Furnizori pentru raportarea vulnerabilităților în 24 de ore: Prezentare generală a pieței & prețuri (2026)

• Obligația raportării în 24h se aplică de la 11.09.2026 pentru producătorii de produse digitale (CRA Art. 14)
• REP27, kadano și Euverify oferă reprezentare corespunzătoare
• Prețuri: REP27 de la 490 EUR/an, kadano 999 EUR/an, Euverify 590 GBP/an
• Servicii variate: mandat, canal de raportare, fără verificare tehnică sau creare SBOM
• Nu este necesar pentru importatori, distribuitori sau comercianți pur pe marketplace

Actualizat 26 October 2026 · 4 surse verificate

Furnizori comparați

Prețuri publicate pe site-ul fiecărui furnizor la data de 26 October 2026, excluzând TVA-ul, cu excepția cazului în care se specifică altfel. Fiecare rând este legat de sursa sa.

Ce cere legea? (CRA Art. 14, Art. 18)

Regulamentul european Cyber Resilience Act (CRA) obligă de la 11 septembrie 2026 producătorii de produse cu elemente digitale să raporteze vulnerabilitățile exploatate activ sau incidentele grave de securitate în termen de 24 de ore de la cunoaștere (Articolul 14). Raportarea se face prin portalul central ENISA și se adresează CSIRT-ului competent din statul membru. Termenele sunt stricte: 24 de ore pentru avertizare timpurie, 72 de ore pentru raportul complet inițial și 14 zile pentru raportul final. Timpul curge în timp real – inclusiv noaptea, în weekend și în zilele libere.

Producătorii din afara UE trebuie să desemneze un reprezentant autorizat în UE conform articolului 18 CRA. Acest reprezentant acționează ca canal de raportare și punct de contact pentru autorități. Fără un astfel de reprezentant, raportarea nu este conformă cu legea. Importatorii, distribuitorii și comercianții pe marketplace (ex. Amazon, Etsy, eBay) care nu pun pe piață produse sub propriul nume sunt exceptați de la obligație. Pentru proiectele open-source non-comerciale există un regim redus de raportare, dar obligația rămâne.

• Articolul 14 CRA: avertizare în 24h, raport complet în 72h, raport final în 14 zile
• Articolul 18 CRA: reprezentant autorizat pentru producătorii fără sediu în UE

Definiția exactă a vulnerabilității raportabile este crucială: doar vulnerabilitățile exploatate activ sau incidentele grave care afectează securitatea produsului declanșează obligația. Vulnerabilitățile nedescoperite sau neexploatate nu sunt raportabile. Responsabilitatea respectării termenelor revine producătorului – întârzierile sau raportările eronate pot atrage sancțiuni severe.

Servicii comparate: Ce este inclus și ce nu?

Furnizorii diferă semnificativ în transparență și în amploarea serviciilor oferite. REP27 este singurul furnizor care publică toate prețurile și listează clar ce este inclus în mandat și ce nu. Mandatul include reprezentarea legală conform articolului 18 CRA, un desk 24 de ore în Europa, primirea și redirecționarea rapoartelor către autoritățile competente și o verificare publică a mandatului. REP27 nu efectuează verificări tehnice, nu creează SBOM-uri, nu face evaluări de conformitate și nu realizează teste – aceste sarcini revin producătorului sau trebuie contractate separat.

La kadano și Euverify prețurile sunt publicate, dar detalii despre serviciile incluse, costuri suplimentare sau excluderi sunt „La cerere”. Este recomandat să solicitați în scris detalii înainte de semnarea contractului pentru a ști exact ce acoperă serviciul și dacă există taxe suplimentare (ex. per raport, per limbă, pentru solicitări excepționale).

Important: elaborarea tehnică efectivă, realizarea SBOM-urilor și efectuarea testelor de securitate nu sunt incluse în prețul reprezentării. Cine are nevoie de aceste servicii trebuie să le contracteze separat de la furnizori specializați.

Matrice decizională: Cine are nevoie de ce?

Dacă aveți nevoie de reprezentant CRA și raportare în 24h depinde de rolul dvs. în lanțul de aprovizionare, sediul și structura de vânzări. Matricea următoare ajută la clasificare rapidă:

Exemple practice: Un furnizor SaaS din SUA care vinde soluții către clienți UE are nevoie de reprezentant și raportare 24h. Un producător IoT chinez care vinde produse sub propriul brand în UE este obligat. Un magazin online britanic care doar revinde produse terțe fără brand propriu nu are obligația de reprezentare sau raportare 24h.

Listă de verificare pentru cumpărători: Cum procedați

1. Verificați rolul: Sunteți producător de produs cu elemente digitale vândut în UE?
2. Stabiliți sediul: Este sediul companiei în afara UE?
3. Comparați furnizorii: Alegeți un furnizor cu preț publicat și mandat clar definit. Verificați dacă prețul acoperă toate serviciile sau pot exista costuri suplimentare.
4. Confirmați serviciile și excluderile în scris: Cereți confirmare scrisă înainte de contract despre ce este inclus și ce nu.
5. Pregătiți procese interne: Stabiliți cine este responsabil în companie pentru raportarea în 24h. Creați un runbook cu responsabilități clare și șabloane de raportare.
6. Înregistrați datele reprezentantului: Introduceți datele reprezentantului în documentația de conformitate și informați echipa.
7. Testați procesul de raportare: Faceți o simulare înainte de termenul limită pentru a identifica eventuale probleme.
8. Revizuiți periodic: Verificați anual dacă structura de vânzări sau portofoliul de produse s-a schimbat și poate afecta obligația de raportare.

Cu această listă evitați erorile frecvente și vă asigurați că sunteți conformi la termen.

Ce nu spun furnizorii deseori (excluderi, termene, taxe)

Mulți furnizori nu comunică deschis ce servicii sunt efectiv incluse în mandat și ce nu. REP27 specifică clar că verificările tehnice, evaluarea conformității, crearea SBOM și testarea nu fac parte din mandat. De asemenea, servicii suplimentare precum crearea de șabloane, suportul pentru analiza tehnică sau comunicarea cu clienții finali sunt excluse.

• Prețul REP27 este fix și fără taxe ascunse. Prețul de reînnoire este stabilit dinainte și nu se modifică fără anunț.
• La kadano și Euverify nu există informații despre costuri suplimentare, termene de reziliere sau limite de răspundere. Se recomandă să întrebați explicit despre aceste aspecte.
• Responsabilitatea respectării termenelor și calității raportului rămâne întotdeauna la producător. Reprezentantul poate doar primi și redirecționa raportul, nu poate face evaluarea tehnică.
• Termenul pentru emiterea mandatului la REP27 este de 24 de ore. La alți furnizori este „La cerere”.

O greșeală frecventă: mandatul nu acoperă întreaga conformitate CRA. Părțile costisitoare și complexe (ex. evaluarea conformității, documentația tehnică, SBOM) trebuie organizate separat. Cine nu este pregătit riscă întârzieri și amenzi.

Trei scenarii din practică: Cine trebuie să facă ce?

• Furnizor SaaS din SUA: O companie cu sediul în SUA oferă software cloud pentru firme europene. Fiind producător de produse digitale care vinde în UE, trebuie să numească un reprezentant CRA. Raportarea în 24h se face prin acest reprezentant, clar indicat în mandat. Furnizorul trebuie să desemneze intern responsabili pentru raportare și să pregătească șabloane.
• Vânzător Amazon chinez: O companie chineză vinde dispozitive IoT sub brand propriu direct către clienți UE. Obligația se aplică: fără sediu UE, este necesar un reprezentant conform articolului 18 CRA. Raportarea se face prin reprezentant. Dacă este doar comerciant fără brand propriu, obligația nu există.
• Magazin online UK: Un magazin britanic vinde produse terțe în Europa, fără brand propriu. Nu are obligația raportării în 24h sau de a desemna reprezentant CRA, deoarece nu este producător. Responsabilitatea este la producătorul real.

Aceste scenarii arată cât de importantă este clasificarea corectă a rolului propriu. Greșelile pot genera costuri inutile sau lacune de conformitate.