Kostnad för sårbarhetsrapportering inom 24h för icke-EU-tillverkare (CRA 2026)

• Obligatoriskt från 11 september 2026 för alla tillverkare av digitala produkter som säljs inom EU
• REP27 erbjuder tjänsten för €490/år, förnyelse €440, pris publicerat
• Kadano: €999/år, Euverify: £590/år (cirka €690), priser publicerade
• Tjänsten täcker endast överföring av rapporter, inte tester eller tekniska utvärderingar
• Underlåtenhet kan leda till böter upp till €15 miljoner eller 2,5 % av global omsättning
• Gäller inte importörer, distributörer eller de som endast säljer utanför EU

Uppdaterad 22 October 2026 · 7 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 22 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad lagen kräver: Artikel 14 CRA

Artikel 14 i Cyber Resilience Act (EU-förordning 2024/2847) inför ett mycket strikt rapporteringskrav för alla tillverkare av digitala produkter som säljs inom Europeiska unionen, oavsett var de är baserade. Från och med 11 september 2026 måste varje tillverkare rapportera inom 24 timmar efter kännedom om en aktivt utnyttjad sårbarhet eller en allvarlig säkerhetsincident som påverkar produkten. Rapporteringen sker via den gemensamma plattformen som hanteras av ENISA och riktas till CSIRT i det relevanta EU-landet.

• Rapporteringen sker i tre steg: early warning (inom 24h), detaljerad anmälan (inom 72h), slutrapport (inom 14 dagar).
• Rapportering är obligatorisk även för icke-EU-tillverkare som säljer direkt eller via marknadsplatser till kunder inom EU.
• Inga säkerhetstester eller tekniska utvärderingar krävs från representanten: dennes roll är att vidarebefordra rapporterna och fungera som kontaktpunkt.
• Obligatoriskt även för incidenter som påverkar produktsäkerheten, inte bara för redan utnyttjade sårbarheter.

Underlåtenhet att rapportera eller försenad rapportering kan leda till böter upp till €15 miljoner eller 2,5 % av den globala omsättningen, beroende på vilket som är högst. Dessa regler gäller alla som släpper ut digitala produkter på EU-marknaden, inklusive mjukvaru-, hårdvaru-, IoT-enheter, SaaS med mera.

Källor: NIS2.gov.ie, Licentium

Hur man väljer leverantör: praktiska kriterier och jämförelse

Att välja rätt leverantör för sårbarhetsrapportering enligt CRA kräver uppmärksamhet på flera praktiska aspekter utöver priset. Här är de viktigaste kriterierna att bedöma:

• Publicerat och transparent pris: Föredra leverantörer som tydligt anger års- och förnyelsekostnad för att undvika överraskningar.
• Geografisk täckning: Leverantören måste garantera representation i alla EU-länder där du säljer dina produkter.
• Certifiering och verifiering: Ett elektroniskt signerat och offentligt verifierbart mandat är en garanti för seriositet.
• Rapporteringskanal aktiv 24/7: Tjänsten ska vara tillgänglig alla timmar på året, inklusive helger och helgdagar.
• Tydlighet kring undantag: Ingen av de inkluderade leverantörerna erbjuder i grundpriset säkerhetstester, SBOM eller tekniskt stöd: mandatet täcker endast vidarebefordran av rapporter.

Detaljerad jämförelse:

Praktiskt råd: fråga alltid i förväg vad som ingår, om det finns kostnader per rapport och hur förnyelse sker. Föredra leverantörer som tillhandahåller ett offentligt verifierbart certifikat och tydligt anger sin juridiska enhet och geografiska täckning.

Vad priset egentligen inkluderar: praktiska detaljer

Det pris som leverantörerna anger täcker enbart mandatet för representation vid sårbarhetsrapportering enligt Art. 18 CRA. Det innebär att representanten:

• Mottar och vidarebefordrar rapporter om sårbarheter eller säkerhetsincidenter till behöriga myndigheter (CSIRT/ENISA) via den officiella plattformen.
• Fungerar som kontaktpunkt för europeiska tillsynsmyndigheter vid förfrågningar eller klargöranden.
• Tillhandahåller ett signerat och certifierat mandat, ofta med QR-kod för offentlig verifiering.
• Garanti för en rapporteringskanal aktiv 24/7 (minst för REP27, enligt deras officiella sidor).

Ingår inte i grundpriset:

• Säkerhetstester eller sårbarhetsbedömningar
• Generering av Software Bill of Materials (SBOM)
• Tekniskt, juridiskt eller operativt stöd vid upprättande av rapporter
• Krishantering eller kommunikation till slutanvändare (utom vidarebefordran av rapporten)

Exempelvis specificerar REP27 att "conformity assessment belongs to notified bodies, testing to security firms, SBOM generation to your build pipeline and reporting to your security team". Mandatet täcker endast överföring och mottagande av myndighetsförfrågningar. Inga extra avgifter anges per enskild rapport och inga dolda merförsäljningar.

Råd: säkerställ att du internt har kompetens att förbereda rapporterna och svara på eventuella fördjupningsförfrågningar från myndigheter.

Dolda kostnader, tjänstens begränsningar och praktiska risker

Kostnaden för mandatet är bara en del av budgeten för att uppfylla Cyber Resilience Act. Dolda kostnader och tjänstens begränsningar förbises ofta:

• Intern förberedelse: Insamling av information, upprättande av rapporter och kommunikation med representanten ligger på tillverkaren.
• Revision och bedömningar: Vid myndighetsförfrågningar kan externa revisioner eller tekniska bedömningar krävas, vilket inte täcks av mandatet.
• Tekniskt och juridiskt stöd: Representanten erbjuder inte rådgivning utöver rapportering; sådan konsultation tillkommer separat.
• Begränsat ansvar: Ingen av leverantörerna tar ansvar för fel i kundens innehåll eller utelämnanden i rapporteringen.
• Förnyelse och byte: Kontrollera alltid förnyelsevillkor och eventuella avgifter vid byte av leverantör: REP27 publicerar priser för byte och förnyelse, andra gör det inte.

Praktiska risker:

• Om interna processer inte är redo ökar risken för att tidsfrister inte hålls.
• Underlåtenhet att rapportera eller försenad rapportering kan leda till höga administrativa böter och försäljningsstopp inom EU.

Råd: betrakta mandatet som en "processförsäkring", inte en teknisk lösning. Effektiv efterlevnad beror på din interna organisation.

Hur nomineringen fungerar: steg för steg och checklista

Nomineringen av CRA-representanten följer en tydlig operativ modell. Här är praktiska steg och en checklista:

1. Kontrollera om du säljer digitala produkter inom EU: Om ja, verifiera om du är tillverkare (inte bara distributör/importör).
2. Välj leverantör: Jämför priser, vad som ingår och inte, samt kontraktstransparens.
3. Beställ tjänsten online: Fyll i beställningsformulär och ta emot mandatet enligt Art. 18.
4. Signera och arkivera mandatet: Mandatet ska undertecknas av båda parter och sparas för eventuella kontroller.
5. Lägg in representantens uppgifter i företagets dokumentation: Uppdatera runbooks, interna policies och compliance-dokument.
6. Förbered intern rapporteringsprocedur: Definiera vem som kan rapportera sårbarheter, hur bevis samlas in och hur rapportmallar fylls i (early warning, anmälan, slutrapport).
7. Nominera minst två submitters: Säkerställ att minst två personer har tillgång till ENISA-plattformen för att undvika blockering vid frånvaro.
8. Dokumentera alla steg: Följ upp vem, när och hur varje rapport gjorts. Detta är avgörande vid revision.

Operativ checklista:

1. Verifiera din roll (tillverkare, importör, distributör)
2. Välj och nominera representant
3. Förbered intern rapporteringsprocedur
4. Nominera submitters och uppdatera dokumentation
5. Förifyll rapportmallar
6. Dokumentera varje rapport och kommunikation

Råd: tydliga processer är det verkliga mervärdet i representationstjänsten.

Beslutsmatris: vem behöver tjänsten?

Inte alla företag behöver mandat för sårbarhetsrapportering. Här är en beslutsmatris baserad på verkliga fall:

Råd: Om du endast är distributör eller importör och inte släpper ut produkten på marknaden i eget namn, behöver du inte nominera representant. Om du är icke-EU-tillverkare är nominering avgörande för att undvika böter.

Vad leverantörerna inte säger (men du bör veta)

Många leverantörer publicerar inte viktiga detaljer som kan påverka din efterlevnad och verkliga kostnader:

• Undantag: Ingen av de inkluderade leverantörerna erbjuder säkerhetstester, SBOM eller tekniska utvärderingar i grundpriset. Mandatet täcker endast vidarebefordran av rapporter.
• Ansvar: Ansvar för korrekthet och punktlighet i rapporterna ligger alltid hos tillverkaren. Representanten kontrollerar eller ändrar inte innehållet.
• Förnyelse och byte: Vissa leverantörer publicerar inte förnyelsepris eller villkor för byte av representant. REP27 gör det tydligt, andra inte.
• Språk och tillgänglighet: Kontrollera att leverantören verkligen är aktiv 24/7 och kan hantera förfrågningar på flera språk vid behov.
• Tjänstebegränsningar: Representanten hanterar inte kommunikation till slutanvändare, krishantering eller juridisk rådgivning.

Råd: begär alltid en skriftlig lista över undantag och ansvarsbegränsningar innan du skriver under.

Praktiska scenarier: tre verkliga fall och enklaste vägen

• Amerikansk SaaS som säljer i EU: Måste nominera en CRA-representant, förbereda rapporteringsprocedur och inkludera representanten i officiella dokument. Vid utnyttjad sårbarhet skickas rapporten till representanten som vidarebefordrar till ENISA/CSIRT. Enkelt är att välja leverantör med 24/7-kanal och verifierbart mandat.
• Kinesisk säljare på Amazon: Om denne är tillverkare av den digitala produkten gäller rapporteringsskyldighet och nominering; om endast distributör gäller det inte. Enkelt är att klargöra kontraktsrollen och vid behov anlita erfaren leverantör inom e-handel.
• Onlinebutik i Storbritannien: Om digitala produkter säljs till EU-kunder måste representant nomineras och rapporteringsprocedur följas; om endast försäljning i UK gäller inget krav. Enkelt är att bedöma om EU-försäljningen motiverar kostnaden för efterlevnad.

I alla fall är intern förberedelse och tydliga processer avgörande för att möta deadlines och minska risken för böter.