Kosten gemachtigde vertegenwoordiger Cyber Resilience Act: gids 2026

• REP27 — Europe Services, SE: €490/jaar, verlenging €440
• Kadano: €999/jaar (Oostenrijk), Euverify: £590/jaar (Ierland)
• Mandaat omvat alleen wettelijke vertegenwoordiging (Art. 18 CRA)
• Technische conformiteit, tests en SBOM niet inbegrepen bij aanbieders
• Prijzen gepubliceerd en gecontroleerd in oktober 2026
• Niet van toepassing voor importeurs, distributeurs of alleen EU-bedrijven

Bijgewerkt 20 October 2026 · 3 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 20 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat de wet vereist: Artikel 18 Cyber Resilience Act

De Cyber Resilience Act (EU-verordening 2024/2847) introduceert nieuwe verplichtingen voor fabrikanten van producten met digitale elementen die op de Europese markt willen verkopen. Met name Artikel 18 verplicht fabrikanten buiten de EU een gemachtigde vertegenwoordiger binnen de Unie aan te stellen. Deze vertegenwoordiger fungeert als officieel aanspreekpunt tussen de niet-EU fabrikant en de bevoegde autoriteiten van de lidstaten, vooral voor het beheer van kwetsbaarheidsmeldingen (Artikel 14) en communicatie met nationale CSIRT's en ENISA.

De benoeming moet formeel, schriftelijk en gedocumenteerd zijn. De gemachtigde vertegenwoordiger ontvangt en stuurt alle verzoeken van markttoezichthouders door en zorgt voor een altijd actieve communicatielijn. De verplichting geldt wanneer:

• De fabrikant buiten de EU is gevestigd
• Het product bestemd is voor de EU-markt (rechtstreekse verkoop, via distributeurs of marktplaatsen)

Importeurs en distributeurs binnen de EU zijn niet verplicht, tenzij zij producten onder eigen naam verkopen. De vertegenwoordiger verzorgt geen technische beoordeling, veiligheidstests of SBOM-generatie; dit blijft de verantwoordelijkheid van de fabrikant.

Het niet benoemen van een vertegenwoordiger kan leiden tot administratieve boetes en blokkering van toegang tot de EU-markt.

Hoe kies je een vertegenwoordiger: praktische criteria en vergelijking

Het kiezen van een gemachtigde vertegenwoordiger voor de Cyber Resilience Act is een strategische beslissing die impact heeft op compliance, reactietijd en transparantie richting autoriteiten. Belangrijke criteria zijn:

• Transparante prijs en verlengingsvoorwaarden: Kies bij voorkeur aanbieders die zowel de startprijs als de verlengingsprijs publiceren. REP27 doet dit; andere aanbieders geven dit soms alleen op aanvraag.
• Verifieerbaar certificaat: Een digitaal certificaat met QR-code en publieke verificatiepagina (zoals bij REP27) maakt het eenvoudig om de benoeming aan autoriteiten en partners te bewijzen.
• Taalondersteuning en reactietijden: Het vermogen om verzoeken in meerdere talen snel te beantwoorden, ook buiten kantooruren en tijdens feestdagen, is essentieel om te voldoen aan de strikte CRA-termijnen.
• Duidelijke uitsluitingen: Geen enkele aanbieder biedt technische beoordeling, veiligheidstests of SBOM aan. Deze diensten moeten apart geregeld worden.

Hieronder een praktische beslismatrix:

Overweeg ook bundelkortingen: REP27 biedt kortingen bij combinatie van mandaten (bijv. GDPR Art. 27 + CRA + NIS2), wat administratieve lasten en risico’s op gemiste verlenging vermindert.

Wat de prijs echt omvat: gedetailleerde vergelijking en beperkingen

De gepubliceerde prijs van aanbieders dekt uitsluitend de wettelijke vertegenwoordiging volgens Art. 18 CRA. Dit betekent:

• Ondertekening van het schriftelijke mandaat en uitgifte van een benoemingscertificaat
• Ontvangst en doorsturen van verzoeken van markttoezichthouders
• Beheer van kwetsbaarheidsmeldingen volgens Art. 14 CRA (bijv. doorsturen naar CSIRT en ENISA)

Niet inbegrepen zijn:

• Conformiteitsbeoordeling (verplicht voor belangrijke klasse II of kritische producten)
• Veiligheidstests, SBOM-generatie, technische ondersteuning
• Opstellen van technische beleidsdocumenten of documentatie

Samenvattende tabel:

Het mandaat is de minimale wettelijke basis voor toegang tot de EU-markt, maar technische compliance blijft volledig de verantwoordelijkheid van de fabrikant.

Verborgen kosten en extra uitgaven: wat echt belangrijk is

De kosten van de gemachtigde vertegenwoordiger zijn slechts een klein deel van de totale uitgaven voor compliance met de Cyber Resilience Act. De belangrijkste verborgen kosten zijn:

• Conformiteitsbeoordeling (notified body): Voor belangrijke klasse II of kritische producten is beoordeling door een aangemelde instantie verplicht en kan dit veel duurder zijn dan het vertegenwoordigersmandaat. Deze kosten zijn niet inbegrepen bij enige aanbieder.
• Technische ondersteuning en updates: De CRA vereist minimaal vijf jaar beveiligingsupdates, die gepland en gefinancierd moeten worden als onderdeel van de productlevenscyclus.
• Beheer van kwetsbaarheden: De interne organisatie moet klaar zijn om kwetsbaarheden binnen 24 uur na ontdekking te detecteren, documenteren en melden, anders dreigen boetes en reputatieschade.

REP27 stelt expliciet dat beoordeling, testen en SBOM niet inbegrepen zijn en niet als upsell worden aangeboden. Andere aanbieders publiceren geen details over extra kosten voor spoedverzoeken of aanvullende diensten; het is daarom essentieel deze informatie vooraf schriftelijk op te vragen.

Checklist om verrassingen te voorkomen:

1. Vraag altijd naar de verlengingsprijs en annuleringsvoorwaarden
2. Controleer of er kosten zijn voor verzoeken buiten kantooruren of spoed
3. Zorg dat de aanbieder duidelijk vermeldt wat wel en niet inbegrepen is

Hoe werkt de benoeming: stap voor stap en praktische checklist

De benoeming van een CRA-vertegenwoordiger volgt een nauwkeurig proces, cruciaal voor compliance en traceerbaarheid richting EU-autoriteiten. Zo werkt het:

1. Controleer de noodzaak: Ben je een niet-EU fabrikant met producten voor de EU-markt? Zo ja, ga door.
2. Beoordeel de productklasse: Standaard, belangrijk I/II, kritisch. Dit bepaalt of alleen een vertegenwoordiger nodig is of ook een notified body beoordeling.
3. Kies de aanbieder: Vergelijk prijzen, verlengingsvoorwaarden en verificatiemogelijkheden van de benoeming.
4. Vraag de benoeming aan: Onderteken het schriftelijke mandaat (Art. 18 CRA) met de gekozen aanbieder. REP27 geeft bijvoorbeeld de benoeming binnen 24 uur af.
5. Ontvang het certificaat: De aanbieder verstrekt een verifieerbaar certificaat (bijv. REP27 QR-code) voor opname in technische documentatie en rapportagekanalen.
6. Bereid de interne runbook voor: Definieer wie kwetsbaarheden kan melden, wie notificaties verstuurt en hoe reactietijden worden gedocumenteerd.
7. Voer de vertegenwoordigergegevens in: Werk technische documentatie, website en supportkanalen bij met de gegevens van de vertegenwoordiger.

Checklist om direct te volgen:

1. Controleer of je een niet-EU fabrikant bent met directe verkoop in de EU
2. Beoordeel de klasse van je product
3. Vergelijk prijzen en voorwaarden van aanbieders
4. Vraag duidelijkheid over uitsluitingen en extra kosten
5. Bereid de benodigde documenten voor de benoeming voor
6. Definieer de interne procedure voor kwetsbaarheidsbeheer

Risico’s en sancties: wat gebeurt er zonder vertegenwoordiger

Het niet benoemen van een gemachtigde vertegenwoordiger brengt concrete risico’s en potentieel hoge sancties met zich mee. In het bijzonder:

• Administratieve boetes: Nationale autoriteiten kunnen boetes opleggen en de verkoop van niet-conforme producten blokkeren. De wetgeving voorziet in aanzienlijke sancties, afhankelijk van nationale toepassing.
• Geen toegang tot de EU-markt: Zonder vertegenwoordiger mag het product niet legaal op de Europese markt worden gebracht. Dit kan hele productlijnen blokkeren.
• Vertraging bij incidentafhandeling: Zonder effectief communicatiekanaal kunnen kwetsbaarheidsmeldingen niet binnen de vereiste 24 uur worden afgehandeld, wat extra boetes en reputatieschade oplevert.

Belangrijk is dat de vertegenwoordiger geen technische of juridische verantwoordelijkheid draagt voor de productveiligheid: de uiteindelijke verantwoordelijkheid blijft bij de fabrikant. De vertegenwoordiger fungeert alleen als contactpunt en doorgeefluik naar autoriteiten.

Samenvattende tabel risico’s:

Wat aanbieders niet zeggen: beperkingen, uitsluitingen en verlengingen

Veel aanbieders publiceren geen belangrijke details die de keuze en het beheer van het mandaat kunnen beïnvloeden:

• Verlengingsprijs: Alleen REP27 publiceert de verlengingsprijs (bijv. €440/jaar). Andere aanbieders kunnen de prijs na het eerste jaar verhogen, dus vraag dit altijd schriftelijk na.
• Uitsluitingen: Technische beoordeling, veiligheidstests, SBOM en technische rapportage zijn nooit inbegrepen. Deze diensten moeten apart worden aangeschaft en kunnen het duurste deel van compliance vormen.
• Annuleringsvoorwaarden: De voorwaarden en termijnen voor het wisselen van vertegenwoordiger zijn niet altijd duidelijk. Controleer dit contractueel voor ondertekening.
• Kosten voor extra verzoeken: Geen enkele aanbieder publiceert kosten voor spoedverzoeken of buiten kantooruren. Vraag altijd of er extra kosten zijn voor niet-standaard diensten.
• Aansprakelijkheidsbeperkingen: De vertegenwoordiger neemt geen technische of juridische aansprakelijkheid voor het product. Zijn rol beperkt zich tot doorsturen en formele vertegenwoordiging.

Een geïnformeerde keuze begint altijd met zorgvuldig contractlezen en schriftelijke bevestiging van alle voorwaarden.

Praktische scenario’s: drie cases en de eenvoudigste oplossing

Om te verduidelijken hoe de verplichtingen gelden en wat de eenvoudigste oplossing is, volgen drie realistische scenario’s:

• US SaaS: Een Amerikaans bedrijf verkoopt software direct aan EU-klanten. Het moet een CRA vertegenwoordiger Art. 18 benoemen. Kan kiezen voor REP27 (€490/jaar) of een andere aanbieder. Bij cloudservices kan ook NIS2 compliance relevant zijn.
• Chinese verkoper op Amazon: Als het product de naam van de verkoper draagt, moet de fabrikant de vertegenwoordiger benoemen. Als Amazon optreedt als importeur van record, ligt de verantwoordelijkheid bij Amazon. Controleer wie als fabrikant/importeur in verkoopdocumenten staat.
• UK online shop: Een Britse webshop die direct aan EU-klanten verkoopt, moet een vertegenwoordiger benoemen. Verkoopt de shop alleen via EU-distributeurs die importeren en onder eigen naam verkopen, dan geldt de verplichting niet voor de shop.

Deze analyse helpt veelvoorkomende fouten te voorkomen en de meest efficiënte oplossing te kiezen voor de eigen situatie.