Kaufberater

Kosten für 24h-Schwachstellenmeldung bei Nicht-EU-Herstellern (CRA 2026)

Kurze Antwort: Die Meldung von Schwachstellen innerhalb von 24 Stunden für Nicht-EU-Hersteller, vorgeschrieben durch den Cyber Resilience Act (Artikel 14), kostet ab €490/Jahr bei REP27 — Europe Services, SE. Andere Anbieter veröffentlichen Preise zwischen €690 und €999/Jahr. Der Service umfasst die schnelle Meldung an ENISA und CSIRT, beinhaltet jedoch keine technische Bewertung oder Sicherheitstests.

Pflicht ab 11. September 2026 für alle Hersteller digitaler Produkte, die in der EU verkauft werden
REP27 bietet den Service für €490/Jahr, Verlängerung €440, veröffentlichter Preis
Kadano: €999/Jahr, Euverify: £590/Jahr (~€690), veröffentlichte Preise
Der Service umfasst nur die Übermittlung der Meldung, keine Tests oder technische Bewertungen
Nichtbeachtung: Bußgelder bis zu €15 Millionen oder 2,5 % des weltweiten Umsatzes
Nicht erforderlich für Importeure, Händler oder Verkäufer außerhalb der EU

Aktualisiert 22 Oktober 2026 · 7 Quellen geprüft

Anbieter im Vergleich

Anbieter	Sitz	Veröffentlichter Preis	Leistungsumfang	Ideal für
REP27 — Europe Services, SE	Tschechische Republik	€490/Jahr (Verlängerung €440)	Mandat als Vertreter Art. 18 CRA, 24h-Meldekanal, Weiterleitung an CSIRT/ENISA, keine technische Bewertung oder Tests	Nicht-EU-Hersteller, die digitale Produkte in der EU verkaufen
KadanoQuelle	Österreich	€999/Jahr	Mandat als Vertreter CRA (Details zu Leistungen nicht veröffentlicht)	Unternehmen, die einen österreichischen Anbieter bevorzugen
EuverifyQuelle	Irland	£590/Jahr (~€690)	Mandat als Vertreter CRA (Details zu Leistungen nicht veröffentlicht)	Unternehmen, die einen irischen Anbieter bevorzugen

Preise wie am 22 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Gesetzliche Anforderungen: Artikel 14 CRA

Artikel 14 des Cyber Resilience Act (EU-Verordnung 2024/2847) führt eine sehr strenge Meldepflicht für alle Hersteller digitaler Produkte ein, die in der Europäischen Union verkauft werden, unabhängig vom Sitz des Herstellers. Ab dem 11. September 2026 muss jeder Hersteller innerhalb von 24 Stunden nach Kenntnisnahme eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall melden, der das Produkt betrifft. Die Meldung erfolgt über die von ENISA betriebene zentrale Plattform und wird an das koordinierende CSIRT des jeweiligen EU-Landes weitergeleitet.

Die Meldung gliedert sich in drei Phasen: Frühwarnung (innerhalb 24h), detaillierte Benachrichtigung (innerhalb 72h), Abschlussbericht (innerhalb 14 Tage).
Die Meldepflicht gilt auch für Nicht-EU-Hersteller, die direkt oder über Marktplätze an EU-Kunden verkaufen.
Es sind keine Sicherheitstests oder technische Bewertungen durch den Vertreter erforderlich: Seine Aufgabe ist die Übermittlung der Meldungen und die Funktion als Ansprechpartner.
Die Pflicht gilt auch für sicherheitsrelevante Vorfälle, nicht nur für bereits ausgenutzte Schwachstellen.

Bei Nichtmeldung oder Verzögerung drohen Bußgelder bis zu €15 Millionen oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist. Diese Regelungen gelten für alle, die digitale Produkte auf dem EU-Markt in Verkehr bringen, einschließlich Software-, Hardware-, IoT-Geräte, SaaS und mehr.

Quellen: NIS2.gov.ie, Licentium

Anbieterauswahl: Praktische Kriterien und Vergleich

Die Wahl des richtigen Anbieters für die Schwachstellenmeldung gemäß CRA erfordert die Beachtung mehrerer praktischer Aspekte neben dem Preis. Die wichtigsten Kriterien sind:

Transparenter und veröffentlichter Preis: Bevorzugen Sie Anbieter, die jährliche Kosten und Verlängerung klar kommunizieren, um Überraschungen zu vermeiden.
Geografische Abdeckung: Der Anbieter muss die Vertretung in allen EU-Ländern gewährleisten, in denen Sie Ihre Produkte verkaufen.
Zertifizierung und Nachweis: Ein elektronisch unterschriebenes und öffentlich überprüfbares Mandat ist ein Zeichen für Seriosität.
24/7-Meldekanal: Der Service muss rund um die Uhr an 365 Tagen im Jahr verfügbar sein, auch an Wochenenden und Feiertagen.
Klare Ausschlüsse: Kein Anbieter bietet im Grundpreis Sicherheitstests, SBOM oder technischen Support; das Mandat umfasst nur die Übermittlung der Meldungen.

Detaillierter Vergleich:

Anbieter	Inklusive	Nicht inklusive	Zusatzkosten
REP27	Mandat Art. 18, 24h-Meldekanal, Weiterleitung der Meldungen	Technische Bewertungen, Tests, SBOM, Erstellung von Richtlinien	Keine
Kadano	Mandat als Vertreter CRA	Auf Anfrage	Auf Anfrage
Euverify	Mandat als Vertreter CRA	Auf Anfrage	Auf Anfrage

Praktischer Tipp: Fragen Sie immer vorab, was genau enthalten ist, ob Einzelmeldungen extra kosten und wie die Verlängerung abläuft. Bevorzugen Sie Anbieter, die ein öffentlich überprüfbares Zertifikat und klare Angaben zur Rechtsform sowie geografischen Abdeckung machen.

Was der Preis wirklich beinhaltet: Praktische Details

Der veröffentlichte Preis der Anbieter deckt ausschließlich das Mandat als Vertreter zur Meldung von Schwachstellen gemäß Art. 18 CRA ab. Das bedeutet, der Vertreter:

Empfängt und übermittelt Meldungen zu Schwachstellen oder Sicherheitsvorfällen an die zuständigen Stellen (CSIRT/ENISA) über die offizielle Plattform.
Dient als Ansprechpartner für europäische Aufsichtsbehörden bei Rückfragen oder Klärungen.
Stellt ein unterschriebenes und zertifiziertes Mandat bereit, oft mit QR-Code zur öffentlichen Überprüfung.
Garantiert einen 24/7-Meldekanal (zumindest REP27 gibt dies auf seinen offiziellen Seiten an).

Im Grundpreis nicht enthalten sind:

Sicherheitstests oder Schwachstellenbewertungen
Erstellung der Software Bill of Materials (SBOM)
Technische, rechtliche oder operative Unterstützung bei der Erstellung der Meldungen
Krisenmanagement oder Kommunikation an Endnutzer (außer Weiterleitung der Meldung)

Beispielsweise stellt REP27 klar, dass "Konformitätsbewertung von benannten Stellen, Tests von Sicherheitsfirmen, SBOM-Erstellung in Ihrer Build-Pipeline und Meldung an Ihr Sicherheitsteam" gehören. Das Mandat umfasst nur die Übermittlung und den Empfang der Anfragen von Behörden. Es gibt keine versteckten Zusatzkosten pro Meldung oder Upselling.

Tipp: Stellen Sie sicher, dass Sie intern die Kompetenzen haben, um Meldungen vorzubereiten und auf Rückfragen der Behörden zu reagieren.

Versteckte Kosten, Servicegrenzen und praktische Risiken

Die Kosten für das Mandat als Vertreter sind nur ein Teil des Budgets für die Einhaltung des Cyber Resilience Act. Versteckte Kosten und Servicegrenzen werden oft übersehen:

Interne Vorbereitung: Informationssammlung, Erstellung der Meldungen und Kommunikation mit dem Vertreter liegen beim Hersteller.
Audits und Bewertungen: Bei Anforderung durch Behörden können externe Audits oder technische Bewertungen anfallen, die nicht vom Mandat abgedeckt sind.
Technischer und rechtlicher Support: Der Vertreter bietet keine technische oder rechtliche Beratung über die Übermittlung hinaus; solche Leistungen sind gesondert zu beauftragen.
Begrenzte Haftung: Kein Anbieter übernimmt Haftung für Fehler in vom Kunden gelieferten Inhalten oder Auslassungen in der Meldung.
Verlängerung und Anbieterwechsel: Prüfen Sie stets Verlängerungsbedingungen und mögliche Gebühren für einen Anbieterwechsel: REP27 veröffentlicht Preise für Wechsel und Verlängerung, andere Anbieter nicht.

Praktische Risiken:

Ist die interne Ablauforganisation nicht vorbereitet, steigt das Risiko, Fristen nicht einzuhalten.
Verspätete oder fehlende Meldungen können zu hohen Bußgeldern und Verkaufsverboten in der EU führen.

Empfehlung: Betrachten Sie das Mandat als "Prozessversicherung", nicht als technische Lösung. Die tatsächliche Compliance hängt von Ihrer internen Organisation ab.

Ablauf der Bestellung: Schritt-für-Schritt und Checkliste

Die Bestellung des CRA-Vertreters folgt einem klaren Ablauf. Hier die praktischen Schritte und eine Checkliste:

Prüfen, ob Sie digitale Produkte in der EU verkaufen: Falls ja, prüfen, ob Sie Hersteller sind (nicht nur Händler/Importeur).
Anbieter auswählen: Preise, Leistungen, Ausschlüsse und Vertragsklarheit vergleichen.
Online Service anfordern: Anfrageformular ausfüllen und Mandat Art. 18 erhalten.
Mandat unterschreiben und archivieren: Mandat muss von beiden Seiten unterschrieben und für Kontrollen aufbewahrt werden.
Vertreterdaten in Unternehmensdokumentation eintragen: Runbooks, interne Richtlinien und Compliance-Dokumente aktualisieren.
Interne Meldeprozedur vorbereiten: Festlegen, wer Schwachstellen melden darf, wie Beweise gesammelt und Meldetemplates (Frühwarnung, Benachrichtigung, Abschlussbericht) ausgefüllt werden.
Mindestens zwei Submitter benennen: Sicherstellen, dass zwei Personen Zugang zur ENISA-Plattform haben, um Ausfälle zu vermeiden.
Alle Schritte dokumentieren: Nachverfolgen, wer wann welche Meldung gemacht hat – wichtig für Audits.

Checkliste:

Eigene Rolle prüfen (Hersteller, Importeur, Händler)
Vertreter auswählen und bestellen
Interne Meldeprozedur aufsetzen
Submitter benennen und Dokumentation aktualisieren
Meldetemplates vorbereiten
Jede Meldung und Kommunikation dokumentieren

Tipp: Klare Abläufe sind der größte Mehrwert des Vertreterservices.

Entscheidungsmatrix: Wer braucht den Service?

Nicht alle Unternehmen benötigen ein Mandat für die Schwachstellenmeldung. Hier eine Entscheidungsmatrix basierend auf realen Fällen:

Wenn Sie...	Benötigen Sie 24h-Meldung?	Grund
Nicht-EU-Hersteller (USA, UK, China etc.), der digitale Produkte in der EU verkauft	Ja	Direkte Pflicht nach Art. 14 CRA
EU-Importeur/Händler	Nein	Pflicht nur bei Verkauf unter eigenem Namen
Nicht-EU-Verkäufer auf Marktplätzen (Amazon, Etsy, eBay)	Ja, wenn Hersteller	Direkte Pflicht, wenn Produkt selbst hergestellt
Nicht-kommerzielle Open-Source-Software	Reduziertes Programm	Erleichterte Regelung, aber Meldung bei ausgenutzter Schwachstelle Pflicht
EU-Unternehmen mit Hauptsitz in der EU	Kein Vertreter, direkte Meldung	Meldung direkt an nationales CSIRT

Tipp: Wenn Sie nur Händler oder Importeur sind und das Produkt nicht unter eigenem Namen in Verkehr bringen, brauchen Sie kein Mandat. Als Nicht-EU-Hersteller ist die Bestellung eines Vertreters unerlässlich, um Bußgelder zu vermeiden.

Was Anbieter nicht sagen (aber Sie wissen sollten)

Viele Anbieter veröffentlichen keine wichtigen Details, die Ihre Compliance und tatsächlichen Kosten beeinflussen können:

Ausschlüsse: Keiner der hier genannten Anbieter bietet Sicherheitstests, SBOM oder technische Bewertungen im Grundpreis. Das Mandat umfasst nur die Übermittlung der Meldungen.
Haftung: Die Verantwortung für Richtigkeit und Fristwahrung der Meldungen liegt immer beim Hersteller. Der Vertreter prüft oder ändert Inhalte nicht.
Verlängerung und Wechsel: Einige Anbieter veröffentlichen keine Verlängerungspreise oder Wechselbedingungen. REP27 tut dies transparent, andere nicht.
Sprachen und Erreichbarkeit: Prüfen Sie, ob der Anbieter wirklich 24/7 erreichbar ist und Anfragen in mehreren Sprachen bearbeiten kann.
Servicegrenzen: Der Vertreter übernimmt keine Kommunikation mit Endkunden, Krisenmanagement oder Rechtsberatung.

Tipp: Fordern Sie immer eine schriftliche Liste der Ausschlüsse und Haftungsbeschränkungen vor Vertragsabschluss an.

Praxisbeispiele: Drei reale Fälle und einfachster Weg

US-SaaS mit EU-Vertrieb: Muss einen CRA-Vertreter benennen, Meldeprozedur vorbereiten und Vertreter in offiziellen Dokumenten eintragen. Bei Schwachstelle meldet er an den Vertreter, der an ENISA/CSIRT weiterleitet. Einfachster Weg: Anbieter mit 24/7-Kanal und überprüfbarem Mandat wählen.
Chinesischer Amazon-Verkäufer: Wenn Hersteller digitaler Produkte, besteht Meldepflicht und Vertreterbestellung; als Händler nicht. Einfachster Weg: Vertragliche Rolle klären und ggf. erfahrenen E-Commerce-Anbieter wählen.
UK-Online-Shop: Verkauft er digitale Produkte an EU-Kunden, muss er Vertreter benennen und Meldeprozedur einhalten; nur UK-Verkauf ohne EU-Vertrieb: keine Pflicht. Einfachster Weg: Prüfen, ob EU-Umsatz Compliance-Kosten rechtfertigt.

In allen Fällen sind interne Vorbereitung und klare Abläufe entscheidend, um Fristen einzuhalten und Bußgelder zu vermeiden.

Wann Sie das nicht brauchen

EU-Importeure und Händler, die nicht unter eigenem Namen verkaufen
Unternehmen, die nur außerhalb der EU verkaufen
Nicht-digitale Produkte oder Produkte ohne Softwareanteil
Öffentliche oder private Einrichtungen, die keine Hersteller digitaler Produkte sind

Häufige Fragen

Wer muss einen Vertreter für die CRA-Schwachstellenmeldung benennen?

Jeder Hersteller digitaler Produkte, der in der EU verkauft und keinen Sitz in der EU hat, muss einen bevollmächtigten Vertreter für die Schwachstellenmeldung gemäß Art. 18 CRA benennen. Die Pflicht gilt nicht für Importeure oder Händler, die das Produkt nicht unter eigenem Namen in Verkehr bringen.

Deckt der Service auch technische Bewertungen der Schwachstellen ab?

Nein, kein hier genannter Anbieter bietet technische Bewertungen oder Sicherheitstests im Grundpreis an. Der Service umfasst nur die Übermittlung der Meldungen an die zuständigen Stellen. Die technische Vorbereitung der Meldungen liegt beim Hersteller.

Was passiert, wenn ich eine Schwachstelle nicht innerhalb von 24 Stunden melde?

Die Nichteinhaltung der Fristen kann Bußgelder bis zu €15 Millionen oder 2,5 % des weltweiten Umsatzes nach sich ziehen, zusätzlich zu Reputationsrisiken und möglichen Verkaufsverboten in der EU. Behörden können auch weitere Audits oder Bewertungen anfordern.

Kann der Vertreter auch der GDPR-Vertreter sein?

Ja, einige Anbieter (z.B. REP27) bieten Pakete an, die sowohl das GDPR-Mandat Art. 27 als auch das CRA-Mandat Art. 18 umfassen. Die Aufgaben sind jedoch getrennt, und die Preise variieren je nach Paket. Prüfen Sie stets die enthaltenen Leistungen und Ausschlüsse jedes Pakets.

Wie wird der 24h-Meldeservice aktiviert?

Nach Auswahl des Anbieters unterschreiben Sie das Mandat und tragen die Vertreterdaten in Ihre Dokumentation ein. Bei einem Vorfall übermitteln Sie die Meldung an den Vertreter, der sie an CSIRT/ENISA weiterleitet. Eine klare interne Prozedur und vorgefertigte Templates sind entscheidend.

Ist der Service auch an Wochenenden und Feiertagen 24/7 aktiv?

Ja, zumindest bei REP27 ist der Meldekanal rund um die Uhr an allen Tagen des Jahres aktiv, inklusive Nächten, Wochenenden und Feiertagen. Prüfen Sie bei anderen Anbietern, ob der Service tatsächlich 24/7 verfügbar ist und Meldungen zeitnah bearbeitet werden.

Wie lange gilt das Mandat und wie funktioniert die Verlängerung?

Das Mandat gilt für ein Jahr mit jährlicher Verlängerung. REP27 veröffentlicht den Verlängerungspreis (€440), andere Anbieter tun dies nicht immer offen. Fragen Sie vor Vertragsabschluss immer nach Verlängerungskosten und Wechselbedingungen.

Was muss ich intern vorbereiten, um konform zu sein?

Sie müssen eine interne Prozedur einrichten, die definiert, wer Schwachstellen melden darf, wie Beweise gesammelt werden und wie die Meldetemplates ausgefüllt werden. Der Vertreter übermittelt nur die erhaltenen Meldungen; die Verantwortung für deren Richtigkeit liegt bei Ihnen.

Ist der Service auch für Verkäufe über Marktplätze verpflichtend?

Wenn Sie Hersteller des digitalen Produkts sind, das auf Marktplätzen (Amazon, Etsy etc.) verkauft wird, ja. Wenn Sie nur Händler oder Wiederverkäufer sind, nein. Klären Sie stets Ihre vertragliche Rolle, bevor Sie einen Vertreter bestellen.

Übernimmt der Vertreter auch GDPR- oder NIS2-Meldungen?

Nein, das CRA-Mandat umfasst nur Meldungen nach dem Cyber Resilience Act. Für GDPR oder NIS2 sind separate Mandate erforderlich, auch wenn einige Anbieter Pakete anbieten. Die Meldeverfahren sind getrennt und müssen separat verwaltet werden.

Was passiert, wenn ich den Anbieter im laufenden Jahr wechsle?

Prüfen Sie die vertraglichen Bedingungen: REP27 nennt klar Wechselpreise, andere Anbieter könnten Strafgebühren oder Kündigungsfristen verlangen. Planen Sie den Wechsel sorgfältig, um Lücken oder doppelte Abrechnungen zu vermeiden.

Deckt der Service auch die Schweiz ab?

Nein, die CRA-Vertretung gilt nur für die EU. REP27 bietet eine kostenlose Einschätzung für die Schweiz (nFADP) an, agiert aber nicht als Schweizer Vertreter. Wenn Sie auch in der Schweiz verkaufen, prüfen Sie dortige gesetzliche Pflichten.

Quellen

Cyber Resilience Act offizieller Text — nis2.gov.ie
REP27 — Europe Services, SE | CRA Authorised Representative Cost — gdprrepresentative.com
Kadano CRA Representation — kadano.io
Euverify CRA Representation — euverify.com
Licentium: EU Cyber Resilience Act – Vulnerability Reporting — licentium.io
ITPro: Cyber Resilience Act Bußgelder — itpro.com
EU-representa: Cyber Resilience Act Reporting — eu-representa.com