Kolik stojí autorizovaný zástupce pro Cyber Resilience Act: Poskytovatelé a ceny 2026

• Článek 18 CRA: Povinnost zástupce pro výrobce mimo EU
• Ověřené ceny 2026: 490 € až 999 € ročně
• REP27: 490 € (první rok), 440 € (prodloužení), žádné další poplatky
• Služby se liší: Posouzení shody a testy nikdy nejsou součástí
• Pokuty až 15 mil. € nebo 2,5 % obratu při porušení (čl. 64 CRA)
• Ne každý potřebuje zástupce: Dovozci, distributoři a výrobci z EU ne

Aktualizováno 25 October 2026 · 7 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 25 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co stanovuje Cyber Resilience Act (s odkazy na články)

Cyber Resilience Act (CRA) je hlavní nařízení EU týkající se kybernetické bezpečnosti produktů s digitálními prvky. Výrobci mimo EU musí povinně jmenovat autorizovaného zástupce v EU, pokud své produkty uvádějí na evropský trh. Tato povinnost vyplývá z článku 18 CRA (zdroj).

• Článek 18: Výrobci mimo EU musí jmenovat zástupce, který za ně komunikuje s úřady a orgány dohledu nad trhem.
• Články 13 a 14: Stanovují bezpečnostní požadavky a povinnost hlásit zranitelnosti a bezpečnostní incidenty. Od 11. září 2026 musí výrobci do 24 hodin od zjištění aktivně zneužívané chyby podat hlášení (zdroj).
• Článek 64: Porušení pravidel může být sankcionováno pokutami až do 15 mil. € nebo 2,5 % celosvětového ročního obratu (zdroj).
• Článek 71: Nařízení vstoupilo v platnost 10. prosince 2024. Povinnost hlášení platí od 11. září 2026, plná účinnost od 11. prosince 2027 (zdroj).

Povinnost se týká výhradně výrobců mimo EU. Dovozci a distributoři jsou povinni pouze pokud vystupují jako výrobci (např. přebalováním nebo vlastním uváděním na trh). Pro open-source projekty bez komerčního záměru platí zjednodušený režim.

Role zástupce je jasně omezena: funguje jako rozhraní k úřadům, ale nepřebírá technickou odpovědnost za produkt. Skutečné úkoly jako posouzení shody, bezpečnostní aktualizace a technická dokumentace zůstávají na výrobci.

Jak vybrat správného poskytovatele?

Výběr CRA zástupce by měl vycházet z transparentnosti, cenové struktury a ověřitelnosti. Mnoho poskytovatelů ceny nezveřejňuje, což ztěžuje srovnání. REP27 vyniká otevřenou cenovou strukturou a jasným vymezením zahrnutých a vyloučených služeb (zdroj).

• Cenová struktura: Dávejte pozor na zveřejněné ceny a náklady na prodloužení. REP27 tyto informace zveřejňuje (490 € první rok, 440 € prodloužení).
• Rozsah služeb: CRA zástupce může podle zákona vykonávat pouze úkoly z článku 18. Poskytovatelé slibující technické testy nebo posouzení shody překračují zákonný rámec.
• Ověřitelnost: Ověřitelné mandáty (např. s QR kódem a veřejnou kontrolní stránkou jako u REP27) jsou v případě potřeby klíčové.
• Výpovědní lhůty a další poplatky: Zjistěte, zda nejsou skryté náklady, výpovědní lhůty nebo poplatky na vyžádání. REP27 žádné další poplatky nemá, u jiných poskytovatelů je třeba se informovat.

Zkontrolujte, zda je poskytovatel zapsán jako právnická osoba v obchodním rejstříku a zda je vystavení mandátu rychlé a transparentní. REP27 vystavuje mandát do 24 hodin.

Co je v ceně skutečně zahrnuto?

Cena CRA zástupce zahrnuje výhradně mandát podle článku 18. To znamená, že zástupce je formálním kontaktem pro úřady a orgány dohledu nad trhem. Technická odpovědnost za produkt, posouzení shody, vytvoření Software Bill of Materials (SBOM) a bezpečnostní testy nejsou v ceně a musí být řešeny samostatně (zdroj).

• REP27: Zahrnuje mandát, písemnou objednávku, ověřitelný certifikát, podporu pro úřady a žádné další poplatky. Posouzení shody, testy a SBOM jsou vyloučeny.
• kadano / Euverify: Podrobnosti o zahrnutých službách nejsou zveřejněny. Doporučuje se tyto informace získat písemně před podpisem smlouvy.

Zástupce není odpovědný za technické splnění požadavků CRA. Většina poskytovatelů, včetně REP27, jasně uvádí, že mandát nezahrnuje technické poradenství, posouzení shody ani testování produktů. Kdo tyto služby potřebuje, musí se obrátit na specializované zkušebny nebo bezpečnostní firmy.

Role zástupce je jasně vymezena a především zajišťuje, že požadavky úřadů nejsou ignorovány a dohlídka trhu není zdržována. V případě potřeby ověřitelný mandát zajistí rychlou a právně bezpečnou komunikaci.

Skryté a skutečné náklady na dodržení CRA

Hlavní náklady na dodržení CRA nejsou u zástupce, ale u interních a externích opatření k naplnění zákonných požadavků. Mandát zástupce za 490 € až 999 € ročně je nejmenší položkou v rozpočtu (zdroj).

• Posouzení shody: U produktů třídy I stačí dodržení harmonizovaných norem. U třídy II nebo kritických produktů je nutné externí posouzení pověřenou osobou. Náklady jsou řádově v tisících eur a proces trvá měsíce.
• Bezpečnostní aktualizace: Výrobci musí poskytovat bezpečnostní aktualizace minimálně pět let. Náklady na to často převyšují cenu mandátu a musí být plánovány dlouhodobě.
• Interní zdroje: Dokumentace, tvorba SBOM a zavedení hlášení zranitelností vyžadují další úsilí.
• Skryté náklady: Někteří poskytovatelé mohou účtovat poplatky za jednotlivé dotazy úřadů, zrychlené vyřízení nebo změnu mandátu. U REP27 jsou tyto poplatky vyloučeny, u jiných je třeba se informovat.

Objednání zástupce je nutné, ale samo o sobě nestačí k plné shodě s CRA. Největší náklady a rizika jsou spojena s technickou realizací a průběžnou údržbou produktů.

Jak probíhá objednávka – krok za krokem

1. Zkontrolujte, zda se na vaši firmu vztahuje článek 18: Jste výrobcem produktu s digitálními prvky a sídlíte mimo EU?
2. Porovnejte poskytovatele: Zkontrolujte zveřejněné ceny, náklady na prodloužení a rozsah služeb. Dávejte pozor na ověřitelné mandáty a jasné výjimky.
3. Objednejte mandát: U REP27 probíhá objednávka online, vystavení do 24 hodin. U jiných poskytovatelů na vyžádání.
4. Mandát přijměte a zdokumentujte: Uložte mandát do technické dokumentace a produktové složky. Data musí být k dispozici na vyžádání úřadům a orgánům dohledu.
5. Uveřejněte kontaktní údaje zástupce: Uveďte je ve svých dokumentech a případně na webu.
6. Zaveďte hlášení zranitelností: Zajistěte interní proces pro včasné hlášení zranitelností a bezpečnostních incidentů zástupci. REP27 nabízí podporu s vyřízením dotazů úřadů do dvou pracovních dnů.
7. Pravidelně kontrolujte: Každoročně ověřujte platnost mandátu a aktuálnost kontaktních údajů.

Strukturovaný postup minimalizuje riziko zpoždění a pokut. Použijte kontrolní seznam pro právně bezpečné splnění všech kroků.

Rizika a pokuty při porušení

Nedodržení povinnosti zástupce podle článku 18 CRA je samostatným přestupkem. Podle článku 64 hrozí pokuty až 15 mil. € nebo 2,5 % celosvětového ročního obratu, podle toho, co je vyšší (zdroj).

• Chybějící zástupce: Dotazy úřadů zůstávají bez odpovědi, dozor nad trhem může zakázat prodej.
• Nejasné odpovědnosti: Bez ověřitelného mandátu hrozí zpoždění komunikace s úřady, což může vést k překročení lhůt pro hlášení (např. 24 hodin u zranitelností).
• Past na smlouvy: Poskytovatelé s neprůhlednými cenami prodloužení nebo dalšími poplatky mohou způsobit neočekávané náklady. Jasná písemná smlouva s pevnými cenami je proto nezbytná.
• Technické nedostatky: Pouhá objednávka zástupce nechrání před pokutami za technické chyby, chybějící aktualizace nebo nedostatečnou dokumentaci.

Spolehlivý zástupce je prvním krokem ke shodě, nenahrazuje však technické a organizační povinnosti výrobce. Rizika spočívají především v nepřipravenosti na hlášení a nedostatečné transparentnosti při výběru poskytovatele.

Co poskytovatelé většinou neříkají

• Omezený rozsah služeb: Mandát CRA zástupce zahrnuje pouze formální zastoupení podle článku 18. Technické poradenství, posouzení shody, testování a tvorba SBOM nejsou součástí.
• Žádná odpovědnost za chyby produktu: Zástupce neodpovídá za technické nedostatky nebo bezpečnostní díry produktu. Odpovědnost je vždy na výrobci.
• Ceny prodloužení a výpovědní lhůty: Mnoho poskytovatelů nezveřejňuje ceny prodloužení ani výpovědní lhůty. REP27 je zveřejňuje (440 € prodloužení, žádné další poplatky).
• Poplatky na vyžádání: Někteří účtují poplatky za jednotlivé dotazy úřadů, zrychlené vyřízení nebo změnu mandátu. REP27 tyto poplatky nemá, u jiných je třeba se informovat.
• Žádná technická podpora: Zástupce nepřebírá úkoly při zavádění bezpečnostních aktualizací, tvorbě SBOM nebo penetračních testech.

Výběr poskytovatele by proto měl být založen nejen na ceně, ale především na transparentnosti služeb a výjimek. Ptejte se jasně, co je v mandátu zahrnuto a co ne.

Rozhodovací matice: Potřebujete CRA zástupce?

Povinnost se vztahuje výhradně na výrobce, kteří uvádějí produkty pod vlastním jménem nebo značkou na trh EU. Dovozci, distributoři a čistě tržištní prodejci jsou vyjmuti, pokud nevystupují jako výrobci.

Kontrolní seznam pro kupující (ihned k použití)

1. Zkontrolujte, zda váš produkt spadá pod CRA (digitální prvky, prodej v EU).
2. Určete, zda jste výrobcem (včetně OEM/White-Label).
3. Porovnejte ceny a služby poskytovatelů. Požadujte písemné informace o cenách prodloužení a výjimkách.
4. Objednejte mandát a zdokumentujte ho v produktové složce.
5. Uveďte kontaktní údaje zástupce v technické dokumentaci a případně na webu.
6. Zaveďte kanál pro hlášení zranitelností a bezpečnostních incidentů.
7. Plánujte zdroje na bezpečnostní aktualizace (minimálně pět let) a technickou dokumentaci.
8. Zajistěte interní procesy pro dodržení lhůt hlášení (např. 24 hodin u zranitelností).
9. Každoročně ověřujte platnost mandátu a aktuálnost kontaktních údajů.

Tento seznam pomůže systematicky a právně bezpečně splnit všechny zákonné požadavky.

Tři reálné scénáře: Kdo co potřebuje?

• Americký SaaS poskytovatel: Americká firma vyvíjí cloudový software prodávaný přímo zákazníkům v EU. Jelikož nemá sídlo v EU, je podle článku 18 povinna mít CRA zástupce. Cena od 490 € ročně u REP27. Technická realizace (SBOM, aktualizace, hlášení) je na výrobci.
• Čínský prodejce na Amazonu: Firma z Číny prodává vlastní chytrá domácí zařízení přes Amazon zákazníkům v EU. Povinnost zástupce platí, protože prodejce vystupuje jako výrobce. Objednávka mandátu probíhá online, cena začíná na 490 € ročně (REP27). Dovozce a Amazon sami zástupce nepotřebují.
• Britský online obchod: Obchod se sídlem ve Velké Británii dováží produkty z Asie a prodává je pod vlastním jménem zákazníkům v EU. Firma je považována za výrobce mimo EU, proto potřebuje zástupce podle článku 18. Další povinnosti (posouzení shody, aktualizace) musí také splnit.

Ve všech případech je objednání zástupce pouze částí celkové shody. Technická a organizační realizace požadavků CRA zůstává na výrobci.