Heb ik een gemachtigde nodig als ik buiten de EU produceer? Leveranciers & prijzen 2026

• Niet-EU fabrikanten die in de EU verkopen, moeten een gemachtigde aanstellen volgens artikel 18 CRA.
• De verplichting geldt vanaf 11 september 2026 voor producten met digitale elementen.
• REP27 — Europe Services, SE biedt CRA vertegenwoordiging vanaf €490/jaar.
• Concurrentieprijzen: kadano €999/jaar, Euverify GBP 590/jaar (prijzen geverifieerd oktober 2026).
• Aanstelling is niet nodig voor in de EU gevestigde fabrikanten of sommige niet-commerciële open source beheerders.
• De gemachtigde verzorgt kwetsbaarheidsrapportage en communicatie met EU autoriteiten.

Bijgewerkt 19 October 2026 · 4 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 19 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat de wet vereist: CRA artikel 18 en uw verplichtingen

De EU Cyber Resilience Act (CRA) introduceert nieuwe verplichtingen voor fabrikanten van producten met digitale elementen. Artikel 18 van de CRA, van kracht vanaf 11 september 2026, vereist dat elke fabrikant buiten de EU een gemachtigde binnen de Unie aanstelt als zij dergelijke producten in de EU verkopen. Dit geldt voor zowel B2B als B2C verkopen, inclusief SaaS, IoT, software- en hardwareleveranciers.

• Wie moet aanstellen: Elke niet-EU fabrikant die direct aan EU-kopers verkoopt, ongeacht of de verkoop aan bedrijven of consumenten is.
• Wie is vrijgesteld: Fabrikanten die al in de EU gevestigd zijn, importeurs of distributeurs die producten onder eigen naam op de markt brengen, en sommige niet-commerciële open source beheerders (met verminderde verplichtingen).
• Juridische basis: Artikel 18(1) CRA voor de gemachtigde, artikel 14 voor kwetsbaarheidsrapportage, en artikel 3 voor toepassingsgebied.

De gemachtigde fungeert als het officiële aanspreekpunt voor EU autoriteiten, verzorgt kwetsbaarheidsrapportage (artikel 14) en communicatie met markttoezicht. Het niet aanstellen is een zelfstandige overtreding, met aanzienlijke boetes als gevolg. Ter illustratie: onder GDPR leidden soortgelijke overtredingen tot boetes tot EUR 525.000 (zaak Locatefamily.com).

De aanstelling moet schriftelijk zijn en de scope specificeren (artikel 18(3)). De lidstaat van de gemachtigde bepaalt welke nationale CSIRT (Computer Security Incident Response Team) de kwetsbaarheidsrapporten ontvangt. Indien u geen gemachtigde aanstelt, kan de importeur of distributeur de standaardcontactpersoon worden, wat verkoop en naleving kan bemoeilijken.

Voor Zwitserse verplichtingen biedt REP27 bij elk betaald plan een gratis beoordeling, maar alleen als aan alle vier Zwitserse criteria wordt voldaan is een Zwitserse gemachtigde vereist. REP27 treedt niet op als Zwitserse gemachtigde maar levert een vrijstellingsverklaring indien niet vereist.

Hoe kiest u een gemachtigde: Belangrijke criteria en aanbieder vergelijking

Het kiezen van de juiste gemachtigde is cruciaal voor naleving en soepele markttoegang. Hier zijn de belangrijkste factoren om te overwegen:

• Rechtsvorm en registratie: Controleer of de aanbieder een geregistreerd EU-bedrijf is. REP27 is Europe Services, SE, geregistreerd in Praag sinds 2014 (IČO 03571785).
• Mandaat scope: Het mandaat moet strikt beperkt zijn tot de taken uit artikel 18(3). Geen enkele aanbieder kan wettelijk artikel 13 taken onder de CRA dekken.
• Transparantie: Verlengingsprijzen en inbegrepen diensten moeten gepubliceerd en schriftelijk bevestigd worden vóór betaling. REP27 publiceert alle verlengingsprijzen en scope vooraf.
• Verificatie: Zoek naar een verifieerbaar certificaat (bijv. QR-code, publieke verificatiepagina) om naleving aan autoriteiten en klanten te tonen.
• Ondersteuning en communicatie: Bevestig het proces van de aanbieder voor het doorsturen van verzoeken, ondersteunde talen en reactietijden. REP27 garandeert doorsturen binnen twee werkdagen en levert privacyverklaringsteksten in 8 talen.

Vergelijk wat inbegrepen is, wat niet en eventuele extra kosten:

Vraag altijd om een schriftelijke specificatie van wat gedekt is, vooral als de aanbieder deze informatie niet publiceert. Zo voorkomt u verrassingen en betaalt u alleen voor wat u nodig heeft.

Wat de prijs echt omvat & verborgen kosten in CRA vertegenwoordiging

De meeste gepubliceerde prijzen van aanbieders dekken alleen het wettelijke mandaat en basis communicatieverplichtingen. De grootste kosten bij CRA-naleving zijn meestal intern: engineering, documentatie, SBOM (Software Bill of Materials) generatie en het garanderen van een ondersteuningsperiode van minimaal vijf jaar voor beveiligingsupdates. Voor belangrijke klasse II of kritieke producten is een beoordeling door een aangemelde instantie vereist, wat veel duurder is dan het honorarium van de gemachtigde.

De prijzen van REP27 zijn transparant: €490/jaar voor alleen CRA, €690/jaar voor CRA+GDPR, en €990/jaar voor CRA+GDPR+NIS2, met lagere verlengingsprijzen. Het mandaat omvat een schriftelijke aanstelling volgens artikel 18, een verifieerbaar certificaat, een bemand meldpunt voor kwetsbaarheden en verzoekdoorsturing. Het omvat niet conformiteitsbeoordeling, testen, SBOM generatie of incidentrapportage — deze zijn altijd de verantwoordelijkheid van de fabrikant of vereisen een aangemelde instantie.

Verborgen kosten om op te letten:

• Stille verlengingen of onduidelijke verlengingsprijzen (veel voorkomend in de markt).
• Per-verzoek kosten voor het doorsturen van autoriteitscommunicatie of kwetsbaarheidsrapporten.
• Beperkingen op inbegrepen diensten, zoals aantal verzoeken of ondersteunde talen.
• Aansprakelijkheidsbeperkingen en uitsluitingen verborgen in algemene voorwaarden.

REP27 vermeldt alle verlengingsprijzen vooraf en somt uitsluitingen duidelijk op. Vraag altijd schriftelijke bevestiging van wat inbegrepen en uitgesloten is voordat u met een aanbieder in zee gaat.

Hoe aanstelling werkt: Stapsgewijze gids en beslissingsmatrix

Het aanstellen van een gemachtigde is een eenvoudig maar essentieel proces. Hier is een praktische gids:

1. Beoordeel uw vestiging: Bevestig dat uw bedrijf buiten de EU is gevestigd en producten met digitale elementen in de EU verkoopt.
2. Controleer uw verplichtingen: Bepaal of uw producten onder de CRA vallen en of u de fabrikant bent, niet alleen een importeur of distributeur.
3. Kies een aanbieder: Vergelijk aanbieders op juridische entiteit, prijs, scope en transparantie. Vraag schriftelijke details van wat inbegrepen is.
4. Onderteken het mandaat: Sluit een schriftelijke overeenkomst af waarin de taken uit artikel 18 worden gespecificeerd. REP27 verstrekt de aanstelling binnen 24 uur, met een verifieerbaar certificaat.
5. Werk uw nalevingsdocumenten bij: Voeg de gegevens van de gemachtigde toe aan uw technische dossiers, privacyverklaringen en kwetsbaarheidsrapportage handleidingen.
6. Bereid u voor op rapportage: Zorg dat uw team het proces kent voor 24-uurs kwetsbaarheidsrapportage vanaf 11 september 2026.

Beslissingsmatrix

Bevestig altijd schriftelijk wie als gemachtigde optreedt, vooral bij gebruik van importeurs of distributeurs.

Risico's, boetes en wat aanbieders meestal niet zeggen

Risico's van niet-naleving: Het niet aanstellen van een gemachtigde kan leiden tot handhavingsmaatregelen en aanzienlijke boetes. Onder GDPR leidde het niet aanstellen van een gemachtigde tot een boete van €525.000 voor Locatefamily.com. De CRA kent zelfstandige overtredingen en boetes tot EUR 10 miljoen of 2% van de wereldwijde jaaromzet voor niet-naleving van artikel 18.

Wat aanbieders meestal niet zeggen:

• Mandaatbeperkingen: De rol van de gemachtigde is strikt beperkt tot het doorsturen van communicatie en fungeren als contactpunt. Zij voeren geen conformiteitsbeoordelingen, producttesten of SBOM-generatie uit — dit is altijd de verantwoordelijkheid van de fabrikant.
• Uitsluitingen: REP27 vermeldt duidelijk wat niet inbegrepen is: conformiteitsbeoordeling, testen, SBOM en incidentrapportage. Veel aanbieders publiceren dergelijke uitsluitingen niet, waardoor kopers hun verplichtingen kunnen misverstaan.
• Verlengings- en per-verzoek kosten: Stille verlengingen en verborgen per-verzoek kosten komen veel voor. Vraag altijd schriftelijke bevestiging van verlengingsprijzen en eventuele extra kosten.
• Aansprakelijkheid: Gemachtigden beperken doorgaans hun aansprakelijkheid tot het doorsturen van verzoeken en het leveren van documentatie. Zij nemen geen engineering- of beveiligingstaken op zich.
• Kennisgevingsperiodes: Opzeg- of wisseltermijnen worden zelden vooraf bekendgemaakt. REP27 biedt een wisselprijs en een enkele verlengingsdatum voor gebundelde mandaten.

Voorkom verrassingen door altijd een gedetailleerde servicebeschrijving te vragen, inclusief alle uitsluitingen en beperkingen, voordat u een aanbieder kiest.

Realistische scenario's & eenvoudigste nalevingsroutes: Praktische voorbeelden

• Amerikaans SaaS-bedrijf: Een SaaS-aanbieder uit de VS verkoopt abonnementen aan EU-klanten. Vanaf 11 september 2026 moet het een EU gemachtigde aanstellen voor CRA artikel 18 taken. De eenvoudigste route is REP27 kiezen voor €490/jaar, met een schriftelijk mandaat, verifieerbaar certificaat en bemand meldpunt. Het bedrijf voegt de gegevens van de gemachtigde toe aan zijn privacyverklaring en kwetsbaarheidsrapportage handleiding.
• Chinese Amazon-verkoper: Een Chinese fabrikant verkoopt merkgebonden IoT-apparaten via Amazon aan EU-klanten. Als Amazon optreedt als importeur van record, ligt de verplichting tot aanstelling bij Amazon. Als de verkoper fabrikant is en onder eigen merk verkoopt, moet hij een gemachtigde aanstellen. REP27, kadano of Euverify zijn opties. De verkoper moet schriftelijk met Amazon bevestigen wie de economische operator is.
• Britse webshop: Een retailer uit het VK verkoopt slimme apparaten aan EU-consumenten. Als niet-EU fabrikant moet hij een EU gemachtigde aanstellen voor CRA-naleving. REP27 biedt gebundelde mandaten (CRA+GDPR+NIS2) voor €990/jaar, wat naleving van meerdere regels vereenvoudigt. De retailer ondertekent het mandaat, werkt zijn nalevingsdossiers bij en bereidt zich voor op 24-uurs kwetsbaarheidsrapportage.

Checklist voor kopers

1. Bevestig het vestigingsland van uw bedrijf en of u de fabrikant bent.
2. Bepaal of uw producten in de EU worden verkocht en onder de CRA vallen.
3. Controleer of uw importeur of distributeur als economische operator optreedt; zo niet, moet u een gemachtigde aanstellen.
4. Vergelijk aanbieders op transparantie, scope en prijs. Vraag schriftelijke bevestiging van wat inbegrepen en uitgesloten is.
5. Onderteken een schriftelijk mandaat en verkrijg een verifieerbaar certificaat.
6. Werk uw nalevingsdocumentatie, privacyverklaringen en kwetsbaarheidsrapportage handleidingen bij met de gegevens van de gemachtigde.
7. Train uw team over de 24-uurs kwetsbaarheidsrapportage verplichtingen vanaf 11 september 2026.
8. Bekijk verlengingsvoorwaarden, kennisgevingsperiodes en eventuele extra kosten voordat u zich verbindt.