非欧盟制造商网络韧性法授权代表：服务商与价格（2026）

• CRA第18条要求非欧盟制造商在欧盟指定授权代表。
• REP27 — Europe Services, SE：490欧元/年（续约440欧元），公开价格，服务范围明确。
• Kadano：999欧元/年，价格已核实，总部位于奥地利。
• Euverify：590英镑/年，价格已核实，总部位于爱尔兰。
• 服务不包含合格评定或法律咨询。
• 欧盟境内制造商或以自有名义投放产品的进口商无需此服务。

已更新 17 October 2026 · 7 已检查来源

比较提供者

价格如在每个提供者的网站上发布的，日期为 17 October 2026，除非另有说明，不包括增值税。每一行链接到其来源。

法律要求：CRA第18条

网络韧性法（CRA），欧盟法规2024/2847，是一项里程碑式的欧盟法律，对所有含数字元素（硬件或软件）投放欧盟市场的产品施加强制性网络安全要求。CRA第18条明确规定，任何在欧盟境外设立的制造商必须指定一名在欧盟境内设立的授权代表。该代表作为欧盟市场监管机构的官方联系点，持有合格声明和技术文件，并负责将监管请求转达制造商。

法律适用于广泛产品，包括嵌入式设备、软件、SaaS、物联网及单独销售的组件。代表的职责严格限定：不承担制造商的法律责任，也不提供技术或法律咨询。核心职责是确保监管机构能迅速有效地联系制造商，特别是在出现漏洞或事件时。

• 第14条自2026年9月11日起，针对被主动利用的漏洞设定24小时报告义务。制造商必须通过单一报告平台通知ENISA（欧盟网络安全局），72小时内提交完整通知，14天内提交最终报告。
• 第71条第2款规定适用日期：2026年9月11日起执行报告义务，2027年12月11日起执行全部义务（包括产品标记和合格评定）。
• 未遵守第18条（未指定代表）将面临最高1000万欧元或全球营业额2%的罚款（第69条第1款），违反基本要求罚款可达1500万欧元或全球营业额2.5%（第69条第2款）。

重要的是，若非欧盟制造商未指定代表，进口商或分销商可能默认承担责任，导致业务中断或采购延迟。

如何选择CRA授权代表

选择合适的CRA授权代表是关键的合规决策。市场尚新，服务商在透明度、服务范围和续约条款上存在差异。选择时应注意：

• 法人实体：确认服务商为注册的欧盟公司，具备明确法人身份。例如，REP27为Europe Services, SE，自2014年起在布拉格注册（IČO 03571785）。
• 公开价格及续约条款：优先选择公布首年及续约价格的服务商。REP27公开490欧元/年（续约440欧元），并提供套餐折扣。许多服务商不公开续约价格，可能导致意外费用。
• 授权范围：授权书应限于第18条第3款。服务商不应声称涵盖额外法律义务（如第13条），CRA不允许。
• 证书验证：选择提供可验证证书（如二维码可公开查询）的服务商，便于采购和监管审计。
• 请求处理：了解服务商如何转发监管请求——支持语言、响应时间及是否收取单次费用。

以下表格比较各服务商包含、不包含及可能额外收费的项目：

决策前务必索取样本合同，并书面确认所有排除项及续约条件。

价格实际包含内容

大多数公开的CRA授权代表价格仅涵盖基本第18条授权书，通常包括：

• 与欧盟代表法人实体签署的授权委托书
• 可验证证书（有时含二维码或公开登记信息）
• 将欧盟监管机构请求转发给制造商
• 可选：多语言请求处理台或支持渠道

不包含：

• 法律咨询或法庭代理
• 合格评定、安全测试或SBOM生成
• 事件响应或技术修复
• 技术文件起草或审查

REP27公开费用为490欧元/年，续约440欧元/年。套餐选项：CRA+GDPR第27条690欧元/年，CRA+GDPR+NIS2 990欧元/年，GPSR第16条负责人另加200欧元。价格均不含增值税，按年预付。非欧盟客户免捷克增值税，欧盟客户持有效增值税号适用反向收费。

Kadano对默认及重要I类授权收费999欧元/年（包含内容按需提供）。Euverify仅CRA代表收费590英镑/年（包含内容按需提供）。截至2026年10月，Kadano和Euverify未公开详细包含内容及续约条款。

总结：代表费用通常是CRA合规成本中最小的部分，主要费用来自内部工程、文档及高风险产品的公告机构评估。

隐藏费用与排除项

虽然CRA授权代表的公开价格直观，但买家应注意多项隐藏或排除费用，可能显著影响总合规支出：

• 合格评定：重要II类及关键产品必须经公告机构评估，费用数千欧元，周期数月，代表费用不包含此项。
• 内部工程：技术文件、SBOM及支持期承诺的准备费用由制造商承担，默认类别产品费用主要为内部成本。
• 法律咨询与数据保护官服务：本指南内无服务商提供法律咨询、数据保护官或合规评估服务，REP27明确排除。
• 单次请求费用：部分服务商可能对转发或处理监管请求收取额外费用，REP27未公开此类费用，务必书面确认。
• 续约价格上涨：多数服务商不公开续约价格，可能导致意外涨价，REP27价格透明。
• 通知期限与取消：合同中应明确通知期限及取消条款，市场普遍存在自动续约及首年低价陷阱。

排除项表：

总结：务必明确包含与排除内容，并为工程、文档及公告机构评估等重大费用做好预算。

委任流程：步骤详解

委任CRA授权代表是一个结构化流程，具体步骤及实用建议如下：

1. 确认适用性：确认产品是否在CRA范围内（含数字元素的硬件或软件，销售于欧盟）。
2. 核查设立地：若公司未在欧盟设立，必须指定代表。
3. 调研服务商：比较服务商的法人实体、公开价格、续约条款及服务范围，索取样本合同并明确排除项。
4. 签署授权书：与选定服务商签订书面授权协议，确保授权范围限于第18条职责。
5. 获取文件：收到签署的指定函及可验证证书。REP27提供eIDAS电子签名及二维码公开验证。
6. 更新技术文件：在技术文件、合格声明及产品标签（如适用）中列明代表信息。
7. 准备报告流程：建立漏洞报告运行手册（第14条），明确事件申报人、平台访问权限及预警与通知模板。
8. 如需捆绑服务：若需GDPR第27条、NIS2或GPSR代表，考虑套餐以节省成本并简化管理。

决策矩阵：

风险与罚款

不遵守CRA带来重大财务与运营风险，法律规定了严厉罚款及其他后果：

• 未指定代表：未按要求指定授权代表，罚款最高可达1000万欧元或全球营业额2%（第69条第1款）。
• 违反基本要求：违反基本要求或制造商义务，罚款最高1500万欧元或全球营业额2.5%（第69条第2款）。
• 延迟报告：未在24小时内报告被利用漏洞（第14条）可能引发执法行动、市场撤回及声誉损失。
• 采购延迟：无代表可能导致采购团队要求欧盟代表证明，延缓销售周期。
• 控制权丧失：未指定代表时，进口商或分销商可能成为默认联系人，导致事件报告及监管互动失控。
• 自动续约风险：多份授权合同续约日期不一，增加意外失效风险，导致不合规。

REP27指出，授权书的主要价值在于避免事件处理时浪费时间、延迟文件请求、采购阻滞及授权失效等运营风险，这些风险与罚款同样重要。

服务商通常不透露的事项

CRA代表市场的许多服务商未明确披露重要合同及运营细节，买家应注意：

• 续约价格：部分服务商首年价格低廉但不公开续约费，续约时可能大幅上涨。REP27是少数明确续约价格的服务商。
• 通知期限：自动续约及长通知期常见，务必书面确认。
• 服务范围扩大：部分服务商声称涵盖第18条以外义务（如第13条），CRA不允许，授权书应限于法律允许范围。
• 单次请求费用：处理或转发监管请求可能额外收费，REP27未列出，务必提前确认。
• 责任限制：服务商很少披露责任上限及损害赔偿排除条款，纠纷时至关重要。
• 排除项：无服务商涵盖合格评定、安全测试、SBOM生成或法律咨询，这些均为制造商责任。

总结：签约前坚持要求全面书面披露续约价格、通知期限、单次费用及责任条款。

决策矩阵：我是否需要CRA授权代表？

根据您的业务模式和市场情况，使用此矩阵判断是否需要CRA授权代表：

该矩阵涵盖大多数制造商和销售商的实际场景。如有疑问，建议咨询法律或专业人士。

合规步骤清单

遵循以下清单，确保高效满足CRA义务：

1. 确认产品是否在CRA范围内（含数字元素的硬件/软件）。
2. 确认是否为欧盟境外设立。
3. 确认是否直接向欧盟客户或通过市场（亚马逊、Etsy、eBay）销售。
4. 调研比较CRA代表服务商的法人实体、价格及服务范围。
5. 索取样本合同，书面确认所有排除项及续约条款。
6. 与选定服务商签署第18条授权书。
7. 获取并验证指定函及证书（优选公开验证）。
8. 更新技术文件及产品声明，包含代表信息。
9. 准备漏洞报告运行手册（2026年9月起履行第14条义务）。
10. 预算内部工程、文档及公告机构评估费用（如适用）。
11. 审查支持期承诺（至少五年安全更新）。
12. 监控续约日期及取消通知期限，避免自动续约失效。

实际场景示例

• 美国SaaS供应商：向欧盟客户销售云产品，必须指定CRA代表并建立24小时漏洞报告渠道。REP27提供公开价格、快速委任及可验证证书。供应商还需准备技术文件及报告运行手册，合格评定通常自我声明，除非产品为重要II类或关键。
• 中国亚马逊卖家：向欧盟发货品牌物联网设备。需CRA代表以获得市场准入，因亚马逊及欧盟海关可能要求代表证明。卖家需确保产品符合CRA要求，指定代表（如REP27、Kadano或Euverify），并更新产品文件。若以自有名义销售，义务适用；若进口商贴牌，进口商承担责任。
• 英国在线零售商：向欧盟企业销售联网设备。除非欧盟进口商承担义务，否则需指定CRA代表。零售商应与合作伙伴明确责任，必要时指定代表，并准备2026年9月起的漏洞报告。

以上场景展示法律的实际应用及合规步骤，无论公司规模或行业。