Cyber Resilience Act代表者費用：2026年版ガイド

• REP27 — Europe Services, SE：年間490ユーロ、更新時440ユーロ
• Kadano：年間999ユーロ（オーストリア）、Euverify：年間590ポンド（アイルランド）
• 委任は法的代表（CRA第18条）のみをカバー
• 技術適合性評価、テスト、SBOMはどのプロバイダーも含まない
• 価格は2026年10月に公表・確認済み
• 輸入業者、販売業者、EU内企業には不要

更新済み 20 October 2026 · 3 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、20 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法律の要件：Cyber Resilience Act第18条

Cyber Resilience Act（EU規則2024/2847）は、EU市場で販売するデジタル要素を含む製品のメーカーに新たな義務を課します。特に、第18条はEU外のメーカーに対し、EU内に認定代表者を指名する義務を課しています。この代表者は、EU外メーカーと加盟国当局間の公式連絡窓口となり、脆弱性通知（第14条）やCSIRT、ENISAとの連絡を担当します。

指名は正式かつ書面で行い、記録を残す必要があります。代表者は市場監督当局からの全ての問い合わせを受領・転送し、常時連絡可能な体制を維持します。義務が発生するのは：

• メーカーがEU外に所在する場合
• 製品がEU市場向け（直接販売、流通業者経由、マーケットプレイス含む）である場合

EUの輸入業者や流通業者は、自社名義で販売しない限りこの義務はありません。代表者は技術評価、セキュリティテスト、SBOMの作成は行わず、これらはメーカーの責任です。

代表者未指名の場合、行政罰やEU市場へのアクセス停止のリスクがあります。

代表者の選び方：実務的基準と比較

Cyber Resilience Actの代表者選定は、コンプライアンス、迅速な対応、当局への透明性に影響する重要な決定です。評価すべき主な基準は：

• 明確な価格と更新条件：初年度価格と更新価格を公開しているプロバイダーを選ぶのが望ましい。REP27は両方公開していますが、他は要問い合わせの場合があります。
• 検証可能な証明書：REP27のようにQRコード付きのデジタル証明書があると、当局や取引先に指名を容易に証明できます。
• 多言語対応と迅速な応答時間：祝日や営業時間外でも迅速に対応できることがCRAの厳しい期限遵守に不可欠です。
• 明確な除外事項：技術評価、テスト、SBOMはどのプロバイダーも含まないため、別途対応が必要です。

以下は実務的な判断マトリクスです：

REP27はGDPR第27条、CRA、NIS2の複数委任を組み合わせた割引バンドルも提供し、管理負荷と更新リスクを軽減します。

価格に含まれる内容：詳細比較と制限

プロバイダーの公表価格は第18条に基づく法的代表のみをカバーします。具体的には：

• 書面による委任契約の締結と指名証明書の発行
• 市場監督当局からの問い合わせの受領と転送
• 脆弱性通知（第14条）対応、CSIRT・ENISAへの連絡

含まれないもの：

• 適合性評価（重要クラスIIやクリティカル製品は必須）
• セキュリティテスト、SBOM作成、技術支援
• 技術ポリシーや技術文書の作成

概要表：

代表者の委任はEU市場参入の最低限の法的基盤であり、技術的コンプライアンスはメーカーの責任です。

隠れた費用と追加料金：知っておくべきこと

代表者費用はCRAコンプライアンス全体の一部に過ぎません。主な隠れた費用は：

• 適合性評価（認証機関）：重要クラスIIやクリティカル製品は認証機関による評価が必須で、代表者費用よりはるかに高額になる可能性があります。これはどのプロバイダーも含みません。
• 技術支援とセキュリティ更新：CRAは最低5年間のセキュリティ更新を要求し、製品ライフサイクルの一部として計画・資金確保が必要です。
• 脆弱性管理：社内体制で脆弱性の検知・記録・24時間以内の通知を行う必要があり、違反時は罰則や評判リスクがあります。

REP27は評価、テスト、SBOMが含まれずアップセルもないことを明示。他のプロバイダーは緊急対応や追加サービスの料金を公開していないため、契約前に必ず確認してください。

トラブル回避チェックリスト：

1. 更新価格と解約条件を必ず確認
2. 営業時間外や緊急対応の追加費用を確認
3. 含まれる内容と除外事項を明確に把握

指名の流れ：手順と実践チェックリスト

CRA代表者の指名は厳密な手順に従い、EU当局へのコンプライアンスとトレーサビリティを確保します。手順は：

1. 必要性の確認：EU外メーカーでEU市場向け製品があるか確認
2. 製品クラスの評価：通常、重要I/II、クリティカルかを判定し、代表者のみか認証も必要か判断
3. プロバイダー選定：価格、更新条件、指名証明の確認方法を比較
4. 指名依頼：選定したプロバイダーと書面委任契約（第18条）を締結。REP27は24時間以内に指名証明発行
5. 証明書受領：QRコード付き証明書を受け取り、技術文書や報告チャネルに記載
6. 社内運用準備：脆弱性発見者、通知者、対応時間記録方法を定義した運用マニュアルを作成
7. 代表者情報の登録：技術文書、ウェブサイト、サポートチャネルに代表者情報を掲載

今日からできるチェックリスト：

1. EU外メーカーかつEUに直接販売しているか確認
2. 製品クラスを評価
3. プロバイダーの価格・条件を比較
4. 除外事項や追加費用を問い合わせ
5. 指名に必要な書類を準備
6. 脆弱性対応プロセスを整備

リスクと罰則：代表者未指名の影響

代表者未指名は重大なリスクと罰則を伴います。主な影響は：

• 行政罰：国の当局は罰金を科し、非準拠製品の販売停止を命じることがあります。罰金額は国ごとに異なりますが高額になる場合があります。
• EU市場へのアクセス不可：代表者なしでは法的にEU市場に製品を投入できず、事業全体が停止する恐れがあります。
• インシデント対応遅延：連絡窓口がないため脆弱性通知が遅れ、追加罰則や評判損失のリスクが高まります。

代表者は製品の技術的・法的責任を負わず、あくまで当局との連絡役です。最終責任はメーカーにあります。

リスク概要表：

プロバイダーが明かさないこと：制限・除外・更新

多くのプロバイダーは選択や運用に影響する重要情報を公開していません：

• 更新価格：REP27のみが更新価格（例：年間440ユーロ）を公開。他は初年度後に値上げする可能性があるため、契約前に書面で確認が必須です。
• 除外事項：技術評価、テスト、SBOM、報告は含まれず、別途購入が必要で高額になることがあります。
• 解約条件：代表者変更の条件や通知期間は契約によって異なり、事前に確認が必要です。
• 追加費用：緊急対応や営業時間外の問い合わせにかかる費用は明示されていない場合が多く、必ず事前に問い合わせてください。
• 責任範囲：代表者は製品の技術的・法的責任を負わず、あくまで連絡窓口と法的代表に限定されます。

契約前に必ず契約書を詳細に読み、全条件を明示的に確認しましょう。

実務シナリオ：3つのケースと最適解

義務の適用例と最適な対応策を3つの現実的なケースで示します：

• 米国SaaS企業：米国企業がEU顧客に直接ソフトウェアを販売する場合、第18条に基づき代表者を指名する必要があります。REP27（年間490ユーロ）や他のプロバイダーを選択可能。クラウドサービス提供もある場合はNIS2対応も検討。
• 中国のAmazon出品者：製品が出品者名義なら代表者指名義務あり。Amazonが輸入業者の場合はAmazonが責任を負う。販売書類で製造者・輸入者の記載を確認することが重要。
• 英国オンラインショップ：EU顧客に直接販売する場合は代表者指名が必要。EU内の流通業者経由で販売し、流通業者が自社名義で輸入・販売する場合はショップ側に義務なし。

この分析により、よくある誤解を避け、最適な対応策を選べます。