOM作成、インシデント報告は含まれず、製造者または認証機関の責任です。

注意すべき隠れたコスト：

• 自動更新や不明瞭な更新価格（市場で一般的）。
• 当局連絡や脆弱性報告の転送ごとの追加料金。
• 依頼数や対応言語の制限。
• 契約条件に埋め込まれた責任制限や除外規定。

REP27はすべての更新価格を事前公開し、除外事項も明確に記載。契約前に必ず書面で含まれる内容と除外を確認してください。

任命の流れ：ステップバイステップの案内と判断マトリクス

認定代理人の任命は簡単ですが重要なプロセスです。実務的な手順は以下の通りです：

1. 設立場所の確認：自社がEU外に設立され、デジタル要素を含む製品をEUで販売しているか確認。
2. 義務の確認：製品がCRA対象か、製造者であるか（単なる輸入業者・販売業者でないか）を判断。
3. 提供者の選択：法人格、価格、範囲、透明性で比較し、含まれる内容を文書で要求。
4. 委任契約の締結：第18条義務を明記した書面契約を結ぶ。REP27は24時間以内に委任状と証明書を発行。
5. 遵守文書の更新：技術ファイル、プライバシー通知、脆弱性報告手順に代理人情報を追加。
6. 報告準備：2026年9月11日以降の24時間以内脆弱性報告体制をチームに周知。

判断マトリクス

輸入業者や販売業者を利用する場合は、誰が代理人か書面で必ず確認してください。

リスク、罰金、提供者が通常言わないこと

不遵守のリスク：認定代理人を任命しないと執行措置や多額の罰金が科されます。GDPRではLocatefamily.com事件で52万5千ユーロの罰金が課されました。CRAでは第18条違反に対し最大1,000万ユーロまたは世界売上高の2％の罰金が科される可能性があります。

提供者が通常言わないこと：

• 委任範囲の制限：代理人の役割は連絡窓口と依頼転送に限定。適合性評価、製品試験、SBOM作成は製造者の責任。
• 除外事項：REP27は適合性評価、試験、SBOM、インシデント報告が含まれないことを明示。多くの提供者は除外を公開せず誤解を招く。
• 更新および依頼ごとの料金：自動更新や隠れた依頼料金が一般的。必ず書面で更新価格と追加料金を確認。
• 責任範囲：代理人は依頼転送と文書提供に限定し、技術的責任は負わない。
• 通知期間：解約や切替の通知期間はほとんど公開されない。REP27は切替価格と一括更新日を提供。

予期せぬ問題を避けるため、契約前に詳細なサービス説明と除外事項を必ず書面で確認してください。

現実的なシナリオと最も簡単な遵守ルート：実例

• 米国SaaS企業：米国拠点のSaaSプロバイダーがEU顧客にサブスクリプションを販売。2026年9月11日以降、CRA第18条のためEU認定代理人が必要。最も簡単な方法はREP27を年間490ユーロで選択し、書面委任状、検証可能証明書、有人報告デスクを利用。プライバシー通知と脆弱性報告手順に代理人情報を追加。
• 中国のAmazon販売者：中国の製造者がAmazonでブランドIoT機器をEUに販売。Amazonが輸入業者の場合、代理人任命義務はAmazonにある。販売者が製造者かつ自社ブランド販売なら代理人任命が必要。REP27、kadano、Euverifyが選択肢。Amazonと経済事業者を文書で確認推奨。
• 英国オンラインショップ：英国拠点の小売業者がEU消費者にスマートホーム機器を販売。非EU製造者としてCRA遵守のためEU代理人が必要。REP27はCRA+GDPR+NIS2のバンドルを年間990ユーロで提供し複数規制対応を簡素化。契約後、遵守文書を更新し24時間脆弱性報告に備える。

購入者向けチェックリスト

1. 自社の設立国と製造者かどうかを確認。
2. 製品がEUで販売されCRA対象か判断。
3. 輸入業者や販売業者が経済事業者か確認。そうでなければ代理人を任命。
4. 提供者の透明性、範囲、価格を比較し、含まれる内容を文書で確認。
5. 書面で委任契約を締結し、検証可能な証明書を取得。
6. 遵守文書、プライバシー通知、脆弱性報告手順に代理人情報を追加。
7. 2026年9月11日以降の24時間脆弱性報告義務に備えチームを教育。
8. 契約前に更新条件、通知期間、追加料金を確認。