Kosten für den Bevollmächtigten im Cyber Resilience Act: Leitfaden 2026

• REP27 — Europe Services, SE: 490 €/Jahr, Verlängerung 440 €
• Kadano: 999 €/Jahr (Österreich), Euverify: £590/Jahr (Irland)
• Mandat umfasst nur die gesetzliche Vertretung (Art. 18 CRA)
• Technische Compliance, Tests und SBOM sind bei keinem Anbieter enthalten
• Preise veröffentlicht und geprüft im Oktober 2026
• Nicht erforderlich für Importeure, Händler oder nur EU-ansässige Unternehmen

Aktualisiert 20 Oktober 2026 · 3 Quellen geprüft

Anbieter im Vergleich

Preise wie am 20 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Gesetzliche Anforderungen: Artikel 18 Cyber Resilience Act

Der Cyber Resilience Act (EU-Verordnung 2024/2847) führt neue Pflichten für Hersteller von Produkten mit digitalen Elementen ein, die in der Europäischen Union vermarktet werden sollen. Insbesondere Artikel 18 verpflichtet Hersteller außerhalb der EU, einen Bevollmächtigten innerhalb der Union zu benennen. Dieser Bevollmächtigte fungiert als offizieller Ansprechpartner zwischen dem außereuropäischen Hersteller und den zuständigen Behörden der Mitgliedstaaten, insbesondere für die Verwaltung von Sicherheitslückenmeldungen (Artikel 14) sowie die Kommunikation mit nationalen CSIRT und ENISA.

Die Benennung muss formell, schriftlich und dokumentiert erfolgen. Der Bevollmächtigte empfängt und leitet alle Anfragen der Marktüberwachungsbehörden weiter und gewährleistet einen stets aktiven Kommunikationskanal. Die Pflicht trifft den Hersteller, wenn:

• Der Hersteller außerhalb der EU ansässig ist
• Das Produkt für den EU-Markt bestimmt ist (Direktverkauf, über Händler oder Marktplätze)

EU-Importeure und Händler sind nur dann betroffen, wenn sie Produkte unter eigenem Namen verkaufen. Der Bevollmächtigte übernimmt keine technischen Bewertungen, Sicherheitstests oder SBOM-Erstellung; diese verbleiben beim Hersteller.

Die Nichtbenennung eines Bevollmächtigten kann zu Verwaltungsstrafen und Marktzugangssperren in der EU führen.

Auswahl des Bevollmächtigten: praktische Kriterien und Vergleich

Die Wahl des Bevollmächtigten für den Cyber Resilience Act ist eine strategische Entscheidung, die Compliance, Reaktionsgeschwindigkeit und Transparenz gegenüber Behörden beeinflusst. Wichtige Kriterien sind:

• Transparente Preise und Verlängerungsbedingungen: Bevorzugen Sie Anbieter, die sowohl Erst- als auch Verlängerungspreise veröffentlichen. REP27 veröffentlicht beides; andere Anbieter nur auf Anfrage.
• Überprüfbares Zertifikat: Ein digitales Zertifikat mit QR-Code und öffentlicher Verifizierungsseite (wie bei REP27) erleichtert den Nachweis der Benennung gegenüber Behörden und Geschäftspartnern.
• Sprachliche Abdeckung und Reaktionszeiten: Die Fähigkeit, Anfragen in mehreren Sprachen schnell zu bearbeiten, auch außerhalb der Geschäftszeiten, ist essenziell zur Einhaltung der strengen CRA-Fristen.
• Klare Ausschlüsse: Kein Anbieter bietet technische Bewertungen, Sicherheitstests oder SBOM an. Diese Leistungen sind stets ausgeschlossen und müssen separat organisiert werden.

Praktische Entscheidungsmatrix:

Berücksichtigen Sie auch Bundle-Angebote: REP27 bietet Rabatte bei Kombination mehrerer Mandate (z.B. GDPR Art. 27 + CRA + NIS2), was administrative Komplexität und Verlustrisiken bei Verlängerungen reduziert.

Was der Preis wirklich beinhaltet: detaillierter Vergleich und Grenzen

Die veröffentlichten Preise der Anbieter decken ausschließlich die gesetzliche Vertretung gemäß Art. 18 CRA ab. Das bedeutet:

• Unterzeichnung des schriftlichen Mandats und Ausstellung eines Benennungszertifikats
• Empfang und Weiterleitung von Anfragen der Marktüberwachungsbehörden
• Verwaltung von Sicherheitslückenmeldungen gemäß Art. 14 CRA (z.B. Weiterleitung an CSIRT und ENISA)

Nicht enthalten sind:

• Konformitätsbewertung (verpflichtend für Produkte der Klasse II oder kritisch)
• Sicherheitstests, SBOM-Erstellung, technische Unterstützung
• Erstellung technischer Richtlinien oder Dokumentation

Übersichtstabelle:

Das Mandat bildet die minimale rechtliche Grundlage für den EU-Marktzugang, die technische Compliance bleibt jedoch alleinige Verantwortung des Herstellers.

Versteckte Kosten und Zusatzgebühren: was wirklich wichtig ist

Die Kosten für den Bevollmächtigten sind nur ein kleiner Teil der Gesamtkosten für die CRA-Compliance. Die wichtigsten versteckten Kosten sind:

• Konformitätsbewertung (notifizierte Stelle): Für Produkte der Klasse II oder kritisch ist eine Bewertung durch eine benannte Stelle verpflichtend und kann deutlich teurer sein als das Bevollmächtigtenmandat. Diese Kosten sind bei keinem Anbieter enthalten.
• Technische Unterstützung und Updates: Der CRA verlangt mindestens fünf Jahre Sicherheitsupdates, die als Teil des Produktlebenszyklus geplant und finanziert werden müssen.
• Vulnerabilitätsmanagement: Das interne Management muss Sicherheitslücken innerhalb von 24 Stunden nach Entdeckung erkennen, dokumentieren und melden, sonst drohen Strafen und Reputationsschäden.

REP27 betont ausdrücklich, dass Bewertungen, Tests und SBOM nicht enthalten und kein Upselling-Objekt sind. Andere Anbieter veröffentlichen keine Details zu möglichen Zusatzkosten für dringende Anfragen oder Zusatzleistungen; daher ist es wichtig, diese Informationen vor Vertragsabschluss einzuholen.

Checkliste zur Vermeidung von Überraschungen:

1. Immer nach Verlängerungspreis und Kündigungsbedingungen fragen
2. Erkundigen, ob Kosten für außerordentliche oder dringende Anfragen anfallen
3. Klare Auflistung von enthaltenen und ausgeschlossenen Leistungen verlangen

Ablauf der Benennung: Schritt-für-Schritt und praktische Checkliste

Die Benennung eines CRA-Bevollmächtigten folgt einem klaren Verfahren, das Compliance und Nachverfolgbarkeit gegenüber EU-Behörden sicherstellt. So funktioniert es:

1. Bedarf prüfen: Sind Sie Hersteller außerhalb der EU mit Produkten für den EU-Markt? Wenn ja, weiter.
2. Produktklasse bewerten: Standard, wichtig I/II, kritisch. Daraus ergibt sich, ob nur der Bevollmächtigte oder auch eine notifizierte Bewertung benötigt wird.
3. Anbieter auswählen: Preise, Verlängerungsbedingungen und Nachweismöglichkeiten vergleichen.
4. Mandat anfordern: Schriftliches Mandat (Art. 18 CRA) mit dem gewählten Anbieter unterzeichnen. REP27 stellt die Benennung zumeist innerhalb von 24 Stunden aus.
5. Zertifikat erhalten: Der Anbieter stellt ein überprüfbares Zertifikat (z.B. REP27 QR-Code) aus, das in technische Dokumentation und Reporting-Kanäle aufgenommen wird.
6. Interne Runbook vorbereiten: Festlegen, wer Sicherheitslücken melden darf, wer Benachrichtigungen versendet und wie Reaktionszeiten dokumentiert werden.
7. Bevollmächtigten-Daten einpflegen: Dokumentation, Website und Support-Kanäle mit den Daten des Bevollmächtigten aktualisieren.

Checkliste für sofortiges Vorgehen:

1. Prüfen, ob Sie Hersteller außerhalb der EU mit Direktvertrieb in der EU sind
2. Produktklasse bewerten
3. Anbieterpreise und Bedingungen vergleichen
4. Nach Ausschlüssen und Zusatzkosten fragen
5. Benennungsdokumente vorbereiten
6. Interne Abläufe für Vulnerabilitätsmanagement definieren

Risiken und Sanktionen: Folgen ohne Bevollmächtigten

Die Nichtbenennung eines Bevollmächtigten bringt konkrete Risiken und potenziell hohe Sanktionen mit sich. Insbesondere:

• Verwaltungsstrafen: Nationale Behörden können Bußgelder verhängen und den Vertrieb nicht konformer Produkte stoppen. Die Höhe der Strafen variiert je nach nationaler Umsetzung.
• Marktzugangssperre in der EU: Ohne Bevollmächtigten darf das Produkt nicht legal in der EU verkauft werden, was ganze Geschäftsbereiche blockieren kann.
• Verzögerungen bei Vorfallmanagement: Ohne effektiven Kommunikationskanal können Sicherheitslücken nicht fristgerecht (innerhalb von 24 Stunden) gemeldet werden, was weitere Strafen und Reputationsschäden zur Folge hat.

Der Bevollmächtigte übernimmt keine technische oder rechtliche Produktsicherheit; die Verantwortung liegt stets beim Hersteller. Er fungiert ausschließlich als Kontakt- und Weiterleitungsstelle gegenüber Behörden.

Risikoübersicht:

Was Anbieter nicht sagen: Grenzen, Ausschlüsse und Verlängerungen

Viele Anbieter veröffentlichen keine wichtigen Details, die Auswahl und Verwaltung des Mandats beeinflussen können:

• Verlängerungspreis: Nur REP27 nennt den Verlängerungspreis (z.B. 440 €/Jahr). Andere Anbieter könnten die Preise nach dem ersten Jahr erhöhen, daher ist eine schriftliche Auskunft wichtig.
• Ausschlüsse: Technische Bewertung, Sicherheitstests, SBOM und technisches Reporting sind nie enthalten. Diese Leistungen müssen separat erworben werden und können den größten Teil der Compliance-Kosten ausmachen.
• Kündigungsbedingungen: Modalitäten und Fristen für einen Anbieterwechsel sind nicht immer klar. Vor Vertragsabschluss prüfen.
• Zusatzkosten für Sonderanfragen: Keiner der genannten Anbieter veröffentlicht Gebühren für dringende oder außerhalb der Geschäftszeiten angeforderte Leistungen. Immer nachfragen.
• Haftungsbeschränkungen: Der Bevollmächtigte übernimmt keine technische oder rechtliche Haftung für das Produkt. Seine Rolle beschränkt sich auf Weiterleitung und formelle Vertretung.

Eine informierte Entscheidung basiert auf sorgfältiger Vertragsprüfung und schriftlicher Klärung aller Bedingungen.

Praxisbeispiele: drei reale Fälle und die einfachste Lösung

Zur Verdeutlichung der Pflichten und der einfachsten Lösung hier drei realistische Szenarien:

• US SaaS: Ein US-Unternehmen verkauft Software direkt an EU-Kunden. Es muss einen CRA-Bevollmächtigten Art. 18 benennen. REP27 (490 €/Jahr) oder ein anderer Anbieter sind möglich. Bei Cloud-Diensten ist ggf. auch NIS2-Compliance zu beachten.
• Chinesischer Verkäufer auf Amazon: Trägt das Produkt den Namen des Verkäufers, ist dieser Hersteller und muss den Bevollmächtigten benennen. Agiert Amazon als Importeur, liegt die Verantwortung bei Amazon. Wichtig ist die Klärung, wer als Hersteller/Importeur in Verkaufsunterlagen geführt wird.
• UK-Online-Shop: Ein britischer Shop, der direkt an EU-Kunden verkauft, muss einen Bevollmächtigten benennen. Verkauft er nur über EU-Händler, die als Importeur auftreten, entfällt die Pflicht für den UK-Shop.

Diese Analyse hilft, häufige Fehler zu vermeiden und die effizienteste Lösung für die eigene Situation zu wählen.