Cyber Resilience Act 24-timers sårbarhedsrapportering: Udbydere & priser (2026)

• CRA Artikel 14 kræver 24-timers rapportering af udnyttede sårbarheder til ENISA.
• Producenter uden for EU skal udpege en EU-baseret autoriseret repræsentant til rapportering.
• REP27 — Europe Services, SE opkræver €490/år for Artikel 18 mandatet.
• Konkurrentpriser: kadano (€999/år), Euverify (£590/år), andre efter forespørgsel.
• Juridisk rådgivning, SBOM-generering og overensstemmelsesvurdering er ikke inkluderet hos REP27.
• Ikke påkrævet for importører, distributører eller produkter placeret før 11. september 2026.

Opdateret 17 October 2026 · 8 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 17 October 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Hvad loven kræver: CRA Artikel 14 & 18

Cyber Resilience Act (CRA) indfører et strengt regime for producenter, der placerer produkter med digitale elementer på EU-markedet. Artikel 1 definerer omfanget: hardware og software med digitale elementer, inklusive tilsluttede enheder, firmware og apps, er omfattet. Artikel 10 fastsætter væsentlige krav til cybersikkerhedsforanstaltninger gennem produktets livscyklus, mens Artikel 11 beskriver producenternes forpligtelser som risikovurdering, håndtering af sårbarheder og overensstemmelsesvurdering.

Artikel 14 er central: den kræver, at producenter rapporterer enhver aktivt udnyttet sårbarhed eller alvorlig hændelse, der påvirker produktsikkerheden til ENISA via den fælles rapporteringsplatform inden for 24 timer efter opdagelse. Pligten udløses ved troværdige beviser for udnyttelse eller en væsentlig sikkerhedshændelse, ikke blot ved opdagelse af en sårbarhed. 24-timers fristen tælles i kalendertimer, inklusive nætter, weekender og helligdage.

For producenter etableret uden for EU kræver Artikel 18 udpegning af en autoriseret repræsentant etableret i EU. Denne repræsentant er ansvarlig for håndtering af 24-timers rapporteringsprocessen og fungerer som officiel kontaktpunkt for EU-myndigheder. Importører og distributører har egne forpligtelser under Artikel 12, men den primære rapporteringspligt ligger hos producenten eller deres autoriserede repræsentant.

Produkter placeret på EU-markedet før 11. september 2026 er undtaget fra 24-timers rapporteringskravet, men skal overholde andre CRA-bestemmelser. Manglende overholdelse kan medføre bøder på op til €15 millioner eller 2,5 % af global årlig omsætning, alt efter hvad der er højest. Loven er klar: hvis du er en ikke-EU-producent, der sælger digitale produkter i EU efter denne dato, skal du have en autoriseret repræsentant klar til at handle inden for 24 timer ved enhver kvalificerende hændelse.

Sådan vælger du en CRA autoriseret repræsentant

Valget af den rette autoriserede repræsentant er afgørende for overholdelse og operationel effektivitet. Start med at verificere udbyderens juridiske enhed, etablering i EU og track record. For eksempel er REP27 — Europe Services, SE etableret i Prag, Tjekkiet, og har været aktiv siden 2018 med mandater underskrevet for virksomheder i 24 lande.

Vigtige udvælgelseskriterier inkluderer:

• Gennemsigtig prisfastsættelse: Søg efter klare, offentliggjorte priser og fornyelsesbetingelser. REP27 offentliggør både førsteårs- og fornyelsespriser. Nogle udbydere, som kadano og Euverify, offentliggør også priser, mens andre kræver tilbud.
• Mandatets omfang: Sørg for at mandatet er begrænset til Artikel 18 opgaver. For brede mandater kan hævde at dække Artikel 13 forpligtelser, hvilket Artikel 18(2) forbyder. REP27 begrænser eksplicit sit mandat til Artikel 18 rapportering.
• Tilgængelighed: Rapporteringens desk bør være bemandet 24/7, inklusive weekender og helligdage. REP27 garanterer kontinuerlig dækning, mens detaljer for andre udbydere kan kræve bekræftelse.
• Certifikatverifikation: Et verificerbart certifikat (som REP27's QR-kode og offentlig verifikation) giver bevis for udpegning og kan kontrolleres af myndigheder eller kunder.
• Undtagelser: Afklar hvad der ikke er inkluderet, såsom juridisk rådgivning, SBOM-generering eller teknisk testning. REP27 lister alle undtagelser klart; mange konkurrenter gør ikke.

Samlede tjenester (fx teknisk scanning, SBOM-generering) kan være nyttige, hvis du mangler interne ressourcer, men tjek altid for skjulte omkostninger, uklare fornyelsespriser eller vage tjenestebeskrivelser. Bed om processen skriftligt, inklusive hvordan anmodninger håndteres, på hvilke sprog og i hvilke tidsrum.

Endelig skal du sikre, at udbyderens mandat kan verificeres, og at deres proces for videresendelse af myndighedsanmodninger er hurtig og dokumenteret. Dette er ikke blot en overholdelsesboks – forsinkelser eller misforståelser kan have juridiske og kommercielle konsekvenser.

Hvad prisen virkelig inkluderer: Udbydersammenligning

At forstå hvad der er inkluderet i den offentliggjorte pris er essentielt for at undgå overraskelser. Nedenfor er en detaljeret sammenligning af hvad hver udbyder tilbyder, baseret på tilgængelige data:

REP27's pris (€490/år, €440 ved fornyelse) gælder kun for Artikel 18 mandatet med klare undtagelser. Kadano og Euverify offentliggør priser, men specificerer ikke offentligt inklusioner eller undtagelser. Udbydere som ResilienceWP og Seentrix tilbyder yderligere tekniske tjenester (SBOM, scanning, dokumentation), men priser og omfang fås kun efter forespørgsel.

Bed altid om en detaljeret tjenestebeskrivelse og bekræftelse af fornyelsespriser før underskrift. Den dyreste fejl er at antage, at teknisk overholdelse eller juridisk rådgivning er inkluderet, når det ikke er tilfældet.

Skjulte omkostninger & hvad udbydere ofte ikke siger

Selvom overskriftsprisen er vigtig, kan skjulte omkostninger og undtagelser have stor indflydelse på dit overholdelsesbudget og operationelle risiko. Her er hvad udbydere ofte ikke oplyser upfront:

• Undtagelser: REP27 er eksplicit: ingen juridisk rådgivning, DPO-tjenester, tekniske compliancevurderinger, SBOM-generering eller testning er inkluderet. Mange konkurrenter offentliggør ikke sådanne undtagelser, så spørg altid. Teknisk compliance (SBOM, overensstemmelsesvurdering, engineering) er aldrig inkluderet i et rent repræsentantmandat og skal budgetteres separat.
• Fornyelsespriser: Nogle udbydere tilbyder lav pris første år, men offentliggør ikke fornyelsespriser. REP27 offentliggør begge dele. Få altid fornyelsesbetingelser skriftligt for at undgå uventede prisstigninger.
• Gebyrer pr. anmodning: Nogle repræsentanter kan opkræve ekstra for hver myndigheds- eller registreredes anmodning eller for hastesager. REP27 angiver ingen sådanne gebyrer, men det gælder ikke altid andre steder. Afklar før underskrift.
• Opsigelsesvarsler og ophør: Processen for at afslutte mandatet eller skifte udbyder er sjældent detaljeret. Spørg om opsigelsesvarsler og eventuelle gebyrer.
• Ansvarsbegrænsninger: De fleste repræsentanter begrænser deres ansvar for manglende overholdelse af deadlines eller forkerte indberetninger. Disse begrænsninger er ikke altid offentligt oplyst.
• Samlede tjenester: Udbydere med tekniske tjenester (fx SBOM, scanning) kan opkræve betydelige ekstra gebyrer eller kræve langfristede kontrakter. Bekræft omfang og priser skriftligt.

Sammenfattende inkluderer de reelle omkostninger ved overholdelse ikke kun repræsentantens gebyr, men også dine interne engineering-, tekniske compliance- og omkostninger til at opretholde en 24/7 hændelsesresponsproces. Bed altid om fuld opdeling og skriftlig bekræftelse af alle vilkår før forpligtelse.

Sådan fungerer udpegning: Trin for trin

Udpegning af en CRA autoriseret repræsentant er en proces, der kræver omhyggelig planlægning og dokumentation. Her er en praktisk trin-for-trin guide baseret på bedste praksis og lovkrav:

1. Vurder anvendelighed: Bekræft at dit produkt er et digitalt element (hardware/software) placeret på EU-markedet efter 11. september 2026. Hvis ja, gælder CRA 24-timers rapporteringskravet.
2. Vælg en udbyder: Sammenlign udbydere baseret på offentliggjort pris, omfang, undtagelser og omdømme. Anmod om alle vilkår og fornyelsespriser skriftligt.
3. Kontrakt og mandat: Underskriv et skriftligt mandat med din valgte autoriserede repræsentant. REP27 udsteder et underskrevet Artikel 18 mandat og verificerbart certifikat inden for 24 timer. Sørg for at den juridiske enhed er etableret i EU og registreret i erhvervsregistret.
4. Opdater dokumentation: Registrer repræsentantens oplysninger i din compliance runbook. Forbered en klar rapporteringsproces, inklusive hvem der kan erklære en hændelse og hvordan beviser dokumenteres.
5. Intern forberedelse: Navngiv mindst to medarbejdere som indsendere til ENISA-platformen, helst i forskellige tidszoner. Forudskriv tidlige advarselsskabeloner og tildel ansvar for 72-timers notifikation og brugerkommunikation.
6. Hændelsesrespons: Når en kvalificerende sårbarhed eller hændelse opdages, underret din repræsentant straks. Repræsentanten indberetter den tidlige advarsel til ENISA/CSIRT inden for 24 timer, og følger op med 72-timers notifikation og endelig rapport.
7. Dokumentation: Før detaljerede logfiler over opmærksomhed, indsendelsestidspunkter og kommunikation. Dette er kritisk, hvis din overholdelse nogensinde bliver efterspurgt af myndigheder.
8. Løbende gennemgang: Gennemgå regelmæssigt dine processer og opdater kontaktoplysninger, skabeloner og ansvar efter behov.

Denne proces sikrer, at du overholder CRA’s strenge deadlines og undgår sanktioner. Nøglen er forberedelse: definer udløsere, tildel roller og øv workflowet inden loven træder i kraft.

Risici, bøder og overholdelsesfrister

Cyber Resilience Act indfører betydelige juridiske og økonomiske risici ved manglende overholdelse. Artikel 15 beskriver håndhævelsesprocedurer og sanktioner. Den mest umiddelbare risiko er at overskride 24-timers fristen for rapportering af aktivt udnyttede sårbarheder eller alvorlige hændelser. Fristen starter, når du bliver opmærksom, ikke når undersøgelsen er færdig. Forsinkelser kan medføre bøder på op til €15 millioner eller 2,5 % af global omsætning, alt efter hvad der er højest.

Andre risici inkluderer:

• Forsinkelser i markedsadgang: Manglende udpegning af repræsentant eller manglende verificerbart certifikat kan forsinke produktlanceringer eller medføre indkøbsstop, især i virksomhedssalgscyklusser.
• Håndhævelsesaktioner: Myndigheder kan indlede undersøgelser, kræve dokumentation eller pålægge korrigerende foranstaltninger, hvis rapporteringspligter ikke overholdes.
• Omdømmeskade: Offentlige rapporteringsfejl kan skade dit brand og kundetillid.
• Flere rapporteringsregimer: En enkelt hændelse kan udløse rapportering under CRA, NIS2, GDPR og GPSR, hver med forskellige deadlines og myndigheder. Fx kan et ransomware-angreb, der udnytter dit produkt, kræve tre separate rapporter.

Overholdelsesfrister er strenge: 24-timers rapporteringskravet gælder fra 11. september 2026 for nye produkter. Legacy-produkter placeret før denne dato er undtaget 24-timers reglen, men skal overholde andre CRA-bestemmelser. Supportperioden for sikkerhedsopdateringer – mindst fem år – er en anden skjult omkostning, der skal planlægges og budgetteres som en produktlinje, ikke et enkeltstående projekt.

Sammenfattende er risiciene ved manglende overholdelse betydelige, og omkostningerne ved ikke at forberede sig er langt højere end udgiften til at udpege en kvalificeret repræsentant.

Beslutningsmatrix: Har du brug for en CRA autoriseret repræsentant?

Brug følgende matrix til at afgøre, om du har brug for en CRA autoriseret repræsentant:

Denne matrix dækker de fleste scenarier. Ved tvivl, konsulter din juridiske rådgiver eller kontakt en udbyder for afklaring. Husk, pligten ligger hos producenten eller den udpegede repræsentant, ikke importøren eller distributøren, medmindre de placerer produktet under eget navn.

Tjekliste: Trin til CRA 24-timers rapporteringsoverholdelse

1. Kortlæg dine produkter: List alle produkter med digitale elementer solgt i EU og deres lanceringsdatoer.
2. Vurder interne processer: Gennemgå hvordan sårbarheder opdages, eskaleres og dokumenteres i din organisation.
3. Vælg en repræsentant: Sammenlign udbydere, anmod om skriftlig bekræftelse af alle gebyrer, fornyelsespriser og tjenesteomfang.
4. Underskriv mandat: Få et underskrevet Artikel 18 mandat og verificerbart certifikat fra din valgte udbyder.
5. Opdater dokumentation: Tilføj repræsentantens oplysninger til din runbook og compliance dokumentation. Forbered tidlige advarsels- og notifikationsskabeloner.
6. Tildel rapporteringsroller: Navngiv mindst to indsendere til ENISA-platformen, helst i forskellige tidszoner.
7. Test workflow: Kør en tabletop-øvelse, der simulerer en udnyttet sårbarhed for at sikre, at alle kender deres ansvar og tidsfrister.
8. Træn dit team: Uddan medarbejdere i, hvad der udløser 24-timers fristen, og hvordan hændelser eskaleres.
9. Overvåg regulatoriske opdateringer: Hold dig orienteret om ændringer i CRA-krav eller rapporteringsplatforme inden september 2026.
10. Gennemgå og opdater regelmæssigt: Revider dine processer og dokumentation årligt eller efter større hændelser.

Følger du denne tjekliste, sikrer du, at du er forberedt på at opfylde CRA’s strenge rapporteringsforpligtelser og undgå dyre sanktioner.

Realistiske scenarier: Hvilken vej gælder?

• Amerikansk SaaS-virksomhed, der sælger til EU-virksomheder: Virksomheden er en ikke-EU producent, der placerer digitale produkter på EU-markedet. Den skal udpege en autoriseret repræsentant til Artikel 18 rapportering (fx REP27, kadano, Euverify). Det interne sikkerhedsteam opdager sårbarheder og underretter repræsentanten, som håndterer ENISA/CSIRT indberetninger inden for 24 timer. Ingen importør eller distributør er involveret, så pligten er direkte.
• Kinesisk Amazon-sælger, der sender IoT-enheder til EU-forbrugere: Hvis sælgeren er producent og etableret uden for EU, skal den udpege en autoriseret repræsentant. Hvis Amazon fungerer som importør af registreret vare, kan rapporteringspligten skifte til Amazon. Sælgeren bør afklare med platformen og, hvis påkrævet, udpege en repræsentant og opdatere produktdokumentation tilsvarende.
• Britisk onlinebutik, der sælger egne routere i EU: Som ikke-EU producent skal det britiske firma udpege en autoriseret repræsentant for 24-timers rapportering. Repræsentantens oplysninger skal inkluderes i compliance dokumentation, og interne processer skal være klar til hurtig eskalering af hændelser. Hvis butikken også fungerer som importør eller distributør under eget navn, kan yderligere forpligtelser gælde.

Disse scenarier viser vigtigheden af at kortlægge din forsyningskæde og afklare roller. Den enkleste compliant vej er at udpege en repræsentant, dokumentere processen og sikre, at dit team er trænet og klar til hurtig respons.