Producenters forpligtelser uden for EU ifølge Cyber Resilience Act

• Pligt til EU-repræsentant (Art. 18 CRA) for producenter uden for EU
• Rapportering af sårbarheder inden for 24 timer (Art. 14 CRA) via repræsentant
• REP27: CRA-mandat €490/år (offentlig pris, oktober 2026)
• Inkluderede tjenester og begrænsninger varierer mellem leverandører, tjek altid først
• Ikke inkluderet: overensstemmelsesvurdering, test, SBOM, teknisk rapportering
• Importører/distributører uden salg i eget navn har ikke pligt

Opdateret 21 October 2026 · 4 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 21 October 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Lovkrav: nøgleartikler i CRA

Cyber Resilience Act (CRA, EU-forordning 2024/2847) indfører strenge krav til producenter af produkter med digitale elementer, der ønsker at sælge i EU. Hvis producenten ikke har base i EU, skal der udpeges en autoriseret repræsentant i Unionen i henhold til artikel 18. Denne repræsentant fungerer som eneste kontaktpunkt for officiel kommunikation med de europæiske markedsovervågningsmyndigheder og håndterer modtagelse og videresendelse af formelle anmodninger.

Et andet vigtigt krav er rapportering af sårbarheder: artikel 14 i CRA pålægger producenten at underrette inden for 24 timer om enhver aktivt udnyttet sårbarhed eller alvorlig hændelse, der påvirker produktsikkerheden. Rapporteringen sker via ENISA-platformen og den koordinerende CSIRT, bestemt ud fra repræsentantens placering. Den autoriserede repræsentant er derfor afgørende for rettidig og korrekt kommunikation, især for virksomheder med forskellige tidszoner eller uden personale i Europa.

Vigtigt: kravet gælder kun producenter. Importører og distributører skal ikke udpege en CRA-repræsentant, medmindre de bringer produktet på markedet i eget navn. Også sælgere via markedspladser (Amazon, Etsy, eBay) skal vurdere, om de er producenter ifølge CRA-definitionen. Produkter, der allerede var på markedet før CRA's ikrafttræden, er stadig underlagt rapporteringskrav.

• Artikel 18 CRA: Udpegning af EU-repræsentant for producenter uden for EU
• Artikel 14 CRA: Rapportering af sårbarheder inden for 24 timer
• Undtagelser: Importører/distributører uden salg i eget navn

Valg af CRA-repræsentant: kriterier, sammenligning og centrale spørgsmål

Valget af CRA-repræsentant er en strategisk beslutning, der påvirker overholdelse, responshastighed ved hændelser og omkostningstransparens. De vigtigste kriterier er:

• Offentlig pris og klarhed om fornyelse: Kun nogle leverandører (fx REP27) offentliggør gennemsigtige priser og fornyelsesbetingelser; andre kræver direkte kontakt for detaljer.
• Inkluderede tjenester: Tjek altid, hvad mandatet omfatter: modtagelse og videresendelse af anmodninger, verificerbart certifikat, støtte til rapportering, 24/7 aktiv desk.
• Udtrykkelige undtagelser: Ingen repræsentant kan tilbyde overensstemmelsesvurdering, sikkerhedstest, SBOM eller teknisk rapportering – disse er producentens ansvar.
• Mandatverifikation: Foretræk leverandører, der tilbyder certifikat med QR-kode og offentlig verifikationsside.
• Spørgsmål at stille: Hvem underskriver mandatet? Hvad er processen ved myndighedsanmodninger? Hvilke sprog besvares henvendelser på? Hvad koster fornyelse og eventuelle ekstra gebyrer?

Her er en sammenligningstabel over de oplyste tjenester:

Gennemsigtighed om inklusioner, undtagelser og priser er et tegn på pålidelighed: vær varsom med leverandører, der ikke klart angiver deres tilbud.

Hvad prisen faktisk inkluderer: gennemsigtighed, begrænsninger og praktisk sammenligning

Mandatet for CRA-repræsentanten dækker udelukkende den juridiske repræsentation og håndtering af kommunikation med de europæiske myndigheder. REP27's offentliggjorte pris (€490/år, €440 ved fornyelse) inkluderer:

• Skrevet mandat i henhold til Art. 18 CRA, elektronisk underskrevet
• Verificerbart certifikat med QR-kode og offentlig side
• Modtagelse og videresendelse af alle anmodninger fra markedsovervågningsmyndigheder
• Håndtering af sårbarhedsrapportering i henhold til CRA-frister

Ikke inkluderet er:

• Produktets overensstemmelsesvurdering (ansvar for notificerede organer, ikke repræsentanten)
• Sikkerhedstest eller generering af SBOM
• Udarbejdelse eller afsendelse af tekniske rapporter
• Operationel support eller teknisk rådgivning

De fleste leverandører offentliggør ikke detaljer om inkluderede tjenester: kadano (€999/år) og Euverify (£590/år) specificerer ikke, hvad der er inkluderet eller udelukket. Det er vigtigt altid at bede om en detaljeret tjenesteliste før underskrift.

Vær også opmærksom på automatiske fornyelser og faktureringspolitikker: REP27 garanterer kun én årlig faktura og offentliggør fornyelsesprisen på forhånd.

Skjulte omkostninger og risici: hvad der virkelig skal vurderes for CRA-overholdelse

Omkostningen til repræsentantmandatet er kun en lille del af CRA-overholdelsen. De vigtigste, ofte skjulte eller undervurderede omkostninger er:

• Overensstemmelsesvurdering: For produkter i væsentlige eller kritiske klasser er involvering af et notificeret organ obligatorisk, med omkostninger der kan overstige repræsentantens pris betydeligt.
• Teknisk support og opdateringer: Producenten skal sikre mindst fem års sikkerhedsopdateringer med dedikerede ressourcer.
• Hændelseshåndtering og rapportering: Manglende rettidig rapportering af sårbarheder kan medføre sanktioner, markedsføringsstop og omdømmeskade.
• Fornyelser og ekstra omkostninger: Nogle leverandører opkræver ekstra gebyrer for anmodninger uden for normal arbejdstid, ekstra sprog eller håndtering af komplekse hændelser. REP27 oplyser ingen ekstra gebyrer, men andre leverandører specificerer ikke dette.

Den største operationelle risiko er manglende 24/7 tilgængelighed: repræsentantens desk skal altid være tilgængelig, også om natten og på helligdage, for at overholde 24-timers fristen.

Sammenfattende kræver CRA-overholdelse planlægning, interne ressourcer og et bevidst valg af repræsentant – ikke kun det laveste prisudbud.

Sådan foregår udpegningen: operationelle trin og bedste praksis

Udpegningen af CRA-repræsentanten følger en klar proces, afgørende for overholdelse og hurtig håndtering af myndighedsanmodninger:

1. Vurder behovet: Er du producent uden for EU, der sælger digitale produkter i Unionen? Hvis ja, fortsæt.
2. Vælg leverandør: Undersøg offentliggjorte priser, inkluderede tjenester, mandatverifikation og 24/7 desk-tilgængelighed.
3. Anmod om tjenesten: Udfyld anmodningsformularen på den valgte leverandørs hjemmeside.
4. Underskriv mandatet: Modtag og underskriv det skriftlige mandat i henhold til Art. 18 CRA, helst med anerkendt elektronisk signatur (fx eIDAS).
5. Modtag certifikat: Få det verificerbare certifikat (QR-kode, offentlig side) og indarbejd det i teknisk dokumentation.
6. Opdater interne procedurer: Indfør repræsentantens oplysninger i sikkerhedspolitikker, incident response runbooks og teknisk dokumentation.
7. Forbered rapportering: Forudfyld skabeloner til sårbarhedsrapportering (early warning, 72-timers notifikation, slutrapport) og udpeg mindst to submittere med adgang til ENISA-platformen.
8. Sikre tilgængelighed: Sørg for, at repræsentanten er tilgængelig 24/7 for at videresende rapporter inden for fristerne.

Bedste praksis: bed altid leverandøren om en simuleret rapportering før underskrift for at vurdere svartider og procedureklarhed.

Tjekliste for CRA-overholdelse (producenter uden for EU)

1. Bekræft om du sælger digitale produkter i EU
2. Klassificer produktet efter CRA (standard, væsentlig I/II, kritisk)
3. Udpeg en EU-repræsentant med mandat i henhold til Art. 18
4. Forbered kanaler og procedurer til sårbarhedsrapportering 24/7
5. Dokumentér udpegningen i teknisk dokumentation og interne politikker
6. Udpeg mindst to submittere med adgang til ENISA-platformen
7. Forudfyld rapporteringsskabeloner (early warning, notifikation, slutrapport)
8. Afslut ressourcer til mindst 5 års sikkerhedsopdateringer
9. Kontrollér repræsentantens dækning i alle relevante EU-lande
10. Simulér en rapportering for at teste operationel beredskab

Hvad leverandører ofte ikke fortæller: undtagelser, begrænsninger og praktiske risici

• Mandatet dækker kun juridisk repræsentation: Ingen repræsentant kan tilbyde overensstemmelsesvurdering, sikkerhedstest, SBOM eller teknisk support i basisprisen.
• De væsentlige omkostninger er interne: CRA-overholdelse kræver engineering-ressourcer, support og opdateringer, som ikke er inkluderet i repræsentationstjenesten.
• Automatiske fornyelser og skjulte priser: Nogle leverandører oplyser ikke fornyelsespriser eller anvender ikke-gennemsigtige prisstigninger. REP27 offentliggør priser og fornyelser på forhånd.
• Desk er ikke altid aktiv: 24/7 tilgængelighed er ikke altid garanteret: spørg altid, hvordan rapportering uden for arbejdstid håndteres.
• Begrænset ansvar: Repræsentanten påtager sig ikke teknisk ansvar for produktet, kun for kommunikationsoverførsel.
• Gebyrer pr. anmodning: Nogle leverandører kan opkræve ekstra for komplekse anmodninger, ekstra sprog eller hændelseshåndtering uden for normal arbejdstid: tjek altid før underskrift.

Beslutningsmatrix: hvem skal udpege CRA-repræsentant

Denne matrix hjælper med hurtigt at afgøre udpegningspligten baseret på rolle og forretningsmodel.

Praktiske scenarier: tre virkelige eksempler og den nemmeste løsning

• USA SaaS: Et amerikansk firma tilbyder softwareplatform til EU-kunder. Skal udpege CRA-repræsentant, forberede sårbarhedsrapporteringskanaler og inkludere certifikat i teknisk dokumentation. Løsning: REP27 tilbyder mandat til €490/år, 24/7 desk, verificerbart certifikat.
• Kinesisk Amazon-sælger: Hvis sælger er producent af det digitale produkt, skal der udpeges CRA-repræsentant og forberedes rapportering. Hvis kun videresælger/importør, gælder pligten ikke. Løsning: vurder producentdefinition ifølge CRA og udpeg kun repræsentant om nødvendigt.
• Britisk butik: En britisk onlinebutik, der producerer og sælger digitale enheder i EU, skal udpege CRA-repræsentant og forberede rapporteringsprocedurer. Hvis kun importerer tredjepartsprodukter uden ændring eller mærkning, er der ingen pligt. Løsning: afklar rolle i forsyningskæden og vælg leverandør med offentliggjorte priser og aktiv desk.

I alle scenarier reducerer valg af en gennemsigtig leverandør risici og uventede omkostninger.