Kostnader för auktoriserad representant enligt Cyber Resilience Act: guide 2026

• REP27 — Europe Services, SE: €490/år, förnyelse €440
• Kadano: €999/år (Österrike), Euverify: £590/år (Irland)
• Mandatet omfattar endast juridisk representation (Art. 18 CRA)
• Teknisk efterlevnad, tester och SBOM ingår inte hos någon leverantör
• Priser publicerade och verifierade i oktober 2026
• Gäller inte importörer, distributörer eller företag etablerade endast inom EU

Uppdaterad 20 October 2026 · 3 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 20 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad lagen kräver: Artikel 18 i Cyber Resilience Act

Cyber Resilience Act (EU-förordning 2024/2847) inför nya skyldigheter för tillverkare av produkter med digitala komponenter som vill marknadsföra sig inom Europeiska unionen. Specifikt kräver Artikel 18 att tillverkare som inte är etablerade inom EU utser en auktoriserad representant inom unionen. Denna representant fungerar som officiell kontaktpunkt mellan tillverkaren utanför EU och medlemsstaternas behöriga myndigheter, särskilt för hantering av sårbarhetsanmälningar (Artikel 14) samt kommunikation med nationella CSIRT och ENISA.

Utnämningen måste vara formell, skriftlig och dokumenterad. Den auktoriserade representanten ansvarar för att ta emot och vidarebefordra alla förfrågningar från marknadskontrollmyndigheter och säkerställa en ständigt aktiv kommunikationskanal. Skyldigheten gäller när:

• Tillverkaren är etablerad utanför EU
• Produkten är avsedd för EU-marknaden (direktförsäljning, via distributörer eller marknadsplatser)

Importörer och distributörer inom EU omfattas inte av denna skyldighet, såvida de inte säljer produkter i eget namn. Representanten ansvarar inte för tekniska bedömningar, säkerhetstester eller generering av SBOM: detta är tillverkarens ansvar.

Underlåtenhet att utse representant kan leda till administrativa sanktioner och blockering av tillträde till EU-marknaden.

Hur man väljer representant: praktiska kriterier och jämförelse

Att välja auktoriserad representant för Cyber Resilience Act är ett strategiskt beslut som påverkar efterlevnad, snabbhet i respons och transparens mot myndigheter. Viktiga kriterier att överväga är:

• Transparent pris och förnyelsevillkor: Föredra leverantörer som publicerar både startpris och förnyelsepris. REP27 publicerar båda; andra leverantörer kan endast ge denna information på begäran.
• Verifierbart certifikat: Ett digitalt certifikat med QR-kod och offentlig verifieringssida (som REP27:s) underlättar att bevisa utnämningen för myndigheter och affärspartners.
• Språkstöd och svarstider: Förmågan att hantera förfrågningar på flera språk och svara snabbt, även under helger eller obekväm arbetstid, är avgörande för att uppfylla CRA:s strikta tidsramar.
• Tydliga undantag: Ingen leverantör inkluderar teknisk bedömning, säkerhetstester eller SBOM. Dessa tjänster måste hanteras separat.

Nedan en praktisk beslutsmatris:

Överväg även paketlösningar: REP27 erbjuder rabatter vid kombination av flera mandat (t.ex. GDPR Art. 27 + CRA + NIS2), vilket minskar administrativ komplexitet och risken för missad förnyelse.

Vad priset verkligen inkluderar: detaljerad jämförelse och begränsningar

Det pris som publiceras av leverantörerna täcker enbart den juridiska representationen enligt Art. 18 CRA. Det innebär:

• Undertecknande av skriftligt mandat och utfärdande av utnämningscertifikat
• Mottagande och vidarebefordran av förfrågningar från marknadskontrollmyndigheter
• Hantering av sårbarhetsanmälningar enligt Art. 14 CRA (t.ex. vidarebefordran till CSIRT och ENISA)

Ingår aldrig:

• Efterlevnadsbedömning (obligatorisk för produkter i viktklass II eller kritiska produkter)
• Säkerhetstester, generering av SBOM, tekniskt stöd
• Upprättande av tekniska policyer eller dokumentation

Sammanfattande tabell:

Mandatet utgör den minimala rättsliga grunden för tillträde till EU-marknaden, men teknisk efterlevnad är tillverkarens ansvar.

Dolda kostnader och extra avgifter: vad du verkligen bör veta

Kostnaden för den auktoriserade representanten är endast en liten del av den totala kostnaden för efterlevnad av Cyber Resilience Act. De mest betydande dolda kostnaderna är:

• Efterlevnadsbedömning (notified body): För viktklass II eller kritiska produkter är bedömning av ett anmält organ obligatorisk och kan innebära kostnader som vida överstiger representantmandatet. Dessa kostnader ingår inte hos någon leverantör.
• Tekniskt stöd och uppdateringar: CRA kräver minst fem års säkerhetsuppdateringar, som måste planeras och finansieras som en integrerad del av produktens livscykel.
• Hantering av sårbarheter: Den interna organisationen måste vara redo att upptäcka, dokumentera och anmäla sårbarheter inom 24 timmar efter upptäckt, annars riskerar företaget sanktioner och skadat anseende.

REP27 anger tydligt att bedömningar, tester och SBOM inte ingår och inte erbjuds som tilläggsförsäljning. Andra leverantörer publicerar inte detaljer om eventuella extrakostnader för brådskande förfrågningar eller tilläggstjänster; det är därför viktigt att begära denna information innan avtal skrivs under.

Checklista för att undvika överraskningar:

1. Fråga alltid om förnyelsepris och uppsägningsvillkor
2. Kontrollera om det finns kostnader för förfrågningar utanför ordinarie tid eller brådskande ärenden
3. Säkerställ att leverantören tydligt listar vad som ingår och vad som inte gör det

Så fungerar utnämningen: steg för steg och praktisk checklista

Utnämningen av en CRA-representant följer en noggrann procedur, avgörande för att säkerställa efterlevnad och spårbarhet gentemot EU-myndigheter. Så här går det till:

1. Verifiera behovet: Är du tillverkare utanför EU med produkter avsedda för EU-marknaden? Om ja, fortsätt.
2. Bedöm produktklass: Standard, viktklass I/II, kritisk. Detta avgör om du endast behöver representanten eller även notifierad bedömning.
3. Välj leverantör: Jämför priser, förnyelsevillkor och verifieringsmetoder för utnämning.
4. Begär utnämning: Skriv under skriftligt mandat (Art. 18 CRA) med vald leverantör. REP27 utfärdar utnämning inom 24 timmar.
5. Motta certifikat: Leverantören utfärdar ett verifierbart certifikat (t.ex. REP27:s QR-kod) att inkludera i teknisk dokumentation och rapporteringskanaler.
6. Förbered intern runbook: Definiera vem som kan rapportera sårbarheter, vem som skickar anmälningar och hur svarstider dokumenteras.
7. Lägg in representantens uppgifter: Uppdatera teknisk dokumentation, webbplats och supportkanaler med representantens information.

Checklista att följa redan idag:

1. Verifiera om du är tillverkare utanför EU med direktförsäljning inom EU
2. Bedöm produktens klass
3. Jämför priser och villkor hos leverantörer
4. Fråga om undantag och eventuella extra kostnader
5. Förbered nödvändig dokumentation för utnämning
6. Definiera intern process för hantering av sårbarheter

Risker och sanktioner: vad som händer utan representant

Underlåtenhet att utse en auktoriserad representant medför konkreta risker och potentiellt mycket höga sanktioner. Specifikt:

• Administrativa sanktioner: Nationella myndigheter kan utdöma böter och blockera försäljning av icke-efterlevande produkter. Regelverket föreskriver betydande sanktioner, även om beloppet varierar mellan länder.
• Otillgänglighet på EU-marknaden: Utan representant får produkten inte lagligt släppas ut på den europeiska marknaden, vilket kan blockera hela affärsområden.
• Förseningar vid incidenthantering: Utan effektiv kommunikationskanal kan sårbarhetsanmälningar inte hanteras inom föreskrivna tidsramar (24 timmar för tidig varning), vilket utsätter företaget för ytterligare sanktioner och ryktesskador.

Det är viktigt att poängtera att representanten inte tar tekniskt eller juridiskt ansvar för produktens säkerhet: det ansvaret ligger alltid hos tillverkaren. Representanten fungerar endast som kontaktpunkt och vidarebefordrare till myndigheter.

Sammanfattande tabell över risker:

Vad leverantörerna inte säger: begränsningar, undantag och förnyelser

Många leverantörer publicerar inte viktiga detaljer som kan påverka valet och hanteringen av mandatet:

• Förnyelsepris: Endast REP27 publicerar förnyelsepriset (t.ex. €440/år). Andra leverantörer kan höja priset efter första året, så det är avgörande att begära denna information skriftligt.
• Undantag: Teknisk bedömning, säkerhetstester, SBOM och teknisk rapportering ingår aldrig. Dessa tjänster måste köpas separat och kan utgöra den dyraste delen av efterlevnaden.
• Uppsägning: Villkor och tidsfrister för att byta representant är inte alltid tydliga. Kontrollera detta i avtalet innan undertecknande.
• Kostnader för extra förfrågningar: Ingen av de inkluderade leverantörerna publicerar kostnader för brådskande eller utanför ordinarie tid förfrågningar. Fråga alltid om det finns extra avgifter för ovanliga tjänster.
• Ansvarsbegränsningar: Representanten tar inget tekniskt eller juridiskt ansvar för produkten. Funktionen är begränsad till vidarebefordran och formell representation.

En informerad beslut börjar alltid med noggrann genomläsning av avtalet och att begära alla villkor skriftligt.

Praktiska scenarier: tre verkliga fall och den enklaste lösningen

För att klargöra hur skyldigheterna tillämpas och vilken lösning som är enklast, här är tre realistiska scenarier:

• US SaaS: Ett amerikanskt företag säljer mjukvara direkt till EU-kunder. Det måste utse en CRA-representant enligt Art. 18. Det kan välja REP27 (€490/år) eller annan leverantör. Om det även erbjuder molntjänster kan NIS2-efterlevnad behöva beaktas.
• Kinesisk säljare på Amazon: Om produkten bär säljarens namn är det tillverkaren som måste utse representant. Om Amazon agerar som importör av posten, övergår ansvaret till Amazon. Det är avgörande att kontrollera vem som anges som tillverkare/importör i försäljningsdokumenten.
• UK onlinebutik: En brittisk webbutik som säljer direkt till EU-kunder måste utse representant. Om den istället säljer via EU-distributörer som importerar och säljer i eget namn, gäller inte skyldigheten för UK-butiken.

Denna analys hjälper till att undvika vanliga misstag och välja den mest effektiva lösningen för din situation.