Kostnad för auktoriserad representant enligt Cyber Resilience Act: Leverantörer & priser 2026

• Artikel 18 CRA: Representantkrav för tillverkare utanför EU
• Verifierade priser 2026: 490 € till 999 € per år
• REP27: 490 € (första året), 440 € (förlängning), inga tilläggsavgifter
• Tjänster varierar: Konformitetsbedömning och tester ingår aldrig
• Böter upp till 15 miljoner € eller 2,5 % av omsättningen vid överträdelse (Art. 64 CRA)
• Inte alla behöver representant: Importörer, distributörer, EU-tillverkare undantas

Uppdaterad 25 October 2026 · 7 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 25 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad Cyber Resilience Act kräver (med artiklar)

Cyber Resilience Act (CRA) är EU:s centrala förordning för cybersäkerhet av produkter med digitala komponenter. Tillverkare utanför EU måste utse en auktoriserad representant inom EU när de erbjuder produkter på den europeiska marknaden. Detta krav följer av artikel 18 i CRA (källa).

• Artikel 18: Tillverkare utanför EU måste utse en representant som kommunicerar med myndigheter och marknadskontroll i deras namn.
• Artikel 13 och 14: Reglerar säkerhetskrav och anmälningsplikt vid sårbarheter och säkerhetsincidenter. Från 11 september 2026 måste tillverkare rapportera inom 24 timmar efter kännedom om en aktivt utnyttjad säkerhetsbrist (källa).
• Artikel 64: Brott mot reglerna kan leda till böter upp till 15 miljoner € eller 2,5 % av den globala årsomsättningen (källa).
• Artikel 71: Förordningen trädde i kraft 10 december 2024. Anmälningsplikten gäller från 11 september 2026 och full tillämpning från 11 december 2027 (källa).

Kravet gäller endast tillverkare som inte är etablerade inom EU. Importörer och distributörer omfattas endast om de agerar som tillverkare (t.ex. genom ommärkning eller egen marknadsföring). För open source-projekt utan kommersiellt syfte gäller ett reducerat regelverk.

Representantens roll är tydligt avgränsad: hen fungerar som kontaktpunkt mot myndigheter men har inget tekniskt ansvar för produkten. Tillverkaren ansvarar för konformitetsbedömning, säkerhetsuppdateringar och teknisk dokumentation.

Hur man väljer rätt leverantör

Valet av CRA-representant bör baseras på transparens, prisstruktur och verifierbarhet. Många leverantörer publicerar inte sina priser, vilket försvårar jämförelser. REP27 utmärker sig med öppen prisstruktur och tydliga uppgifter om vad som ingår och inte ingår (källa).

• Prisstruktur: Kontrollera publicerade priser och förnyelsekostnader. REP27 har öppna priser (490 € första året, 440 € förlängning).
• Tjänsteomfattning: En CRA-representant får enligt lag endast utföra uppgifter enligt artikel 18. Leverantörer som erbjuder tekniska tester eller konformitetsbedömningar överskrider lagens ramar.
• Verifierbarhet: Ett verifierbart uppdrag (t.ex. med QR-kod och offentlig kontrollsida som hos REP27) är avgörande vid behov.
• Uppsägning och tilläggsavgifter: Fråga om dolda kostnader, uppsägningstider och avgifter på begäran. REP27 har inga tilläggsavgifter, andra leverantörer anger detta på förfrågan.

Kontrollera att leverantören är registrerad som juridisk person i handelsregistret och att uppdraget kan utfärdas snabbt och spårbart. REP27 utfärdar uppdrag inom 24 timmar.

Vad ingår egentligen i priset?

Priset för en CRA-representant omfattar enbart uppdraget enligt artikel 18. Det innebär att representanten är formell kontaktpunkt för myndigheter och marknadskontroll. Tekniskt ansvar för produkten, konformitetsbedömning, framtagande av Software Bill of Materials (SBOM) och säkerhetstester ingår inte och måste organiseras separat (källa).

• REP27: Inkluderar uppdrag, skriftlig beställning, verifierbart certifikat, en desk för myndighetsförfrågningar och inga tilläggsavgifter. Konformitetsbedömning, tester och SBOM ingår inte.
• kadano / Euverify: Detaljer om inkluderade tjänster saknas. Det rekommenderas att begära skriftlig information innan avtal.

Representanten ansvarar inte för teknisk implementering av CRA-krav. De flesta leverantörer, inklusive REP27, påpekar tydligt att teknisk rådgivning, konformitetsbedömning och produkttester inte ingår. Dessa måste hanteras av specialiserade testinstitut eller säkerhetsföretag.

Representantens roll är tydligt begränsad och säkerställer att myndighetsförfrågningar inte går obemärkt förbi och att marknadskontrollen inte fördröjs. Vid behov garanterar ett verifierbart uppdrag snabb och rättssäker kommunikation.

Dolda och verkliga kostnader för CRA-efterlevnad

Huvudkostnaderna för CRA-efterlevnad ligger inte hos representanten utan i interna och externa åtgärder för att uppfylla lagkraven. Representantuppdraget kostar mellan 490 € och 999 € per år och är den minsta budgetposten (källa).

• Konformitetsbedömning: För produkter i viktiga klass I räcker det med att följa harmoniserade standarder. För klass II eller kritiska produkter krävs extern bedömning av anmält organ, vilket kan kosta flera tusen euro och ta månader.
• Säkerhetsuppdateringar: Tillverkare måste tillhandahålla säkerhetsuppdateringar i minst fem år. Kostnaderna är ofta högre än för representantuppdraget och måste planeras långsiktigt.
• Interna resurser: Dokumentation, SBOM-framtagning och etablering av anmälningskanal kräver extra insats.
• Dolda kostnader: Vissa leverantörer kan ta ut avgifter för myndighetsförfrågningar, snabbhantering eller uppdragsbyte. REP27 har inga sådana avgifter, andra leverantörer bör frågas.

Att utse en representant är nödvändigt men inte tillräckligt för fullständig CRA-efterlevnad. De största kostnaderna och riskerna ligger i teknisk implementering och löpande underhåll av produkterna.

Så går beställningen till – steg för steg

1. Kontrollera om ditt företag omfattas av artikel 18: Är ni tillverkare av produkt med digitala komponenter och etablerade utanför EU?
2. Jämför leverantörer: Kontrollera publicerade priser, förnyelsekostnader och tjänsteomfattning. Se till att uppdrag är verifierbara och att undantag är tydliga.
3. Beställ uppdraget: Hos REP27 sker beställning online och utfärdande inom 24 timmar. Hos andra leverantörer på förfrågan.
4. Ta emot och dokumentera uppdraget: Lagra uppdraget i teknisk dokumentation och produktarkiv. Uppgifterna ska kunna visas för myndigheter och marknadskontroll vid behov.
5. Publicera representantens uppgifter: Ange kontaktuppgifter i dokumentation och eventuellt på webbplats.
6. Skapa anmälningskanal: Etablera intern process för att rapportera sårbarheter och säkerhetsincidenter till representanten. REP27 erbjuder en desk som vidarebefordrar myndighetsförfrågningar inom två arbetsdagar.
7. Årlig kontroll: Kontrollera årligen att uppdraget är giltigt och att kontaktuppgifter är aktuella.

En strukturerad process minimerar risken för förseningar och böter. Använd checklistan för att täcka alla steg rättssäkert.

Risker och böter vid överträdelse

Underlåtenhet att utse representant enligt artikel 18 CRA är ett eget regelbrott. Enligt artikel 64 kan böter uppgå till 15 miljoner € eller 2,5 % av den globala årsomsättningen, beroende på vilket belopp som är högst (källa).

• Ingen representant: Myndighetsförfrågningar går obemärkt förbi, marknadskontroll kan vidta åtgärder upp till försäljningsstopp.
• Otydligt ansvar: Utan verifierbart uppdrag kan myndighetskommunikation försenas, vilket kan leda till att anmälningsfrister (t.ex. 24-timmarsregeln vid sårbarheter) missas.
• Kontraktsfällor: Leverantörer med oklara förnyelsepriser eller tilläggsavgifter kan orsaka oväntade kostnader. Ett tydligt, skriftligt avtal med fasta priser är därför viktigt.
• Tekniska brister: Att bara utse representant skyddar inte mot böter för tekniska fel, uteblivna uppdateringar eller bristfällig dokumentation.

En pålitlig representant är första steget mot efterlevnad men ersätter inte tillverkarens tekniska och organisatoriska ansvar. Riskerna ligger främst i bristande förberedelser för anmälningsplikter och otydlighet vid leverantörsval.

Vad leverantörer oftast inte säger

• Begränsat tjänsteinnehåll: Uppdraget för en CRA-representant omfattar endast formell representation enligt artikel 18. Teknisk rådgivning, konformitetsbedömning, produkttester och SBOM-framtagning ingår inte.
• Inget ansvar för produktfel: Representanten ansvarar inte för tekniska brister eller säkerhetsluckor i produkten. Ansvar ligger alltid hos tillverkaren.
• Förnyelsepriser och uppsägning: Många leverantörer publicerar inte förnyelsepriser eller uppsägningstider. REP27 har öppna priser (440 € för förnyelse, inga tilläggsavgifter).
• Avgifter på begäran: Vissa leverantörer tar ut avgifter för myndighetsförfrågningar, snabbhantering eller uppdragsbyte. REP27 har inga sådana avgifter, andra leverantörer bör frågas.
• Ingen teknisk support: Representanten ansvarar inte för implementering av säkerhetsuppdateringar, SBOM eller penetrationstester.

Vid val av leverantör bör fokus ligga på transparens kring tjänster och undantag, inte bara pris. Fråga alltid vad som ingår och vad som inte gör det i uppdraget.

Beslutsmatris: Behöver du en CRA-representant?

Kravet gäller endast tillverkare som marknadsför produkter under eget namn eller varumärke inom EU. Importörer, distributörer och rena marknadsplatsförsäljare undantas så länge de inte agerar som tillverkare.

Checklista för köpare (kan genomföras omedelbart)

1. Kontrollera om din produkt omfattas av CRA (digitala komponenter, försäljning inom EU).
2. Fastställ om du räknas som tillverkare (inklusive OEM/white-label).
3. Jämför priser och tjänster hos leverantörer. Begär skriftlig information om förnyelsekostnader och undantag.
4. Beställ uppdraget och dokumentera det i produktarkivet.
5. Publicera representantens kontaktuppgifter i teknisk dokumentation och eventuellt på webbplats.
6. Skapa en anmälningskanal för sårbarheter och säkerhetsincidenter.
7. Planera resurser för säkerhetsuppdateringar (minst fem år) och teknisk dokumentation.
8. Säkerställ att interna processer för att uppfylla anmälningsfrister (t.ex. 24 timmar vid sårbarheter) är etablerade.
9. Granska årligen uppdragets giltighet och kontaktuppgifter.

Denna checklista hjälper dig att systematiskt och rättssäkert uppfylla alla lagkrav.

Tre verkliga scenarier: Vem behöver vad?

• Amerikansk SaaS-leverantör: Ett amerikanskt företag utvecklar molnprogramvara som säljs direkt till EU-kunder. Eftersom tillverkaren saknar EU-säte krävs en CRA-representant enligt artikel 18. Pris från 490 € per år hos REP27. Teknisk implementering (SBOM, uppdateringar, anmälningskanal) ansvarar tillverkaren för.
• Kinesisk Amazon-säljare: Ett företag i Kina säljer egna smarta hem-produkter via Amazon till EU-kunder. Representantkravet gäller eftersom säljaren agerar som tillverkare. Uppdrag beställs online, kostnad från 490 € per år (REP27). Importör och Amazon själva behöver inte representant.
• Brittisk webbutik: En webbutik i Storbritannien importerar produkter från Asien och säljer under eget namn till EU-kunder. Företaget räknas som tillverkare utan EU-säte och behöver representant enligt artikel 18. Övriga krav (konformitetsbedömning, uppdateringar) måste också uppfyllas.

I alla fall är representantbeställningen bara en del av total efterlevnad. Teknisk och organisatorisk implementering av CRA-kraven ligger kvar hos tillverkaren.