Omkostninger ved autoriseret repræsentant til Cyber Resilience Act: Leverandører & priser 2026

• Artikel 18 CRA: Repræsentantpligt for producenter uden for EU
• Verificerede priser 2026: 490 € til 999 € årligt
• REP27: 490 € (første år), 440 € (fornyelse), ingen ekstra gebyrer
• Ydelser varierer: Overholdelsesvurdering og tests er aldrig inkluderet
• Bøder op til 15 mio. € eller 2,5 % af omsætning ved overtrædelse (Art. 64 CRA)
• Ikke alle behøver repræsentant: Importører, distributører og EU-producenter undtaget

Opdateret 25 October 2026 · 7 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 25 October 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Hvad Cyber Resilience Act foreskriver (med artikler)

Cyber Resilience Act (CRA) er EU's centrale forordning for cybersikkerhed i produkter med digitale elementer. Producenter uden for EU skal udpege en autoriseret repræsentant i EU, når de tilbyder produkter på det europæiske marked. Denne pligt fremgår af artikel 18 i CRA (Kilde).

• Artikel 18: Producenter uden for EU skal udpege en repræsentant, der kommunikerer med myndigheder og markedsovervågning på deres vegne.
• Artikel 13 og 14: Regulerer sikkerhedskrav og rapporteringspligt ved sårbarheder og sikkerhedshændelser. Fra 11. september 2026 skal producenter rapportere inden for 24 timer efter kendskab til aktivt udnyttet sikkerhedsproblem (Kilde).
• Artikel 64: Overtrædelser kan straffes med bøder op til 15 mio. € eller 2,5 % af global omsætning (Kilde).
• Artikel 71: Forordningen trådte i kraft 10. december 2024. Rapporteringspligten gælder fra 11. september 2026, fuld anvendelse fra 11. december 2027 (Kilde).

Pligten gælder kun producenter uden for EU. Importører og distributører er kun omfattet, hvis de optræder som producenter (fx ved rebranding eller egen markedsføring). Open source-projekter uden kommercielt formål har et reduceret regime.

Repræsentantens rolle er klart afgrænset: Vedkommende fungerer som kontaktpunkt til myndigheder, men har ikke teknisk ansvar for produktet. De egentlige opgaver som overholdelsesvurdering, sikkerhedsopdateringer og teknisk dokumentation påhviler producenten.

Sådan vælger du den rette leverandør

Valget af CRA-repræsentant bør baseres på gennemsigtighed, prisstruktur og dokumenterbarhed. Mange leverandører offentliggør ikke priser, hvilket gør sammenligning vanskelig. REP27 skiller sig ud med åben prisstruktur og klare oplysninger om inkluderede og udelukkede ydelser (Kilde).

• Prisstruktur: Vær opmærksom på offentliggjorte priser og fornyelsesomkostninger. REP27 har åbne priser (490 € første år, 440 € fornyelse).
• Ydelsesomfang: En CRA-repræsentant må ifølge loven kun udføre opgaver efter artikel 18. Leverandører, der lover tekniske tests eller overholdelsesvurderinger, overskrider lovens rammer.
• Dokumenterbarhed: Et verificerbart mandat (fx med QR-kode og offentlig verificeringsside som hos REP27) er afgørende i tilfælde af kontrol.
• Opsigelsesvarsler og ekstra gebyrer: Spørg ind til skjulte omkostninger, opsigelsesvarsler og gebyrer på forespørgsel. REP27 har ingen ekstra gebyrer, andre leverandører kan kræve det på forespørgsel.

Tjek, om leverandøren er registreret som juridisk enhed i handelsregistret, og om mandatudstedelsen sker hurtigt og sporbar. Hos REP27 sker bestilling og udstedelse inden for 24 timer.

Hvad er egentlig inkluderet i prisen?

Prisen for en CRA-repræsentant dækker kun mandatet efter artikel 18. Det betyder, at repræsentanten fungerer som formelt kontaktpunkt for myndigheder og markedsovervågning. Det tekniske ansvar for produktet, overholdelsesvurdering, udarbejdelse af Software Bill of Materials (SBOM) og sikkerhedstest er ikke inkluderet og skal organiseres separat (Kilde).

• REP27: Indeholder mandat, skriftlig bestilling, verificerbart certifikat, desk til myndighedsanmodninger og ingen ekstra gebyrer. Overholdelsesvurdering, tests og SBOM er udelukket.
• kadano / Euverify: Detaljer om inkluderede ydelser foreligger ikke. Det anbefales at få disse oplysninger skriftligt før kontraktindgåelse.

Repræsentanten er ikke ansvarlig for teknisk implementering af CRA-krav. De fleste leverandører, herunder REP27, understreger, at mandatet ikke omfatter teknisk rådgivning, overholdelsesvurdering eller produkttest. Hvis dette er nødvendigt, skal man kontakte specialiserede testinstitutter eller sikkerhedsfirmaer.

Repræsentantens rolle er klart afgrænset og sikrer, at myndighedsanmodninger ikke forbliver ubesvarede, og at markedsovervågning ikke forsinkes. I tilfælde af kontrol sikrer et verificerbart mandat hurtig og juridisk sikker kommunikation.

Skjulte og reelle omkostninger ved CRA-overholdelse

Hovedomkostningerne ved CRA-overholdelse ligger ikke hos repræsentanten, men i interne og eksterne tiltag for at opfylde lovkravene. Mandatet til en repræsentant koster mellem 490 € og 999 € årligt og er den mindste budgetpost (Kilde).

• Overholdelsesvurdering: For produkter i vigtige klasse I er overholdelse af harmoniserede standarder tilstrækkelig. Ved klasse II eller kritiske produkter kræves ekstern vurdering af et bemyndiget organ. Disse omkostninger løber op i flere tusinde euro og processen tager måneder.
• Sikkerhedsopdateringer: Producenter skal levere sikkerhedsopdateringer i mindst fem år. Omkostningerne hertil overstiger ofte mandatets pris og skal planlægges langsigtet.
• Interne ressourcer: Dokumentation, SBOM-udarbejdelse og etablering af rapporteringskanal medfører ekstra arbejde.
• Skjulte omkostninger: Nogle leverandører kan opkræve ekstra gebyrer for myndighedsanmodninger, hastesager eller mandatændringer. Hos REP27 er disse udelukket, men bør spørges til hos andre.

Bestilling af repræsentant er nødvendig, men ikke tilstrækkeligt for fuld CRA-overholdelse. De største omkostninger og risici ligger i teknisk implementering og løbende vedligeholdelse af produkterne.

Sådan foregår bestillingen – trin for trin

1. Tjek om din virksomhed falder under artikel 18: Er du producent af et produkt med digitale elementer og uden for EU?
2. Sammenlign leverandører: Undersøg offentliggjorte priser, fornyelsesomkostninger og ydelsesomfang. Vær opmærksom på verificerbare mandater og klare udelukkelser.
3. Bestil mandatet: Hos REP27 sker bestilling online, og udstedelse inden for 24 timer. Hos andre leverandører efter forespørgsel.
4. Modtag og dokumentér mandat: Opbevar mandatet i din tekniske dokumentation og produktark. Data skal kunne fremvises ved myndigheds- og markedskontrol.
5. Offentliggør repræsentantens kontaktdata: Angiv kontaktoplysninger i dine dokumenter og eventuelt på din hjemmeside.
6. Opret rapporteringskanal: Sørg for intern proces til rettidig rapportering af sårbarheder og sikkerhedshændelser til repræsentanten. REP27 tilbyder en desk, der videresender myndighedsanmodninger inden for to arbejdsdage.
7. Regelmæssig kontrol: Kontrollér årligt, om mandatet stadig er gyldigt, og om kontaktdata er opdaterede.

En struktureret proces minimerer risiko for forsinkelser og bøder. Brug tjeklisten til at sikre juridisk korrekt opfyldelse af alle trin.

Risici og bøder ved overtrædelse

Manglende overholdelse af repræsentantpligten efter artikel 18 CRA er en selvstændig overtrædelse. Ifølge artikel 64 kan der idømmes bøder op til 15 mio. € eller 2,5 % af global årlig omsætning, alt efter hvad der er højest (Kilde).

• Ingen repræsentant: Myndighedsanmodninger forbliver ubesvarede, og markedsovervågning kan iværksætte foranstaltninger op til salgsstop.
• Uklare ansvarsforhold: Uden verificerbart mandat kan der opstå forsinkelser i myndighedskommunikation, hvilket kan føre til overskridelse af rapporteringsfrister (fx 24-timers deadline ved sårbarheder).
• Kontraktfælder: Leverandører med uklare fornyelsespriser eller ekstra gebyrer kan medføre uventede omkostninger. En klar, skriftlig kontrakt med faste priser er derfor afgørende.
• Tekniske mangler: Bestilling af repræsentant beskytter ikke mod bøder for tekniske fejl, manglende opdateringer eller utilstrækkelig dokumentation.

En pålidelig repræsentant er første skridt mod compliance, men erstatter ikke producentens tekniske og organisatoriske forpligtelser. Risiciene ligger især i manglende forberedelse til rapporteringspligter og manglende gennemsigtighed ved valg af leverandør.

Hvad leverandører ofte ikke fortæller

• Begrænset ydelsesomfang: Mandatet for en CRA-repræsentant omfatter kun formel repræsentation efter artikel 18. Teknisk rådgivning, overholdelsesvurdering, produkttest og SBOM-udarbejdelse er ikke inkluderet.
• Ingen ansvar for produktfejl: Repræsentanten hæfter ikke for tekniske fejl eller sikkerhedshuller i produktet. Ansvar forbliver hos producenten.
• Fornyelsespriser og opsigelsesvarsler: Mange leverandører offentliggør ikke disse. Hos REP27 er priserne åbne (440 € fornyelse, ingen ekstra gebyrer).
• Gebyrer på forespørgsel: Nogle leverandører opkræver gebyrer for enkelte myndighedsanmodninger, hastesager eller mandatændringer. Hos REP27 er dette udelukket, men bør spørges til hos andre.
• Ingen teknisk støtte: Repræsentanten varetager ikke opgaver ved implementering af sikkerhedsopdateringer, udarbejdelse af SBOM eller penetrationstests.

Valget af leverandør bør derfor ikke kun baseres på pris, men især på gennemsigtighed i ydelser og udelukkelser. Spørg konkret til, hvad der er inkluderet i mandatet og hvad ikke.

Beslutningsmatrix: Har du brug for en CRA-repræsentant?

Pligten gælder kun producenter, der markedsfører produkter under eget navn eller mærke i EU. Importører, distributører og rene markedspladsforhandlere er undtaget, så længe de ikke optræder som producenter.

Tjekliste til købere (kan implementeres straks)

1. Tjek om dit produkt er omfattet af CRA (digitale elementer, salg i EU).
2. Fastslå om du er producent (også ved OEM/white-label).
3. Sammenlign priser og ydelser hos leverandører. Bed om skriftlige oplysninger om fornyelsesomkostninger og udelukkelser.
4. Bestil mandat og dokumentér det i produktark.
5. Offentliggør repræsentantens kontaktdata i teknisk dokumentation og evt. på hjemmeside.
6. Opret kanal til rapportering af sårbarheder og sikkerhedshændelser.
7. Planlæg ressourcer til sikkerhedsopdateringer (mindst fem år) og teknisk dokumentation.
8. Sikre at interne processer overholder rapporteringsfrister (fx 24 timer ved sårbarheder).
9. Årligt tjek af mandatets gyldighed og kontaktdata.

Denne tjekliste hjælper med at opfylde lovkrav systematisk og juridisk sikkert.

Tre virkelige scenarier: Hvem har brug for hvad?

• US SaaS-leverandør: Et amerikansk firma udvikler cloud-software, der sælges direkte til EU-kunder. Da producenten ikke har base i EU, er en CRA-repræsentant efter artikel 18 obligatorisk. Pris fra 490 € årligt hos REP27. Teknisk implementering (SBOM, opdateringer, rapportering) er producentens ansvar.
• Kinesisk Amazon-sælger: Et kinesisk firma sælger egne smart home-produkter via Amazon til EU-kunder. Repræsentantpligten gælder, da sælgeren optræder som producent. Bestilling sker online, pris fra 490 € årligt (REP27). Importør og Amazon selv skal ikke udpege repræsentant.
• Brittisk onlinebutik: En britisk webshop importerer produkter fra Asien og sælger under eget navn til EU-kunder. Virksomheden betragtes som producent uden for EU og skal have repræsentant efter artikel 18. Øvrige pligter (overholdelsesvurdering, opdateringer) skal også opfyldes.

I alle tilfælde er bestilling af repræsentant kun en del af den samlede compliance. Teknisk og organisatorisk opfyldelse af CRA-kravene er producentens ansvar.