非EU製造業者向けCyber Resilience Act代理人：提供者と価格（2026年）

• CRA第18条は非EU製造業者にEU内の代理人任命を義務付けています。
• REP27 — Europe Services, SE：€490/年（更新€440）、公開価格、明確な範囲。
• Kadano：€999/年、価格検証済み、オーストリア拠点。
• Euverify：£590/年、価格検証済み、アイルランド拠点。
• サービスには適合評価や法的助言は含まれません。
• EU拠点の製造業者や自社名義で製品を販売する輸入業者は不要です。

更新済み 17 October 2026 · 7 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、17 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法的要件：CRA第18条

Cyber Resilience Act（CRA）、規則（EU）2024/2847は、EU市場に出されるすべてのデジタル要素を含む製品（ハードウェア・ソフトウェア）に対し、義務的なサイバーセキュリティ要件を課す画期的なEU法です。CRA第18条は、EU外に設立された製造業者がEU内に代理人を任命することを明確に義務付けています。この代理人はEU市場監視当局の公式連絡先となり、適合宣言書や技術文書を保管し、規制当局からの要請を製造業者に転送する責任を負います。

この法律は組み込み機器、ソフトウェア、SaaS、IoT、個別販売されるコンポーネントなど幅広い製品に適用されます。代理人の役割は厳格に定義されており、製造業者の法的責任を負うものではなく、技術的・法的助言を提供しません。主な任務は、脆弱性やインシデント発生時に当局が迅速かつ効率的に製造業者に連絡できることを保証することです。

• 第14条は2026年9月11日から、悪用されている脆弱性の24時間以内報告義務を導入します。製造業者は単一の報告プラットフォームを通じENISA（EUサイバーセキュリティ機関）に通知し、72時間以内に完全な通知、14日以内に最終報告を行う必要があります。
• 第71条第2項は適用開始日を定め、報告義務は2026年9月11日から、製品表示や適合評価を含む完全義務は2027年12月11日からです。
• 第18条違反（代理人未任命）は最大1000万ユーロまたは世界売上高の2％の罰金（第69条第1項）、必須要件違反は最大1500万ユーロまたは世界売上高の2.5％（第69条第2項）となります。

重要なのは、非EU製造業者が代理人を任命しない場合、輸入業者や販売業者が責任を負う可能性があり、事業の混乱や調達遅延につながる恐れがあることです。

CRA代理人の選び方

適切なCRA代理人の選択は重要なコンプライアンス判断です。市場は新しく、提供者ごとに透明性、範囲、更新条件が異なります。選択のポイントは以下の通りです：

• 法人格：提供者がEU登録企業であることを確認します。例：REP27は2014年設立のプラハ登録企業（IČO 03571785）です。
• 公開価格と更新条件：初年度および更新価格を公開している提供者を選びましょう。REP27は€490/年（更新€440）を明示し、バンドル割引もあります。多くは更新価格を公開せず、予期せぬコストが発生する可能性があります。
• 委任範囲：委任は第18条第3項に限定すべきです。第13条などの追加法的義務を含むと主張する提供者はCRAにより許可されていません。
• 証明書の検証：QRコードなどで公的に検証可能な証明書を提供する提供者を選びましょう。調達や監査で必須です。
• 要請対応：当局からの要請の転送方法、対応言語、対応時間、追加料金の有無を確認します。

以下は各提供者の含まれる内容、含まれない内容、追加料金の有無の比較です：

契約前に必ずサンプル契約書を入手し、除外事項や更新条件を文書で確認してください。

価格に含まれる内容

多くの公開されているCRA代理人価格は基本的な第18条委任のみをカバーしています。通常含まれるのは：

• EU代理人法人との署名済み任命書（委任状）
• 検証可能な証明書（QRコードや公的登録がある場合も）
• EU当局から製造業者への要請転送
• 任意で多言語対応のリクエスト受付窓口

含まれないもの：

• 法的助言や裁判代理
• 適合評価、セキュリティ試験、SBOM作成
• インシデント対応や技術的修正
• 技術文書の作成・レビュー

REP27の公開料金はCRA委任で€490/年、更新€440/年。バンドルオプションもあり、CRA＋GDPR Article 27で€690/年、CRA＋GDPR＋NIS2で€990/年、GPSR Article 16責任者は＋€200。価格はVAT別で年額前払い。非EU顧客はチェコVAT非課税、EU顧客は有効なVAT番号で逆課税適用。

Kadanoはデフォルトまたは重要クラスI委任で€999/年（含まれる内容は要問い合わせ）。EuverifyはCRA代理のみで£590/年（含まれる内容は要問い合わせ）。2026年10月時点でKadanoとEuverifyは詳細な内容や更新条件を公開していません。

まとめ：代理人費用はCRA遵守費用の中で最も小さい部分であり、主な費用は内部エンジニアリング、文書作成、高リスク製品の通知機関評価にかかります。

隠れた費用と除外事項

CRA代理人の公開価格は明瞭ですが、購入者は総合的な遵守費用に大きく影響する隠れた費用や除外事項に注意すべきです：

• 適合評価：重要クラスIIおよびクリティカル製品は通知機関評価が必須で数千ユーロ、数か月の期間が必要。代理人費用には含まれません。
• 内部エンジニアリング：技術文書、SBOM、サポート期間の準備費用は製造業者負担。デフォルトクラス製品は主に内部コスト。
• 法的助言・DPOサービス：本ガイドの提供者はいずれも法的助言やDPOサービス、適合評価を含みません。REP27は明確に除外。
• 要請ごとの追加料金：一部提供者は当局要請の転送・対応に追加料金を請求する場合あり。REP27は公開していません。必ず書面で確認を。
• 更新価格の値上げ：多くの提供者は更新価格を公開せず、予期せぬ値上げが起こり得ます。REP27は透明に公開。
• 通知期間と解約：契約の通知期間や解約条件を確認。自動更新や初年度低価格のトークン設定が一般的です。

除外事項表：

まとめ：含まれる内容・除外内容を明確にし、エンジニアリング、文書作成、通知機関評価の費用を予算に組み込みましょう。

任命の流れ：ステップバイステップ

CRA代理人の任命は体系的なプロセスです。一般的な流れと実務的なポイントは以下の通りです：

1. 適用範囲の確認：製品が対象か（デジタル要素を含むハード・ソフト製品でEUで販売されるもの）を確認。
2. 設立状況の確認：会社がEU外に設立されている場合、代理人任命が必要。
3. 提供者の調査：法人格、公開価格、更新条件、サービス範囲を比較。サンプル契約書を入手し除外事項を明確に。
4. 委任状の署名：選定した提供者と書面契約（委任状）を締結。第18条義務に限定されていることを確認。
5. 書類の受領：署名済み任命書と検証可能な証明書を受け取る。REP27はeIDAS電子署名とQRコードによる公開検証を提供。
6. 技術文書の更新：技術ファイル、適合宣言書、製品ラベルに代理人情報を記載。
7. 報告準備：脆弱性報告の運用手順書（第14条義務開始は2026年9月）を作成。インシデント申告者、プラットフォームアクセス者、早期警告・通知テンプレートを含む。
8. バンドル検討：GDPR第27条、NIS2、GPSR代理人が必要な場合はバンドルパッケージでコスト削減と管理簡素化を。

判断マトリックス：

リスクと罰則

CRA違反のリスクは財務面だけでなく運用面でも重大です。法律は厳しい罰則と影響を規定しています：

• 代理人未任命：義務があるのに代理人を任命しないと最大1000万ユーロまたは世界売上高の2％の罰金（第69条第1項）。
• 必須要件違反：必須要件や製造業者義務違反は最大1500万ユーロまたは世界売上高の2.5％の罰金（第69条第2項）。
• 報告遅延：悪用されている脆弱性の24時間以内報告義務違反（第14条）は執行措置、市場撤退、評判損失を招く。
• 調達遅延：代理人不在は調達チームがEU代理人証明を求めるため販売サイクルを停滞させる。
• 管理喪失：代理人未任命の場合、輸入業者や販売業者がデフォルトの連絡先となり、インシデント報告や規制対応のコントロールを失う可能性。
• 更新失念：複数の委任契約の更新日が異なると、意図しない失効リスクが高まる。

REP27は委任状の価値はインシデント時の時間浪費防止、文書要求遅延防止、調達停滞回避、失効防止にあると指摘しています。これらの運用リスクは財務罰則と同等に重要です。

提供者が通常言わないこと

CRA代理人市場の多くの提供者は重要な契約・運用詳細を明示しません。購入者は以下を認識しましょう：

• 更新価格：初年度価格は低くても更新価格を公開しない場合が多く、予期せぬ値上げが発生。REP27は更新価格を明示。
• 通知期間：自動更新や長い解約通知期間が一般的。必ず書面で確認。
• 範囲の逸脱：第18条以外（例：第13条）をカバーすると主張する提供者がいるがCRAは許可しない。委任範囲を限定すべき。
• 要請ごとの料金：当局要請の転送・対応に追加料金がかかる場合あり。REP27は公開していないが事前確認必須。
• 責任制限：提供者の責任範囲や損害賠償除外を開示しないことが多い。紛争時に重要。
• 除外事項：適合評価、セキュリティ試験、SBOM作成、法的助言はすべて製造業者の責任であり、提供者は含まない。

まとめ：契約前に更新価格、通知期間、要請料金、責任条件の完全な書面開示を求めましょう。

判断マトリックス：CRA代理人は必要か？

以下のマトリックスでビジネスモデルと市場状況に基づきCRA代理人の必要性を判断してください：

このマトリックスは製造業者・販売者の多くの実務シナリオをカバーします。疑問があれば法令や専門家に相談してください。

CRA遵守のチェックリスト

CRA義務を効率的に満たすためのチェックリスト：

1. 製品がCRA対象か確認（デジタル要素を含むハード・ソフト製品）。
2. EU外設立か確認。
3. EU顧客に直接またはマーケットプレイス経由で販売しているか確認。
4. CRA代理人提供者を法人格、価格、範囲で比較。
5. サンプル契約を入手し除外事項・更新条件を文書で確認。
6. 選定した提供者と第18条委任状を締結。
7. 署名済み任命書と検証可能証明書を受領・確認。
8. 技術文書・適合宣言書・製品ラベルに代理人情報を記載。
9. 脆弱性報告運用手順書を準備（2026年9月から第14条義務）。
10. 内部エンジニアリング、文書作成、通知機関評価の予算を確保。
11. 最低5年間のセキュリティ更新サポート期間を確認。
12. 更新日と解約通知期間を管理し、失効を防止。

現実的なシナリオ

• 米国SaaS提供者：EU顧客にクラウド製品を販売。CRA代理人任命と24時間脆弱性報告チャネル設置が必要。REP27は公開価格、迅速任命、検証可能証明書を提供。技術文書と報告手順書の準備も必要。適合評価は重要クラスIIやクリティカルでなければ自己宣言が多い。
• 中国のAmazon販売者：ブランドIoT機器をEUに出荷。市場アクセスにCRA代理人が必要。AmazonやEU税関が代理人証明を求める。製品はCRA要件を満たし、代理人（REP27、Kadano、Euverifyなど）を任命し、文書を更新。自社名義販売なら義務あり。輸入業者がリブランドする場合は輸入業者が責任。
• 英国オンライン小売：EU企業向けに接続機器をB2B販売。EU拠点輸入業者が義務を負わない限りCRA代理人が必要。責任所在を明確にし、必要なら代理人任命、2026年9月からの脆弱性報告に備える。

これらは法令の実務適用例であり、企業規模や業種に関わらず遵守に必要なステップを示しています。