Gemachtigde Vertegenwoordiger Cyber Resilience Act: Verplichtingen, Prijzen en Keuze (2026)

• Verplichting voor producenten buiten de EU die in de EU verkopen (art. 18 CRA)
• Gepubliceerde prijzen: van €490 tot €999/jaar (oktober 2026)
• De vertegenwoordiger beheert contacten, documentatie en meldingen aan autoriteiten
• Bevat geen assessments, tests of SBOM: alleen mandaat en doorsturen
• Leveranciersvergelijking met transparante prijzen: REP27, Kadano, Euverify
• Boetes tot €10 miljoen of 2% van de wereldwijde omzet

Bijgewerkt 23 October 2026 · 8 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 23 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat de wet vereist: verplichting gemachtigde vertegenwoordiger CRA (art. 18)

De Cyber Resilience Act (CRA) introduceert een nieuwe verplichting voor alle producenten van producten met digitale elementen die niet in de Europese Unie gevestigd zijn maar deze producten op de EU-markt willen brengen. Volgens artikel 18 moeten deze producenten een gemachtigde vertegenwoordiger aanstellen via een schriftelijk mandaat. De vertegenwoordiger fungeert als het enige contactpunt tussen de producent buiten de EU en de Europese toezichthoudende autoriteiten, met specifieke verantwoordelijkheden:

• Het bewaren van de EU-conformiteitsverklaring en technische documentatie gedurende ten minste 10 jaar na het op de markt brengen of gedurende de gehele opgegeven ondersteuningsperiode, indien langer.
• Het verstrekken van informatie en documentatie aan toezichthoudende autoriteiten op verzoek, om de conformiteit van het product aan te tonen.
• Samenwerken met autoriteiten om risico’s verbonden aan digitale producten onder het mandaat te elimineren.

De wet geldt voor alle producenten, ongeacht het land van herkomst, als de producten bestemd zijn voor de EU-markt (bron). Importeurs, distributeurs en marktplaatsen die niet als producent optreden, zijn niet onderworpen aan deze verplichting. Het niet aanstellen van een vertegenwoordiger kan leiden tot boetes tot €10 miljoen of 2% van de wereldwijde omzet, naast het blokkeren van de markttoegang.

De aanstelling is niet slechts een formaliteit: autoriteiten kunnen op elk moment via de vertegenwoordiger de technische documentatie en conformiteitsverklaring opvragen. Bij beveiligingsincidenten moet de vertegenwoordiger snel kunnen reageren op verzoeken van bevoegde autoriteiten.

Hoe kies je de CRA-vertegenwoordiger: criteria, vergelijking en verschillen

De keuze van een gemachtigde vertegenwoordiger voor de CRA is strategisch, zowel voor naleving als voor efficiënte afhandeling van verzoeken van autoriteiten. Hier zijn de belangrijkste criteria om te overwegen:

• Duidelijkheid van het mandaat: Het mandaat moet beperkt zijn tot de verantwoordelijkheden volgens art. 18, zonder niet-toegestane uitbreidingen (zoals assessments of tests die wettelijk aan anderen zijn toegewezen).
• Transparante prijs: Controleer of de prijs gepubliceerd is en of verlenging vooraf bekend wordt gemaakt, om verrassingen in latere jaren te voorkomen.
• Verifieerbaar certificaat: Geef de voorkeur aan aanbieders die een openbaar en verifieerbaar certificaat bieden (bijv. QR-code) om de aanstelling te bewijzen bij controles of audits.
• Doorstuurproces: Informeer hoe verzoeken van autoriteiten worden afgehandeld, in welke talen en met welke reactietijden.
• Uitsluitingen en beperkingen: Een serieuze aanbieder vermeldt duidelijk wat inbegrepen is en wat niet, om onduidelijkheden over assessments, tests, SBOM of technische ondersteuning te vermijden.

Vergelijkingstabel inbegrepen/extras:

Overweeg ook extra diensten zoals productcatalogusscreening (handig voor wie veel referenties heeft) en de mogelijkheid om meerdere regelgeving (bijv. GDPR, GPSR) via één aanbieder te dekken.

Wat de prijs echt omvat: zichtbare en verborgen kosten

De door aanbieders gepubliceerde prijs dekt uitsluitend het schriftelijke mandaat van vertegenwoordiging en het beheer van verzoeken van toezichthoudende autoriteiten. Niet inbegrepen zijn:

• Conformiteitsassessments (taak van aangemelde instanties, niet van de vertegenwoordiger)
• Beveiligingstests, SBOM-generatie of technische ondersteuning
• Opstellen of herziening van technische documentatie
• Juridisch advies of training (behalve specifieke aanbiedingen zoals Comply.Land)

Inclusietabel:

Let op verborgen kosten: sommige aanbieders publiceren de verlengingsprijs niet of rekenen kosten voor extra verzoeken, providerwissel of diensten buiten het mandaat. Vraag altijd een schriftelijke offerte met verlengingsprijs en opzegvoorwaarden.

Houd er tenslotte rekening mee dat de kosten van de vertegenwoordiger slechts een klein deel zijn van de CRA-naleving: de grootste uitgaven zijn gerelateerd aan technische aanpassingen, documentatiegeneratie en, voor hogere productklassen, certificering door aangemelde instanties.

Verborgen kosten en wat te vragen voor ondertekening

Voordat je een mandaat met een aanbieder ondertekent, is het cruciaal om enkele zaken te verduidelijken om verrassingen te voorkomen:

• Verlengingsprijs: Vraag dat deze duidelijk in het contract of de schriftelijke offerte staat, niet alleen op de website.
• Kosten voor extra verzoeken: Controleer of er bijkomende kosten zijn voor verzoeken buiten kantooruren, spoedverzoeken of providerwissels.
• Reikwijdte mandaat: Het mandaat moet alleen art. 18 dekken; aanbiedingen die assessments, tests of andere diensten omvatten, zijn in strijd met de regelgeving.
• Verifieerbaar certificaat: Een openbaar certificaat (bijv. QR-code) is nuttig om de aanstelling te bewijzen bij audits of autoriteitsverzoeken.
• Reactietijden: Vraag naar de doorstuurtermijnen van verzoeken en of de service ook tijdens feestdagen en buiten kantooruren actief is.

Beslissingstabel:

Vraag altijd een schriftelijke lijst van wat inbegrepen is, uitgesloten en eventuele extra kosten. Een transparante aanbieder zal deze informatie zonder aarzeling verstrekken.

Hoe werkt de aanstelling: stap voor stap en praktische checklist

De aanstelling van de CRA-vertegenwoordiger volgt een duidelijk proces, dat je ruim vóór de ingangsdatum van sancties (december 2027) kunt starten:

1. Controleer je status: Ben je een producent buiten de EU die digitale producten in Europa verkoopt? Zo ja, ga door.
2. Identificeer de gedekte producten: Breng alle digitale producten in kaart die voor de EU-markt bestemd zijn en controleer of ze onder de CRA vallen.
3. Bereid documentatie voor: Zorg voor de EU-conformiteitsverklaring en de technische documentatie die de regelgeving vereist.
4. Kies een aanbieder: Selecteer uit leveranciers met gepubliceerde prijs en transparant mandaat (zie tabel hierboven).
5. Vraag het mandaat aan: Vul het online formulier in of stuur een schriftelijk verzoek. Ontvang het getekende mandaat (vaak met eIDAS elektronische handtekening).
6. Registreer de vertegenwoordiger: Neem de gegevens van de vertegenwoordiger op in je interne beleidsdocumenten, runbook en technische documentatie.
7. Operationeel beheer: Bij verzoeken van autoriteiten ontvangt en stuurt de vertegenwoordiger de communicatie binnen de gestelde termijnen door (bijv. 2 werkdagen voor REP27).

Checklist voor vandaag:

1. Controleer je juridische status en bediende markten
2. Verzamel en update technische documentatie
3. Vraag offertes aan bij meerdere aanbieders
4. Vergelijk inbegrepen diensten, uitsluitingen en verlengingsprijzen
5. Onderteken het mandaat en werk je interne procedures bij

Risico’s, boetes en gevolgen zonder vertegenwoordiger

Het niet aanstellen van een gemachtigde vertegenwoordiger brengt aanzienlijke risico’s met zich mee:

• Boetes: Tot €10 miljoen of 2% van de wereldwijde omzet, afhankelijk van welk bedrag hoger is (bron).
• Markttoegang blokkade: Producten kunnen van de EU-markt worden gehaald of bij de douane worden tegengehouden.
• Vertragingen en inefficiënties: Zonder duidelijk contactpunt kunnen verzoeken van autoriteiten bij distributeurs, klanten of importeurs terechtkomen, wat vertragingen en reputatieschade veroorzaakt.
• Complicaties bij incidenten: Bij kwetsbaarheden of beveiligingsincidenten kan het ontbreken van een vertegenwoordiger de reactie vertragen en juridische en commerciële gevolgen verergeren.

Beslissingstabel:

Een tijdige aanstelling van de vertegenwoordiger vermindert het risico op sancties en zorgt voor snelle afhandeling van autoriteitsverzoeken, cruciaal bij beveiligingsincidenten met strakke deadlines (bijv. 24 uur voor melding van misbruikte kwetsbaarheden).

Wat aanbieders meestal niet zeggen: beperkingen, uitsluitingen, risico’s

Veel aanbieders benadrukken niet enkele kernaspecten van de CRA-vertegenwoordigersdienst:

• Assessment en tests uitgesloten: Geen enkele vertegenwoordiger mag conformiteitsassessments, beveiligingstests of SBOM-generatie uitvoeren: dit zijn aparte, vaak veel duurdere taken, toebedeeld aan aangemelde instanties of de producent zelf.
• Mandaat wettelijk beperkt: Het mandaat mag alleen art. 18 dekken; elke uitbreiding (bijv. beheer van verplichtingen art. 13) is verboden volgens de regelgeving.
• Verlengingsprijs niet altijd transparant: Sommige aanbieders publiceren de verlengingsprijs niet of rekenen kosten voor providerwissel of extra verzoeken.
• Beperkte aansprakelijkheid: De vertegenwoordiger is alleen verantwoordelijk voor doorsturen en documentbeheer, niet voor technische conformiteit of productveiligheid.
• Reactietijden en talen: Niet alle aanbieders specificeren reactietijden of ondersteunde talen: dit is cruciaal voor effectieve afhandeling van autoriteitsverzoeken.

Vraag altijd een schriftelijke lijst van uitsluitingen en servicevoorwaarden om misverstanden en risico’s op niet-naleving te voorkomen.

Praktische scenario’s: drie echte voorbeelden en de eenvoudigste oplossing

• SaaS VS: Een Amerikaans bedrijf biedt cloudsoftware aan EU-klanten. Het moet een CRA-vertegenwoordiger aanstellen, technische documentatie en conformiteitsverklaring voorbereiden. Het kan kiezen voor een aanbieder met transparant mandaat en vaste prijs (bijv. REP27 of Euverify). Assessment is niet nodig als het product basisniveau heeft en geharmoniseerde normen gelden.
• Amazon-verkoper China: Een Chinese producent verkoopt IoT-apparaten via Amazon aan EU-klanten. Hij moet een CRA-vertegenwoordiger aanstellen, ook al regelt de marktplaats de logistiek. De vertegenwoordiger moet in de technische documentatie en productbeleid worden vermeld. De marktplaats dekt deze verplichting niet.
• Online winkel VK: Een Britse webshop verkoopt slimme hardware in de EU. Na Brexit wordt het als buiten de EU beschouwd en moet een CRA-vertegenwoordiger worden aangesteld, documentatie voorbereid en een aanbieder met verifieerbaar mandaat gekozen. Verkoop via marktplaats verandert niets aan de producentverantwoordelijkheid.

In al deze gevallen is de eenvoudigste oplossing een aanbieder met gepubliceerde prijs, schriftelijk mandaat en snel aanstellingsproces (bijv. REP27: aanstelling binnen 24 uur, QR-certificaat, vaste prijs).