Kosten eines autorisierten Vertreters für den Cyber Resilience Act: Anbieter & Preise 2026

• Artikel 18 CRA: Vertreterpflicht für Hersteller außerhalb der EU
• Verifizierte Preise 2026: 490 € bis 999 € jährlich
• REP27: 490 € (Erstjahr), 440 € (Verlängerung), keine Zusatzgebühren
• Leistungen unterscheiden sich: Konformitätsbewertung und Tests nie enthalten
• Bußgelder bis 15 Mio. € oder 2,5 % Umsatz bei Verstoß (Art. 64 CRA)
• Nicht jeder braucht einen Vertreter: Importeure, Distributoren, EU-Hersteller nicht

Aktualisiert 24 Oktober 2026 · 7 Quellen geprüft

Anbieter im Vergleich

Preise wie am 24 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was der Cyber Resilience Act vorschreibt (mit Artikeln)

Der Cyber Resilience Act (CRA) ist die zentrale EU-Verordnung für die Cybersicherheit von Produkten mit digitalen Elementen. Für Hersteller außerhalb der EU ist die Benennung eines autorisierten Vertreters in der EU verpflichtend, sobald sie Produkte auf dem europäischen Markt anbieten. Diese Pflicht ergibt sich aus Artikel 18 des CRA (Quelle).

• Artikel 18: Hersteller mit Sitz außerhalb der EU müssen einen Vertreter benennen, der in ihrem Namen mit Behörden und Marktüberwachungsstellen kommuniziert.
• Artikel 13 und 14: Regelt die Sicherheitsanforderungen und die Meldepflichten für Schwachstellen und Sicherheitsvorfälle. Ab dem 11. September 2026 müssen Hersteller innerhalb von 24 Stunden nach Bekanntwerden eines aktiv ausgenutzten Sicherheitsproblems eine Meldung abgeben (Quelle).
• Artikel 64: Verstöße gegen die Vorschriften können mit Bußgeldern bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes geahndet werden (Quelle).
• Artikel 71: Die Verordnung trat am 10. Dezember 2024 in Kraft. Die Meldepflichten gelten ab 11. September 2026, die vollständige Anwendung erfolgt ab 11. Dezember 2027 (Quelle).

Die Pflicht betrifft ausschließlich Hersteller, die nicht in der EU ansässig sind. Importeure und Distributoren sind nur dann betroffen, wenn sie als Hersteller auftreten (z.B. durch Rebranding oder eigene Inverkehrbringung). Für Open-Source-Projekte ohne kommerzielle Absicht gilt ein reduziertes Regime.

Die Rolle des Vertreters ist klar begrenzt: Er agiert als Schnittstelle zu den Behörden, übernimmt aber keine technische Verantwortung für das Produkt. Die eigentlichen Aufgaben wie Konformitätsbewertung, Sicherheitsupdates und technische Dokumentation verbleiben beim Hersteller.

Wie wählt man den richtigen Anbieter?

Die Auswahl eines CRA-Vertreters sollte sich an Transparenz, Preisstruktur und Nachweisbarkeit orientieren. Viele Anbieter veröffentlichen ihre Preise nicht, was die Vergleichbarkeit erschwert. REP27 hebt sich hier durch eine offene Preisstruktur und klare Angaben zu enthaltenen und ausgeschlossenen Leistungen hervor (Quelle).

• Preisstruktur: Achten Sie auf veröffentlichte Preise und Verlängerungskosten. Bei REP27 sind diese offen einsehbar (490 € im ersten Jahr, 440 € Verlängerung).
• Leistungsumfang: Ein CRA-Vertreter darf laut Gesetz nur die Aufgaben aus Artikel 18 übernehmen. Anbieter, die technische Prüfungen oder Konformitätsbewertungen versprechen, überschreiten den gesetzlichen Rahmen.
• Nachweisbarkeit: Ein verifizierbares Mandat (z.B. mit QR-Code und öffentlicher Prüfseite wie bei REP27) ist im Ernstfall entscheidend.
• Kündigungsfristen und Zusatzgebühren: Fragen Sie nach versteckten Kosten, Kündigungsfristen und per-request-Gebühren. Bei REP27 gibt es keine Zusatzgebühren, bei anderen Anbietern ist dies auf Anfrage zu klären.

Prüfen Sie, ob der Anbieter als juristische Person im Handelsregister eingetragen ist und ob die Mandatsausstellung schnell und nachvollziehbar erfolgt. Bei REP27 erfolgt die Bestellung und Ausstellung innerhalb von 24 Stunden.

Was ist im Preis wirklich enthalten?

Der Preis eines CRA-Vertreters umfasst ausschließlich das Mandat nach Artikel 18. Dies bedeutet, dass der Vertreter als formaler Ansprechpartner für Behörden und Marktüberwachungsstellen fungiert. Die technische Verantwortung für das Produkt, die Konformitätsbewertung, die Erstellung des Software Bill of Materials (SBOM) und die Durchführung von Sicherheitstests sind nicht im Preis enthalten und müssen separat organisiert werden (Quelle).

• REP27: Enthält das Mandat, eine schriftliche Bestellung, ein verifizierbares Zertifikat, einen Desk für Behördenanfragen und keine Zusatzgebühren. Konformitätsbewertung, Tests und SBOM sind ausgeschlossen.
• kadano / Euverify: Detaillierte Angaben zu enthaltenen Leistungen liegen nicht vor. Es ist ratsam, diese vor Vertragsabschluss schriftlich zu erfragen.

Der Vertreter ist nicht für die technische Umsetzung der CRA-Anforderungen verantwortlich. Die meisten Anbieter, darunter REP27, weisen explizit darauf hin, dass keine technische Beratung, keine Konformitätsbewertung und keine Produkttests im Mandat enthalten sind. Wer dies benötigt, muss sich an spezialisierte Prüfstellen oder Sicherheitsfirmen wenden.

Die Rolle des Vertreters ist klar begrenzt und schützt vor allem davor, dass Behördenanfragen ins Leere laufen oder die Marktüberwachung verzögert wird. Im Ernstfall sorgt ein verifizierbares Mandat dafür, dass die Kommunikation schnell und rechtssicher abläuft.

Versteckte und echte Kosten der CRA-Compliance

Die Hauptkosten der CRA-Compliance liegen nicht beim Vertreter, sondern bei internen und externen Maßnahmen zur Erfüllung der gesetzlichen Anforderungen. Das Mandat eines Vertreters ist mit 490 € bis 999 € pro Jahr die kleinste Position im Budget (Quelle).

• Konformitätsbewertung: Für Produkte der wichtigen Klasse I ist die Einhaltung harmonisierter Standards ausreichend. Bei Klasse II oder kritischen Produkten ist zwingend eine externe Bewertung durch eine benannte Stelle erforderlich. Diese Kosten liegen im Bereich mehrerer Tausend Euro und der Prozess dauert Monate.
• Sicherheitsupdates: Hersteller sind verpflichtet, mindestens fünf Jahre lang Sicherheitsupdates bereitzustellen. Die Kosten hierfür sind oft höher als für das Mandat selbst und müssen langfristig eingeplant werden.
• Interne Ressourcen: Dokumentation, SBOM-Erstellung und die Einrichtung eines Meldekanals verursachen zusätzlichen Aufwand.
• Versteckte Kosten: Bei einigen Anbietern können Zusatzgebühren für einzelne Behördenanfragen, Eilbearbeitung oder Mandatswechsel anfallen. Bei REP27 sind diese ausgeschlossen, bei anderen Anbietern ist dies zu erfragen.

Die Bestellung eines Vertreters ist notwendig, aber nicht ausreichend für vollständige CRA-Compliance. Die größten Kosten und Risiken entstehen durch die technische Umsetzung und die laufende Wartung der Produkte.

So läuft die Bestellung ab – Schritt für Schritt

1. Prüfen Sie, ob Ihr Unternehmen unter Artikel 18 fällt: Sind Sie Hersteller eines Produkts mit digitalen Elementen und außerhalb der EU ansässig?
2. Vergleichen Sie Anbieter: Prüfen Sie veröffentlichte Preise, Verlängerungskosten und Leistungsumfang. Achten Sie auf verifizierbare Mandate und klare Ausschlüsse.
3. Bestellen Sie das Mandat: Bei REP27 erfolgt die Bestellung online, die Ausstellung innerhalb von 24 Stunden. Bei anderen Anbietern auf Anfrage.
4. Mandat erhalten und dokumentieren: Hinterlegen Sie das Mandat in Ihrer technischen Dokumentation und Produktakte. Die Daten müssen auf Anfrage Behörden und Marktüberwachungsstellen vorgelegt werden.
5. Vertreterdaten veröffentlichen: Geben Sie die Kontaktdaten des Vertreters in Ihren Unterlagen und ggf. auf Ihrer Website an.
6. Meldekanal einrichten: Sorgen Sie für einen internen Prozess, um Schwachstellen und Sicherheitsvorfälle rechtzeitig an den Vertreter zu melden. REP27 bietet einen Desk, der Behördenanfragen innerhalb von zwei Werktagen weiterleitet.
7. Regelmäßige Überprüfung: Kontrollieren Sie jährlich, ob das Mandat noch gültig ist und ob die Kontaktdaten aktuell sind.

Ein strukturierter Ablauf minimiert das Risiko von Verzögerungen und Bußgeldern. Nutzen Sie die Checkliste, um alle Schritte rechtssicher abzudecken.

Risiken und Bußgelder bei Verstoß

Die Nichteinhaltung der Vertreterpflicht nach Artikel 18 CRA ist eine eigenständige Ordnungswidrigkeit. Nach Artikel 64 drohen Bußgelder bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Quelle).

• Fehlender Vertreter: Behördenanfragen laufen ins Leere, die Marktüberwachung kann Maßnahmen bis hin zum Vertriebsstopp ergreifen.
• Unklare Zuständigkeiten: Ohne verifizierbares Mandat drohen Verzögerungen bei der Kommunikation mit Behörden, was im Ernstfall die Fristen für Meldepflichten (z.B. 24-Stunden-Deadline bei Schwachstellen) überschreiten lässt.
• Vertragsfallen: Anbieter mit undurchsichtigen Verlängerungspreisen oder Zusatzgebühren können zu unerwarteten Kosten führen. Ein klarer, schriftlicher Vertrag mit festen Preisen ist daher unerlässlich.
• Technische Versäumnisse: Die bloße Bestellung eines Vertreters schützt nicht vor Bußgeldern wegen technischer Mängel, fehlender Updates oder unzureichender Dokumentation.

Ein verlässlicher Vertreter ist der erste Schritt zur Compliance, ersetzt aber nicht die technischen und organisatorischen Pflichten des Herstellers. Die Risiken liegen vor allem in der fehlenden Vorbereitung auf Meldepflichten und in der mangelnden Transparenz bei der Anbieterwahl.

Was Anbieter meist nicht sagen

• Begrenzter Leistungsumfang: Das Mandat eines CRA-Vertreters umfasst nur die formale Vertretung nach Artikel 18. Technische Beratung, Konformitätsbewertung, Produkttests und SBOM-Erstellung sind nicht enthalten.
• Keine Haftung für Produktfehler: Der Vertreter haftet nicht für technische Mängel oder Sicherheitslücken des Produkts. Die Verantwortung bleibt immer beim Hersteller.
• Verlängerungspreise und Kündigungsfristen: Viele Anbieter veröffentlichen keine Verlängerungspreise oder Kündigungsfristen. Bei REP27 sind diese offen einsehbar (440 € Verlängerung, keine Zusatzgebühren).
• Per-request-Gebühren: Manche Anbieter verlangen Gebühren für einzelne Behördenanfragen, Eilbearbeitung oder Mandatswechsel. Bei REP27 ist dies ausgeschlossen, bei anderen Anbietern auf Anfrage.
• Keine technische Unterstützung: Der Vertreter übernimmt keine Aufgaben bei der Implementierung von Sicherheitsupdates, der Erstellung von SBOM oder der Durchführung von Penetrationstests.

Die Auswahl eines Anbieters sollte sich daher nicht nur am Preis, sondern vor allem an der Transparenz der Leistungen und Ausschlüsse orientieren. Fragen Sie gezielt nach, was im Mandat enthalten ist und was nicht.

Entscheidungsmatrix: Brauchen Sie einen CRA-Vertreter?

Die Pflicht trifft ausschließlich Hersteller, die Produkte unter eigenem Namen oder Marke in der EU auf den Markt bringen. Importeure, Distributoren und reine Marktplatzhändler sind ausgenommen, solange sie nicht als Hersteller auftreten.

Checkliste für Käufer (Sofort umsetzbar)

1. Prüfen Sie, ob Ihr Produkt unter den CRA fällt (digitale Elemente, Vertrieb in der EU).
2. Ermitteln Sie, ob Sie als Hersteller gelten (auch bei OEM/White-Label).
3. Vergleichen Sie Preise und Leistungen der Anbieter. Verlangen Sie schriftliche Angaben zu Verlängerungskosten und Ausschlüssen.
4. Bestellen Sie das Mandat und dokumentieren Sie es in Ihrer Produktakte.
5. Veröffentlichen Sie die Kontaktdaten des Vertreters in Ihrer technischen Dokumentation und ggf. auf Ihrer Website.
6. Richten Sie einen Meldekanal für Schwachstellen und Sicherheitsvorfälle ein.
7. Planen Sie Ressourcen für Sicherheitsupdates (mindestens fünf Jahre) und technische Dokumentation ein.
8. Stellen Sie sicher, dass alle internen Prozesse für die Einhaltung der Meldefristen (z.B. 24 Stunden bei Schwachstellen) etabliert sind.
9. Überprüfen Sie jährlich die Gültigkeit des Mandats und die Aktualität der Kontaktdaten.

Diese Checkliste hilft, alle gesetzlichen Anforderungen systematisch und rechtssicher zu erfüllen.

Drei reale Szenarien: Wer braucht was?

• US-SaaS-Anbieter: Ein US-Unternehmen entwickelt eine Cloud-Software, die direkt an EU-Kunden verkauft wird. Da der Hersteller keinen Sitz in der EU hat, ist ein CRA-Vertreter nach Artikel 18 verpflichtend. Preis ab 490 € jährlich bei REP27. Die technische Umsetzung (SBOM, Updates, Meldekanal) bleibt beim Hersteller.
• Chinesischer Amazon-Händler: Ein Unternehmen aus China verkauft eigene Smart-Home-Produkte über Amazon an EU-Kunden. Auch hier gilt die Vertreterpflicht, da der Händler als Hersteller auftritt. Die Bestellung des Mandats erfolgt online, die Kosten beginnen bei 490 € jährlich (REP27). Importeur und Amazon selbst sind nicht verpflichtet, einen Vertreter zu benennen.
• Britischer Online-Shop: Ein Online-Shop mit Sitz im Vereinigten Königreich importiert Produkte aus Asien und verkauft sie unter eigenem Namen an EU-Kunden. Da das Unternehmen als Hersteller gilt und keinen Sitz in der EU hat, ist ein Vertreter nach Artikel 18 erforderlich. Die übrigen Pflichten (Konformitätsbewertung, Updates) müssen ebenfalls erfüllt werden.

In allen Fällen ist die Bestellung eines Vertreters nur ein Teil der Gesamt-Compliance. Die technische und organisatorische Umsetzung der CRA-Anforderungen bleibt beim Hersteller.