Jämförelse av leverantörer för sårbarhetsrapportering enligt Cyber Resilience Act (CRA)

• Sårbarhetsrapportering enligt CRA är obligatorisk från 11 september 2026
• Endast vissa leverantörer publicerar priser och vad som ingår
• Representation täcker överföring av rapporter, inte teknisk bedömning
• Jämför undantag, förnyelser och verifieringsprocesser
• Böter för utebliven rapportering kan uppgå till €15 miljoner eller 2,5% av omsättningen
• Representantmandatet täcker inte bedömning, SBOM eller tekniskt stöd

Uppdaterad 21 October 2026 · 12 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 21 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad lagen kräver: skyldigheter, artiklar och deadlines

Cyber Resilience Act (CRA), förordning (EU) 2024/2847, inför strikta krav för den som släpper ut produkter med digitala komponenter på EU-marknaden, både hårdvara och mjukvara, oavsett etableringsort. De viktigaste kraven är:

• Utnämning av auktoriserad representant (Art. 18): Om tillverkaren inte är etablerad inom EU måste denne skriftligen utse en representant inom unionen. Denna representant ansvarar för att vidarebefordra rapporter om sårbarheter och allvarliga incidenter till behöriga myndigheter (CSIRT, ENISA).
• Sårbarhetsrapportering (Art. 14): Från och med 11 september 2026 måste varje tillverkare rapportera inom 24 timmar efter att ha fått kännedom om en aktivt utnyttjad sårbarhet eller en allvarlig incident som påverkar produktsäkerheten. Rapporteringen sker via ENISA:s plattform och riktas till den koordinerande CSIRT.
• Fullständig anmälan och slutrapport: Inom 72 timmar från första rapporten ska en detaljerad anmälan med initiala korrigerande åtgärder lämnas. Inom 14–30 dagar ska en slutrapport med detaljer om sårbarheten och vidtagna lösningar skickas in.
• Tillämpning på alla digitala produkter: Kravet gäller både nya och redan marknadsförda produkter, inklusive hela livscykeln med uppdateringar och support.
• Påföljder: Underlåtenhet kan leda till böter upp till €15 miljoner eller 2,5 % av den globala omsättningen, beroende på vilket som är högst.

Det är viktigt att skilja på CRA-rapportering (produktsårbarheter) och andra krav som GDPR (personuppgiftsincidenter) eller NIS2 (tjänsteincidenter). Varje regelverk har olika mottagare, deadlines och plattformar.

Hur man väljer leverantör: praktiska kriterier och risker

Valet av leverantör för CRA-sårbarhetsrapportering bör baseras på praktiska och transparenta kriterier. Här är viktiga punkter att beakta:

• Publicerat och transparent pris: Föredra leverantörer som tydligt anger pris och förnyelsekostnad. Undvik erbjudanden med "introduktionspriser" eller dolda förnyelseavgifter.
• Vad som ingår: Kontrollera om tjänsten endast täcker representantmandatet och vidarebefordran av rapporter, eller om den även erbjuder tekniskt stöd, dokumentation, SBOM eller avancerade arbetsflöden. De flesta leverantörer begränsar sig till juridisk representation.
• Verifierbart certifikat: Ett certifikat med QR-kod och offentlig verifieringssida minskar risken för tvister vid revisioner eller incidenter.
• Support dygnet runt: Rapportering måste vara möjlig när som helst, inklusive nätter, helger och helgdagar. Fråga uttryckligen om supporten är tillgänglig året runt.
• Språk och svarstider: Säkerställ att leverantören kan hantera förfrågningar på engelska och vid behov andra EU-språk. Svarstider över 24 timmar kan äventyra efterlevnaden.
• Undantag och begränsningar: Ingen representant täcker teknisk bedömning, säkerhetstester, SBOM-generering eller tekniskt ingenjörsstöd – detta ansvar ligger kvar hos tillverkaren eller specialiserade leverantörer.

Värdera alltid tydligheten kring undantag: en leverantör som inte specificerar dem riskerar att inte ha definierat tjänstens omfattning korrekt.

Vad priset egentligen inkluderar: jämförande tabell och analys

De flesta leverantörer erbjuder representantmandat och vidarebefordran av rapporter, men få täcker tekniska tilläggstjänster. Här är en jämförande tabell:

Den avgörande skillnaden mellan "klassiska" leverantörer (REP27, kadano, Euverify) och de som erbjuder bredare tjänster (Attestra AI, Seentrix, Illicium) är att de förstnämnda begränsar sig till minimikraven enligt lag, medan de senare även erbjuder säkerhetsarbetsflöden, automatiserade SBOM eller penetrationstester. För enbart efterlevnad av Art. 18 och 14 CRA räcker dock representantmandatet och garanterad snabb vidarebefordran av rapporter.

Observera: det publicerade priset täcker endast vad som uttryckligen anges. Tekniska tilläggstjänster prissätts ofta separat och kan vara betydligt dyrare.

Dolda kostnader, undantag och vad leverantörerna inte säger

Många leverantörer publicerar inte förnyelsepriser eller tar ut extra avgifter för förfrågningar utanför ordinarie tid, utfärdande av extra certifikat eller stöd på andra språk än engelska. Här är vad du bör känna till:

• Förnyelser: Begär alltid skriftligt pris för förnyelse innan du skriver på. REP27 anger detta tydligt (€440), andra meddelar det endast på begäran.
• Undantag: Ingen leverantör täcker efterlevnadsbedömning, säkerhetstester, SBOM-generering eller tekniskt stöd. Dessa tjänster är separata och ofta mycket dyrare än representantmandatet.
• Ansvarsbegränsningar: Leverantörerna tar inget ansvar för tekniska fel, utebliven rapportering från kunden eller hantering av sårbarheter.
• Uppsägningstid: Vissa leverantörer kan kräva förvarning vid avslut av tjänsten eller byte av representant. Kontrollera alltid avtalsvillkoren.
• Avgifter per förfrågan: Om ingen offentlig information finns, fråga om det tillkommer kostnader för extra förfrågningar, nya certifikat eller akutstöd.

Beslutsmatris:

Sammanfattningsvis är tydlighet kring undantag och dolda kostnader avgörande för att undvika överraskningar och säkerställa full efterlevnad.

Hur utnämningen fungerar: steg för steg och praktisk checklista

Utnämningen av CRA-representant följer några viktiga steg. Här är en detaljerad guide:

1. Verifiera skyldigheten: Är du tillverkare av digitala produkter (hårdvara/mjukvara) som säljs i EU och saknar etablering i unionen? Om ja, är du skyldig att utse representant.
2. Välj leverantör: Jämför priser, vad som ingår, undantag och verifieringsprocesser. Föredra leverantörer med support dygnet runt och offentligt verifierbara certifikat.
3. Skriv under mandatet: Mandatet ska vara skriftligt, undertecknat av leverantörens juridiska person (t.ex. Europe Services, SE för REP27) och begränsat till Art. 18-kraven. Undvik mandat som även täcker Art. 13.
4. Ta emot certifikatet: Leverantören utfärdar ett utnämningscertifikat, helst med QR-kod och online verifieringssida.
5. Förbered intern runbook: Inkludera representantens uppgifter, eskaleringsprocedurer och kontaktvägar för rapportering i intern dokumentation.
6. Konfigurera rapporteringskanal: Skapa en intern kanal för att samla in rapporter om sårbarheter och incidenter, med minst två personer utsedda som submitters på ENISA-plattformen.
7. Utbilda teamet: Säkerställ att personalen vet vad och när de ska rapportera, samt att procedurerna testas i simuleringar.

Praktisk checklista:

1. Har du identifierat produktklasser och deras EU-destination?
2. Har du kartlagt alla försäljnings- och distributionskanaler?
3. Har du valt leverantör med support dygnet runt och transparent förnyelsepris?
4. Har du dokumenterat eskalerings- och rapporteringsrutiner?
5. Har du utsett minst två submitters på ENISA-plattformen?
6. Har du testat rapporteringsflödet med simulering?

Genom att följa dessa steg minskar du risken för bristande efterlevnad och sanktioner.

Risker, böter och verkliga scenarier: vad som kan hända i praktiken

Underlåtenhet att rapportera en sårbarhet inom 24 timmar kan leda till böter upp till €15 miljoner eller 2,5 % av den globala omsättningen, samt skada på anseende och försäljningsstopp i EU. Här är tre realistiska scenarier som förtydligar tillämpningen:

• USA-baserad SaaS: Ett amerikanskt SaaS-företag som erbjuder tjänster till EU-kunder måste utse en CRA-representant, aktivera en rapporteringskanal dygnet runt och rapportera varje utnyttjad sårbarhet. Representantleverantören vidarebefordrar rapporterna via ENISA och svarar på myndighetsförfrågningar.
• Kinesisk Amazon-säljare: Om säljaren även är tillverkare av den digitala produkten måste denne utse CRA-representant och följa rapporteringsdeadlines. Om säljaren endast är återförsäljare ligger skyldigheten på tillverkaren. Rapportkanalen måste vara klar från 11 september 2026.
• Brittisk onlinebutik: En brittisk nätbutik som säljer enheter med firmware till EU-kunder måste utse CRA-representant. Om butiken endast erbjuder icke-digitala tjänster gäller inte kravet. Vid incident ska rapportering ske inom 24 timmar, även om butiken är utanför EU.

I alla fall kan bristande förberedelser (avsaknad av runbook, otränad rapporteringskanal, icke-verifierbar representant) fördröja responsen och förvärra juridiska och ekonomiska konsekvenser.