Cyber Resilience Act 24 órás sérülékenység-jelentés: Szolgáltatók és árak (2026)

• A CRA 14. cikke előírja az ENISA felé 24 órán belüli bejelentést a kihasznált sérülékenységekről.
• Az EU-n kívüli gyártóknak EU-alapú meghatalmazott képviselőt kell kijelölniük a jelentésekhez.
• A REP27 — Europe Services, SE az 18. cikk szerinti megbízásért 490 €/éves díjat számít fel.
• Versenytársak árai: kadano (999 €/év), Euverify (590 £/év), egyéb árak kérésre.
• A REP27 nem tartalmaz jogi tanácsadást, SBOM készítést vagy megfelelőségértékelést.
• Nem kötelező importőröknek, forgalmazóknak vagy 2026. szeptember 11. előtt forgalomba hozott termékek esetén.

Frissítve 17 October 2026 · 8 ellenőrzött források

Összehasonlított szolgáltatók

Árak a szolgáltatók weboldalán közzétett információk alapján 17 October 2026, áfát nem tartalmazva, hacsak másként nincs feltüntetve. Minden sor a forrásához linkel.

A törvény követelményei: CRA 14. és 18. cikk

A Cyber Resilience Act (CRA) szigorú szabályozást vezet be az EU piacán digitális elemeket tartalmazó termékeket forgalmazó gyártók számára. Az 1. cikk határozza meg a hatályt: ide tartozik a hardver és szoftver digitális elemekkel, beleértve a csatlakoztatott eszközöket, firmware-t és alkalmazásokat. A 10. cikk alapvető kiberbiztonsági követelményeket ír elő a termék teljes életciklusára, míg a 11. cikk részletezi a gyártók kötelezettségeit, mint a kockázatértékelés, sérülékenységek kezelése és megfelelőségértékelés.

A 14. cikk központi szerepet tölt be: előírja, hogy a gyártók a aktívan kihasznált sérülékenységet vagy a termékbiztonságot súlyosan érintő eseményt 24 órán belül jelenteni kötelesek az ENISA felé az egységes jelentési platformon keresztül. A kötelezettség akkor lép életbe, ha hiteles bizonyíték van a kihasználásra vagy jelentős biztonsági eseményre, nem pusztán a sérülékenység felfedezésekor. A 24 órás határidő naptári órákban értendő, beleértve az éjszakákat, hétvégéket és ünnepnapokat.

Az EU-n kívüli gyártóknak a 18. cikk értelmében EU-ban bejegyzett meghatalmazott képviselőt kell kijelölniük. Ez a képviselő felel a 24 órás jelentési folyamatért és az EU hatóságok hivatalos kapcsolattartója. Az importőröknek és forgalmazóknak a 12. cikk szerint saját kötelezettségeik vannak, de a fő jelentési kötelezettség a gyártóra vagy képviselőjére hárul.

Az EU piacán 2026. szeptember 11. előtt forgalomba hozott termékek mentesülnek a 24 órás jelentési kötelezettség alól, de egyéb CRA előírásokat be kell tartaniuk. A nem megfelelés akár 15 millió eurós vagy a globális éves árbevétel 2,5%-os bírságot vonhat maga után, amelyik magasabb. A törvény világos: ha Ön nem EU-s gyártó, és 2026 szeptemberétől digitális terméket értékesít az EU-ban, rendelkeznie kell egy meghatalmazott képviselővel, aki 24 órán belül reagál bármely érintett eseményre.

Hogyan válasszunk CRA meghatalmazott képviselőt

A megfelelő meghatalmazott képviselő kiválasztása kulcsfontosságú a megfelelés és a működési hatékonyság szempontjából. Ellenőrizze a szolgáltató jogi személyiségét, EU-ban való bejegyzését és referenciáit. Például a REP27 — Europe Services, SE Prágában, Csehországban működik, 2018 óta aktív, 24 országban kötött megbízásokat.

Fontos választási szempontok:

• Átlátható árképzés: Keressen egyértelmű, közzétett árakat és megújítási feltételeket. A REP27 mindkettőt nyilvánosságra hozza. Egyes szolgáltatók, mint a kadano és az Euverify is közzéteszik áraikat, míg mások árajánlatot kérnek.
• Megbízás hatóköre: Győződjön meg róla, hogy a megbízás kizárólag a 18. cikk szerinti feladatokra terjed ki. A túl széles megbízások 13. cikk szerinti kötelezettségeket is állíthatnak, amit a 18(2) tilt. A REP27 kifejezetten korlátozza a megbízást a 18. cikkre.
• Elérhetőség: A jelentési ügyfélszolgálatnak 0-24 órában, hétvégén és ünnepnapokon is rendelkezésre kell állnia. A REP27 folyamatos lefedettséget garantál, más szolgáltatóknál ezt érdemes megerősíteni.
• Tanúsítvány ellenőrzés: Egy ellenőrizhető tanúsítvány (például a REP27 QR-kódos, nyilvános ellenőrzése) igazolja a megbízást, amit hatóságok vagy ügyfelek is ellenőrizhetnek.
• Kizárások: Tisztázza, mi nincs benne, például jogi tanácsadás, SBOM készítés vagy technikai tesztelés. A REP27 világosan felsorolja a kizárásokat; sok versenytárs nem.

Ha nincs belső kapacitás technikai szolgáltatásokra (pl. SBOM, szkennelés), érdemes csomagban kérni, de mindig ellenőrizze az esetleges rejtett költségeket, megújítási árakat és szolgáltatásleírást. Kérje írásban a folyamatot, beleértve a kérelmek kezelését, nyelveket és elérhetőségi időket.

Végül győződjön meg róla, hogy a megbízás ellenőrizhető, és a hatósági kérelmek továbbítása gyors, dokumentált. Ez nem csupán megfelelési formai követelmény – késedelmek vagy félreértések jogi és üzleti következményekkel járhatnak.

Mit tartalmaz valójában az ár: szolgáltatói összehasonlítás

A közzétett ár tartalmának megértése elengedhetetlen a meglepetések elkerüléséhez. Az alábbi táblázat részletesen bemutatja, mit kínál egy-egy szolgáltató a rendelkezésre álló adatok alapján:

A REP27 ára (490 €/év, megújításkor 440 €) kizárólag a 18. cikk szerinti megbízásra vonatkozik, világos kizárásokkal. A kadano és az Euverify közzéteszi az árakat, de nem részletezi a tartalmat vagy kizárásokat. A ResilienceWP és Seentrix további technikai szolgáltatásokat kínál (SBOM, szkennelés, dokumentáció), de árak és hatókör csak kérésre érhetők el.

Mielőtt szerződést köt, mindig kérjen részletes szolgáltatásleírást és megújítási árakat írásban. A legnagyobb hiba azt feltételezni, hogy a technikai megfelelés vagy jogi tanácsadás benne van, amikor nincs.

Rejtett költségek és amit a szolgáltatók általában nem mondanak el

Bár a fő ár fontos, a rejtett költségek és kizárások jelentősen befolyásolhatják a megfelelési költségvetést és a működési kockázatot. Íme, mit nem szoktak előre közölni a szolgáltatók:

• Kizárások: A REP27 egyértelmű: nincs jogi tanácsadás, adatvédelmi tisztviselői szolgáltatás, technikai megfelelőség-értékelés, SBOM készítés vagy tesztelés a megbízásban. Sok versenytárs nem közli ezeket, ezért mindig kérdezzen rá. A technikai megfelelőség (SBOM, megfelelőségértékelés, mérnöki munka) soha nem része csak a képviselői megbízásnak, külön költségként kell tervezni.
• Megújítási árak: Egyes szolgáltatók alacsony első éves árat kínálnak, de nem teszik közzé a megújítási díjakat. A REP27 mindkettőt nyilvánosságra hozza. Mindig kérje írásban a megújítási feltételeket a váratlan áremelkedések elkerülésére.
• Kérelmenkénti díjak: Egyes képviselők külön díjat számíthatnak fel minden hatósági vagy érintetti kérelemért, vagy sürgős bejelentésekért. A REP27 nem jelöl meg ilyen díjakat, de más szolgáltatóknál előfordulhat. Aláírás előtt tisztázza.
• Felmondási feltételek: A megbízás megszüntetésének vagy szolgáltatóváltásának folyamata ritkán részletezett. Kérdezze meg a felmondási időket és esetleges díjakat.
• Felelősségkorlátozás: A legtöbb képviselő korlátozza felelősségét határidők elmulasztása vagy hibás bejelentések esetén. Ezeket nem mindig teszik közzé nyilvánosan.
• Csomagolt szolgáltatások: A technikai szolgáltatásokat (pl. SBOM, szkennelés) kínáló szolgáltatók jelentős plusz díjakat vagy hosszú távú szerződéseket kérhetnek. Írásban erősítse meg a hatókört és árakat.

Összefoglalva: a valódi megfelelési költség nem csak a képviselő díja, hanem a belső mérnöki, technikai megfelelőség és a 0-24 órás incidenskezelési folyamat fenntartásának költségei is. Mindig kérjen teljes bontást és írásos megerősítést minden feltételről, mielőtt elköteleződik.

A megbízás menete lépésről lépésre

A CRA meghatalmazott képviselő kinevezése gondos tervezést és dokumentálást igényel. Íme egy gyakorlati útmutató a jelenlegi legjobb gyakorlatok és jogszabályi követelmények alapján:

1. Alkalmazhatóság felmérése: Ellenőrizze, hogy terméke digitális elem (hardver/szoftver), és 2026. szeptember 11. után kerül az EU piacára. Ha igen, a CRA 24 órás jelentési kötelezettség vonatkozik rá.
2. Szolgáltató kiválasztása: Hasonlítsa össze a szolgáltatókat közzétett ár, hatókör, kizárások és hírnév alapján. Kérjen minden feltételt és megújítási árat írásban.
3. Szerződés és megbízás: Írásbeli megbízást írjon alá a választott képviselővel. A REP27 24 órán belül kiállítja az aláírt 18. cikk szerinti megbízást és ellenőrizhető tanúsítványt. Győződjön meg róla, hogy a jogi személy EU-ban bejegyzett és a cégjegyzékben szerepel.
4. Dokumentáció frissítése: Rögzítse a képviselő adatait a megfelelési kézikönyvben. Készítsen világos jelentési folyamatot, beleértve, hogy ki jelenthet eseményt és hogyan dokumentálják a bizonyítékokat.
5. Belső előkészítés: Jelöljön ki legalább két munkatársat az ENISA platformra, lehetőleg különböző időzónákból. Előre írjon meg korai figyelmeztető sablonokat, és jelölje ki a 72 órás értesítés és felhasználói kommunikáció felelősét.
6. Incidenskezelés: Ha minősített sérülékenységet vagy eseményt észlel, azonnal értesítse a képviselőt. A képviselő 24 órán belül benyújtja a korai figyelmeztetést az ENISA/CSIRT felé, majd követi a 72 órás értesítést és a végleges jelentést.
7. Nyilvántartás: Vezessen részletes naplót a tudomásra jutásról, benyújtási időpontokról és kommunikációról. Ez kritikus, ha a hatóságok megkérdőjelezik a megfelelést.
8. Folyamatos felülvizsgálat: Rendszeresen vizsgálja felül folyamatait, frissítse az elérhetőségeket, sablonokat és felelősségeket szükség szerint.

Ez a folyamat biztosítja, hogy megfeleljen a CRA szigorú határidejének és elkerülje a bírságokat. A kulcs a felkészülés: határozza meg a kiváltó okokat, ossza ki a szerepeket, és gyakorolja a munkafolyamatot a törvény hatályba lépése előtt.

Kockázatok, bírságok és megfelelési határidők

A Cyber Resilience Act jelentős jogi és pénzügyi kockázatokat vezet be a nem megfelelés esetén. A 15. cikk szabályozza az érvényesítési eljárásokat és bírságokat. A legközvetlenebb kockázat a 24 órás jelentési határidő elmulasztása aktívan kihasznált sérülékenység vagy súlyos incidens esetén. Az időmérés akkor kezdődik, amikor tudomást szerez az eseményről, nem a vizsgálat befejeződésével. Késedelem akár 15 millió eurós vagy a globális árbevétel 2,5%-os bírságot vonhat maga után, amelyik magasabb.

Egyéb kockázatok:

• Piaci hozzáférési késedelmek: Meghatalmazott képviselő hiánya vagy ellenőrizhető tanúsítvány nélkül késhet a termékbevezetés, vagy elakadhat a beszerzés, különösen vállalati értékesítésnél.
• Hatósági intézkedések: A hatóságok vizsgálatot indíthatnak, dokumentációt kérhetnek, vagy helyesbítő intézkedéseket írhatnak elő, ha a jelentési kötelezettség nem teljesül.
• Hírnévkárosodás: Nyilvános jelentési mulasztások ronthatják a márkát és az ügyfélbizalmat.
• Többszörös jelentési rendszerek: Egyetlen esemény több szabályozás (CRA, NIS2, GDPR, GPSR) szerinti jelentést is kiválthat, eltérő határidőkkel és hatóságokkal. Például egy zsarolóvírus-támadás három jelentést is igényelhet.

A megfelelési határidők szigorúak: a 24 órás jelentési kötelezettség 2026. szeptember 11-től vonatkozik az új termékekre. A korábbi termékek mentesülnek a 24 órás szabály alól, de egyéb CRA előírásokat be kell tartani. A biztonsági frissítések támogatási időszaka – legalább öt év – további rejtett költség, amit termékvonal szinten kell tervezni, nem egyszeri projektként.

Összefoglalva: a nem megfelelés kockázatai jelentősek, és a felkészülés elmulasztásának költsége messze meghaladja a képviselő kinevezésének díját.

Döntési mátrix: Szüksége van CRA meghatalmazott képviselőre?

Az alábbi mátrix segít eldönteni, szüksége van-e CRA meghatalmazott képviselőre:

A mátrix lefedi a legtöbb esetet. Ha bizonytalan, konzultáljon jogi tanácsadóval vagy kérjen tájékoztatást szolgáltatótól. Ne feledje, a kötelezettség a gyártót vagy annak képviselőjét terheli, nem az importőrt vagy forgalmazót, kivéve ha saját név alatt forgalmaznak.

Ellenőrző lista: Lépések a CRA 24 órás jelentési megfeleléshez

1. Termékek feltérképezése: Készítsen listát az EU-ban értékesített digitális elemekkel rendelkező termékekről és azok piacra kerülési dátumairól.
2. Belső folyamatok értékelése: Vizsgálja meg, hogyan észlelik, továbbítják és dokumentálják a sérülékenységeket szervezetén belül.
3. Képviselő kiválasztása: Hasonlítsa össze a szolgáltatókat, kérjen írásos megerősítést minden díjról, megújítási árakról és szolgáltatási körökről.
4. Megbízás aláírása: Szerezze be a választott képviselőtől az aláírt 18. cikk szerinti megbízást és ellenőrizhető tanúsítványt.
5. Dokumentáció frissítése: Rögzítse a képviselő adatait a megfelelési kézikönyvben, készítsen korai figyelmeztető és értesítési sablonokat.
6. Jelentési szerepek kijelölése: Jelöljön ki legalább két benyújtót az ENISA platformra, lehetőleg különböző időzónákból.
7. Folyamat tesztelése: Végezzen asztali gyakorlatot egy kihasznált sérülékenység szimulálásával, hogy mindenki ismerje a feladatait és határidejét.
8. Csapat képzése: Oktassa a munkatársakat a 24 órás határidő kiváltó okairól és az incidensek továbbításáról.
9. Szabályozási frissítések követése: Tartsa naprakészen a CRA követelmények és jelentési platformok változásait 2026 szeptemberéig.
10. Rendszeres felülvizsgálat: Évente vagy jelentős esemény után vizsgálja felül folyamatait és dokumentációját.

Ezzel az ellenőrző listával biztosítható, hogy felkészült legyen a CRA szigorú jelentési kötelezettségeire és elkerülje a költséges bírságokat.

Reális forgatókönyvek: Melyik útvonalt kell követni?

• Amerikai SaaS cég, amely EU-s vállalatoknak értékesít: A cég nem EU-s gyártóként digitális termékeket helyez el az EU piacán. Megbízhat egy 18. cikk szerinti képviselőt (pl. REP27, kadano, Euverify). A belső biztonsági csapat észleli a sérülékenységeket és értesíti a képviselőt, aki 24 órán belül kezeli az ENISA/CSIRT bejelentéseket. Importőr vagy forgalmazó nem érintett, így a kötelezettség közvetlen.
• Kínai Amazon eladó, aki IoT eszközöket szállít EU fogyasztóknak: Ha az eladó gyártó és nem EU-s bejegyzésű, képviselőt kell kineveznie. Ha az Amazon a hivatalos importőr, a jelentési kötelezettség az Amazonra is átszállhat. Az eladónak tisztáznia kell a platformmal, és ha szükséges, képviselőt kell kineveznie, valamint frissítenie a termékdokumentációt.
• Brit online bolt, amely saját márkás routereket értékesít az EU-ban: Nem EU-s gyártóként a brit cégnek képviselőt kell kineveznie a 24 órás jelentéshez. A képviselő adatait fel kell venni a megfelelési dokumentációba, és a belső folyamatokat fel kell készíteni a gyors incidensjelentésre. Ha az üzlet importőr vagy forgalmazó is saját név alatt, további kötelezettségek merülhetnek fel.

Ezek a forgatókönyvek jól szemléltetik a beszállítói lánc feltérképezésének és szerepek tisztázásának fontosságát. A legegyszerűbb és legbiztosabb megfelelési út a képviselő kinevezése, a folyamat dokumentálása és a csapat felkészítése a gyors reagálásra.