Pris for 24-timers sårbarhedsrapportering for ikke-EU producenter (CRA 2026)

• Krav gældende fra 11. september 2026 for alle producenter af digitale produkter solgt i EU
• REP27 tilbyder service til €490/år, fornyelse €440, pris offentliggjort
• Kadano: €999/år, Euverify: £590/år (ca. €690), priser offentliggjort
• Servicen dækker kun overførsel af rapportering, ikke test eller tekniske vurderinger
• Manglende overholdelse kan medføre bøder op til €15 millioner eller 2,5% af global omsætning
• Gælder ikke for importører, distributører eller dem, der kun sælger uden for EU

Opdateret 22 October 2026 · 7 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 22 October 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Lovkrav: Artikel 14 CRA

Artikel 14 i Cyber Resilience Act (EU-forordning 2024/2847) indfører et meget stramt rapporteringskrav for alle producenter af digitale produkter solgt i EU, uanset hvor de er baseret. Fra 11. september 2026 skal enhver producent rapportere en aktivt udnyttet sårbarhed eller en alvorlig sikkerhedshændelse, der påvirker produktet, inden for 24 timer efter kendskab. Rapporteringen sker via ENISAs fælles platform og sendes til CSIRT i den relevante EU-medlemsstat.

• Rapporteringen består af tre faser: early warning (inden for 24 timer), detaljeret anmeldelse (inden for 72 timer), slutrapport (inden for 14 dage).
• Rapportering er også obligatorisk for ikke-EU producenter, der sælger direkte eller via markedspladser til EU-kunder.
• Der kræves ikke sikkerhedstest eller tekniske vurderinger fra repræsentanten; hans rolle er at videresende rapporterne og fungere som kontaktpunkt.
• Kravet gælder også for hændelser, der påvirker produktsikkerheden, ikke kun for allerede udnyttede sårbarheder.

Manglende eller forsinket rapportering kan medføre bøder op til €15 millioner eller 2,5% af den globale årlige omsætning, alt efter hvad der er højest. Reglerne gælder for alle, der bringer digitale produkter på EU-markedet, inklusiv software, hardware, IoT-enheder, SaaS og mere.

Kilder: NIS2.gov.ie, Licentium

Sådan vælger du udbyder: praktiske kriterier og sammenligning

Valg af den rette udbyder til sårbarhedsrapportering ifølge CRA kræver opmærksomhed på flere praktiske aspekter ud over prisen. Her er de vigtigste kriterier:

• Offentlig og gennemsigtig pris: Vælg udbydere, der klart angiver årlige og fornyelsespriser for at undgå overraskelser.
• Geografisk dækning: Udbyderen skal kunne repræsentere dig i alle EU-lande, hvor du sælger dine produkter.
• Certificering og verifikation: Et elektronisk underskrevet og offentligt verificerbart mandat er et kvalitetsstempel.
• 24/7 rapporteringskanal: Servicen skal være tilgængelig hele året, inklusive weekender og helligdage.
• Klarhed om eksklusioner: Ingen af de inkluderede udbydere tilbyder i basisprisen sikkerhedstest, SBOM eller teknisk support; mandatet dækker kun rapportoverførsel.

Detaljeret sammenligning:

Praktisk råd: Spørg altid på forhånd, hvad der er inkluderet, om der er gebyrer per rapport, og hvordan fornyelse foregår. Foretræk udbydere, der leverer et offentligt verificerbart certifikat og klart angiver deres juridiske enhed og geografiske dækning.

Hvad prisen faktisk inkluderer: praktiske detaljer

Den offentliggjorte pris dækker udelukkende repræsentantmandatet for sårbarhedsrapportering ifølge Art. 18 CRA. Det betyder, at repræsentanten:

• Modtager og videresender sårbarheds- eller sikkerhedshændelsesrapporter til relevante myndigheder (CSIRT/ENISA) via den officielle platform.
• Fungerer som kontaktpunkt for europæiske tilsynsmyndigheder ved forespørgsler eller afklaringer.
• Leverer et underskrevet og certificeret mandat, ofte med QR-kode til offentlig verifikation.
• Sikrer en 24/7 aktiv rapporteringskanal (mindst for REP27, ifølge deres officielle sider).

Følgende er ikke inkluderet i basisprisen:

• Sikkerhedstest eller sårbarhedsvurdering
• Generering af Software Bill of Materials (SBOM)
• Teknisk, juridisk eller operationel support ved udarbejdelse af rapporter
• Krisestyring eller kommunikation til slutbrugere (udover videresendelse af rapporten)

For eksempel præciserer REP27, at "conformity assessment belongs to notified bodies, testing to security firms, SBOM generation to your build pipeline and reporting to your security team". Mandatet dækker kun overførsel og modtagelse af myndighedsanmodninger. Ingen ekstra gebyrer for hver enkelt rapport, ingen skjulte opgraderinger.

Råd: Sørg for, at du internt har kompetencer til at forberede rapporterne og besvare myndighedernes eventuelle opfølgende spørgsmål.

Skjulte omkostninger, servicebegrænsninger og praktiske risici

Prisen for repræsentantmandatet er kun en del af budgettet for at overholde Cyber Resilience Act. Skjulte omkostninger og servicebegrænsninger overses ofte:

• Intern forberedelse: Indsamling af information, udarbejdelse af rapporter og kommunikation med repræsentanten er producentens ansvar.
• Revision og vurdering: Ved myndighedsanmodning kan du skulle betale for eksterne revisioner eller tekniske vurderinger, som ikke dækkes af mandatet.
• Teknisk og juridisk support: Repræsentanten yder ikke teknisk eller juridisk rådgivning ud over rapportoverførsel; sådanne ydelser er ekstra.
• Begrænset ansvar: Ingen af de inkluderede udbydere påtager sig ansvar for fejl i kundens indhold eller udeladelser i rapporteringen.
• Fornyelse og skift: Tjek altid fornyelsesbetingelser og eventuelle gebyrer ved udbyderskift: REP27 offentliggør priser for skift og fornyelse, andre gør ikke.

Praktiske risici:

• Hvis interne procedurer ikke er klar, er risikoen for manglende overholdelse af tidsfrister høj.
• Manglende eller forsinket rapportering kan føre til store administrative bøder og salgsstop i EU.

Råd: Betragt mandatet som en "procesforsikring", ikke en teknisk løsning. Effektiv compliance afhænger af din interne organisation.

Sådan fungerer udpegningen: trin-for-trin og tjekliste

Udpegning af CRA-repræsentant følger en klar operationel skabelon. Her er de praktiske trin og en tjekliste:

1. Bekræft om du sælger digitale produkter i EU: Hvis ja, bekræft om du er producent (ikke kun distributør/importør).
2. Vælg udbyder: Sammenlign priser, inklusioner, eksklusioner og kontraktgennemsigtighed.
3. Bestil service online: Udfyld anmodningsformular og modtag mandat for repræsentation ifølge Art. 18.
4. Underskriv og arkiver mandat: Mandatet skal underskrives af begge parter og opbevares til eventuel kontrol.
5. Indsæt repræsentantoplysninger i virksomhedens dokumentation: Opdater runbooks, interne politikker og compliance-dokumenter.
6. Forbered intern rapporteringsprocedure: Definér hvem der kan erklære en sårbarhed, hvordan beviser indsamles, og hvordan rapportskabeloner udfyldes (early warning, anmeldelse, slutrapport).
7. Udpeg mindst to submittere: Sørg for, at mindst to personer har adgang til ENISA-platformen for at undgå blokering ved fravær.
8. Registrer alle trin: Dokumentér hvem, hvornår og hvordan hver rapport er foretaget. Dette er afgørende ved audit.

Operationel tjekliste:

1. Bekræft din rolle (producent, importør, distributør)
2. Vælg og udpeg repræsentant
3. Forbered intern rapporteringsprocedure
4. Udpeg submittere og opdater dokumentation
5. Forudfyld rapportskabeloner
6. Registrer hver rapport og kommunikation

Råd: Klarhed i procedurer er den reelle merværdi ved repræsentationsservice.

Beslutningsmatrix: hvem har brug for servicen?

Ikke alle virksomheder har brug for repræsentantmandat til sårbarhedsrapportering. Her er en beslutningsmatrix baseret på virkelige tilfælde:

Råd: Hvis du kun er distributør eller importør og ikke bringer produktet på markedet i eget navn, er der ikke krav om udpegning. Hvis du er ikke-EU producent, er udpegning afgørende for at undgå bøder.

Hvad udbydere ikke fortæller (men du bør vide)

Mange udbydere offentliggør ikke vigtige detaljer, som kan påvirke din compliance og de reelle omkostninger:

• Eksklusioner: Ingen inkluderede udbydere tilbyder sikkerhedstest, SBOM eller tekniske vurderinger i basisprisen. Mandatet dækker kun rapportoverførsel.
• Ansvar: Ansvar for korrekthed og rettidig rapportering ligger altid hos producenten. Repræsentanten verificerer eller ændrer ikke modtaget indhold.
• Fornyelse og skift: Nogle udbydere offentliggør ikke fornyelsespriser eller betingelser for udbyderskift. REP27 gør begge dele.
• Sprog og tilgængelighed: Tjek at udbyderen virkelig er aktiv 24/7 og kan håndtere forespørgsler på flere sprog, hvis nødvendigt.
• Servicebegrænsninger: Repræsentanten håndterer ikke kommunikation til slutbrugere, krisestyring eller juridisk rådgivning.

Råd: Bed altid om en skriftlig liste over eksklusioner og ansvarsbegrænsninger før underskrift.

Praktiske scenarier: tre virkelige cases og nemmeste vej

• US SaaS, der sælger i EU: Skal udpege CRA-repræsentant, forberede rapporteringsprocedure og indsætte repræsentanten i officielle dokumenter. Ved sårbarhed sender de rapport til repræsentanten, som videresender til ENISA/CSIRT. Den nemmeste vej er at vælge en udbyder med 24/7 kanal og verificerbart mandat.
• Kinesisk sælger på Amazon: Hvis producent af det digitale produkt, er rapportering obligatorisk og repræsentant skal udpeges; hvis kun distributør, ikke. Den nemmeste vej er at afklare kontraktrolle og evt. bruge udbyder med e-handelserfaring.
• Online shop UK: Hvis de sælger digitale produkter til EU-kunder, skal de udpege repræsentant og følge rapporteringsprocedure; kun salg i UK medfører ikke krav. Den nemmeste vej er at vurdere, om EU-salget berettiger compliance-omkostninger.

I alle tilfælde er intern forberedelse og klarhed i procedurer afgørende for at overholde deadlines og minimere bøderisiko.