Koszty przedstawiciela upoważnionego Cyber Resilience Act: przewodnik 2026

• REP27 — Europe Services, SE: 490 €/rok, odnowienie 440 €
• Kadano: 999 €/rok (Austria), Euverify: 590 £/rok (Irlandia)
• Mandat obejmuje wyłącznie reprezentację prawną (Art. 18 CRA)
• Zgodność techniczna, testy i SBOM nie są uwzględnione u żadnego dostawcy
• Ceny opublikowane i zweryfikowane w październiku 2026
• Nie dotyczy importerów, dystrybutorów ani firm tylko z UE

Zaktualizowane 20 October 2026 · 3 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 20 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Wymogi prawne: Artykuł 18 Cyber Resilience Act

Cyber Resilience Act (Rozporządzenie UE 2024/2847) nakłada nowe obowiązki na producentów produktów z elementami cyfrowymi, którzy chcą wprowadzać je na rynek Unii Europejskiej. Szczególnie Artykuł 18 wymaga od producentów spoza UE wyznaczenia przedstawiciela upoważnionego na terenie UE. Przedstawiciel ten jest oficjalnym punktem kontaktowym między producentem spoza UE a właściwymi organami państw członkowskich, zwłaszcza w zakresie zarządzania zgłoszeniami podatności (Artykuł 14) oraz komunikacji z krajowymi CSIRT i ENISA.

Nomination musi być formalna, pisemna i udokumentowana. Przedstawiciel upoważniony ma obowiązek odbierać i przekazywać wszystkie żądania od organów nadzoru rynku oraz zapewniać stały kanał komunikacji. Obowiązek ten dotyczy producenta, gdy:

• Producent ma siedzibę poza UE
• Produkt jest przeznaczony na rynek UE (sprzedaż bezpośrednia, przez dystrybutorów lub platformy handlowe)

Importerzy i dystrybutorzy z UE nie są objęci tym obowiązkiem, chyba że sprzedają produkty na własny rachunek. Przedstawiciel nie zajmuje się oceną techniczną, testami bezpieczeństwa ani generowaniem SBOM – te obowiązki pozostają po stronie producenta.

Brak wyznaczenia przedstawiciela może skutkować karami administracyjnymi i zablokowaniem dostępu do rynku UE.

Jak wybrać przedstawiciela: praktyczne kryteria i porównanie

Wybór przedstawiciela upoważnionego dla Cyber Resilience Act to strategiczna decyzja wpływająca na zgodność, szybkość reakcji i transparentność wobec władz. Kluczowe kryteria to:

• Przejrzysta cena i warunki odnowienia: Warto wybierać dostawców, którzy publikują zarówno cenę początkową, jak i warunki odnowienia. REP27 np. podaje oba; inni mogą udostępniać te informacje tylko na żądanie.
• Weryfikowalny certyfikat: Cyfrowy certyfikat z kodem QR i publiczną stroną weryfikacji (jak u REP27) umożliwia łatwe potwierdzenie nominacji przed władzami i partnerami handlowymi.
• Obsługa językowa i czas reakcji: Umiejętność obsługi zapytań w wielu językach oraz szybka odpowiedź, także poza godzinami pracy i w święta, jest kluczowa dla spełnienia wymogów CRA.
• Jasne wyłączenia: Żaden z dostawców nie oferuje oceny technicznej, testów bezpieczeństwa ani SBOM. Te usługi zawsze są wyłączone i muszą być realizowane oddzielnie.

Poniżej praktyczna matryca decyzyjna:

Warto też rozważyć pakiety: REP27 oferuje zniżki przy łączeniu mandatów (np. GDPR Art. 27 + CRA + NIS2), co zmniejsza złożoność administracyjną i ryzyko nieodnowienia.

Co naprawdę obejmuje cena: szczegółowe porównanie i ograniczenia

Opublikowana cena obejmuje wyłącznie reprezentację prawną zgodnie z Art. 18 CRA, co oznacza:

• Podpisanie pisemnego mandatu i wydanie certyfikatu nominacji
• Odbieranie i przekazywanie żądań organów nadzoru rynku
• Zarządzanie zgłoszeniami podatności zgodnie z Art. 14 CRA (np. przekazywanie do CSIRT i ENISA)

Nie są nigdy wliczone:

• Ocena zgodności (obowiązkowa dla produktów klasy ważnej II lub krytycznych)
• Testy bezpieczeństwa, generowanie SBOM, wsparcie inżynieryjne
• Opracowywanie polityk technicznych lub dokumentacji technicznej

Podsumowanie w tabeli:

Mandat stanowi minimalną podstawę prawną do wejścia na rynek UE, ale odpowiedzialność za zgodność techniczną spoczywa wyłącznie na producencie.

Ukryte koszty i dodatkowe opłaty: co naprawdę warto wiedzieć

Koszt przedstawiciela upoważnionego to tylko niewielka część całkowitych wydatków na zgodność z Cyber Resilience Act. Najważniejsze ukryte koszty to:

• Ocena zgodności (organ notyfikowany): Dla produktów klasy ważnej II lub krytycznych ocena przez organ notyfikowany jest obowiązkowa i może być znacznie droższa niż mandat przedstawiciela. Koszty te nie są uwzględnione przez żadnego dostawcę.
• Wsparcie techniczne i aktualizacje: CRA wymaga co najmniej pięciu lat aktualizacji bezpieczeństwa, które muszą być zaplanowane i finansowane jako integralna część cyklu życia produktu.
• Zarządzanie podatnościami: Organizacja wewnętrzna musi być gotowa do wykrywania, dokumentowania i zgłaszania podatności w ciągu 24 godzin od ich wykrycia, pod groźbą sankcji i utraty reputacji.

REP27 jasno deklaruje, że oceny, testy i SBOM nie są wliczone i nie są oferowane jako upsell. Inni dostawcy nie publikują szczegółów dotyczących ewentualnych dodatkowych opłat za pilne zgłoszenia lub usługi dodatkowe; dlatego konieczne jest wyraźne zapytanie o te informacje przed podpisaniem umowy.

Lista kontrolna, by uniknąć niespodzianek:

1. Zawsze pytaj o cenę odnowienia i warunki rezygnacji
2. Sprawdź, czy są opłaty za zgłoszenia poza godzinami pracy lub pilne
3. Upewnij się, że dostawca jasno wymienia, co jest wliczone, a co nie

Jak przebiega nominacja: krok po kroku i praktyczna lista kontrolna

Nominacja przedstawiciela CRA przebiega według określonej procedury, kluczowej dla zapewnienia zgodności i śledzenia wobec władz UE. Oto jak to działa:

1. Sprawdź potrzebę: Jesteś producentem spoza UE z produktami na rynek UE? Jeśli tak, kontynuuj.
2. Określ klasę produktu: Domyślna, ważna I/II, krytyczna. To decyduje, czy potrzebujesz tylko przedstawiciela, czy także oceny notyfikowanej.
3. Wybierz dostawcę: Porównaj ceny, warunki odnowienia i sposób weryfikacji nominacji.
4. Złóż wniosek o nominację: Podpisz pisemny mandat (Art. 18 CRA) z wybranym dostawcą. REP27 np. wydaje nominację w ciągu 24 godzin.
5. Odbierz certyfikat: Dostawca wydaje weryfikowalny certyfikat (np. kod QR REP27), który należy umieścić w dokumentacji technicznej i kanałach raportowania.
6. Przygotuj wewnętrzny runbook: Określ, kto może zgłaszać wykrycie podatności, kto wysyła powiadomienia i jak dokumentowane są czasy reakcji.
7. Wprowadź dane przedstawiciela: Zaktualizuj dokumentację techniczną, stronę internetową i kanały wsparcia o dane przedstawiciela.

Lista kontrolna do wykonania od zaraz:

1. Sprawdź, czy jesteś producentem spoza UE ze sprzedażą bezpośrednią w UE
2. Określ klasę swojego produktu
3. Porównaj ceny i warunki dostawców
4. Zapytaj o wyłączenia i dodatkowe koszty
5. Przygotuj dokumentację do nominacji
6. Zdefiniuj wewnętrzny proces zarządzania podatnościami

Ryzyka i sankcje: co się stanie bez przedstawiciela

Brak nominacji przedstawiciela upoważnionego niesie realne ryzyka i potencjalnie wysokie sankcje. W szczególności:

• Kary administracyjne: Krajowe organy mogą nakładać grzywny i blokować sprzedaż produktów niezgodnych z przepisami. Sankcje mogą być znaczące, choć ich wysokość zależy od przepisów krajowych.
• Brak dostępu do rynku UE: Bez przedstawiciela produkt nie może być legalnie wprowadzony na rynek europejski, co może zablokować całe linie biznesowe.
• Opóźnienia w obsłudze incydentów: Brak skutecznego kanału komunikacji może skutkować niezgodnym z terminem (24 godziny) zarządzaniem zgłoszeniami podatności, co naraża firmę na dodatkowe sankcje i utratę reputacji.

Warto podkreślić, że przedstawiciel nie ponosi odpowiedzialności technicznej ani prawnej za bezpieczeństwo produktu; ostateczna odpowiedzialność zawsze spoczywa na producencie. Przedstawiciel pełni jedynie rolę punktu kontaktowego i pośrednika wobec władz.

Podsumowanie ryzyk w tabeli:

Czego dostawcy nie mówią: ograniczenia, wyłączenia i odnowienia

Wielu dostawców nie ujawnia ważnych szczegółów, które mogą wpłynąć na wybór i zarządzanie mandatem:

• Cena odnowienia: Tylko REP27 publikuje cenę odnowienia (np. 440 €/rok). Inni mogą podnieść cenę po pierwszym roku, dlatego ważne jest uzyskanie tej informacji na piśmie przed podpisaniem umowy.
• Wyłączenia: Ocena techniczna, testy bezpieczeństwa, SBOM i raportowanie techniczne nigdy nie są wliczone. Usługi te trzeba kupić osobno i mogą stanowić największą część kosztów zgodności.
• Warunki rezygnacji: Procedury i terminy zmiany przedstawiciela nie zawsze są jasne. Należy je sprawdzić w umowie przed podpisaniem.
• Koszty za dodatkowe żądania: Żaden z wymienionych dostawców nie publikuje opłat za pilne lub niestandardowe zgłoszenia. Zawsze pytaj o możliwe dodatkowe opłaty.
• Ograniczenia odpowiedzialności: Przedstawiciel nie ponosi odpowiedzialności technicznej ani prawnej za produkt. Jego rola ogranicza się do reprezentacji i przekazywania informacji.

Świadomy wybór zaczyna się od dokładnego przeczytania umowy i uzyskania wszystkich warunków na piśmie.

Praktyczne scenariusze: trzy realne przypadki i najprostsze rozwiązanie

Dla zobrazowania zastosowania obowiązków i najprostszych rozwiązań, oto trzy realistyczne scenariusze:

• US SaaS: Amerykańska firma sprzedaje oprogramowanie bezpośrednio klientom w UE. Musi wyznaczyć przedstawiciela CRA Art. 18. Może wybrać REP27 (490 €/rok) lub innego dostawcę. Jeśli oferuje też usługi chmurowe, może potrzebować zgodności z NIS2.
• Sprzedawca chiński na Amazon: Jeśli produkt jest na nazwisko sprzedawcy, to on musi wyznaczyć przedstawiciela. Jeśli Amazon działa jako importer rejestracyjny, odpowiedzialność przechodzi na Amazon. Kluczowe jest sprawdzenie, kto figuruje jako producent/importer w dokumentach sprzedaży.
• Sklep online z UK: Brytyjski sklep sprzedający bezpośrednio klientom UE musi wyznaczyć przedstawiciela. Jeśli sprzedaje tylko przez dystrybutorów UE, którzy importują i sprzedają na własny rachunek, obowiązek nie dotyczy sklepu z UK.

Ta analiza pomaga uniknąć typowych błędów i wybrać najefektywniejsze rozwiązanie dla swojej sytuacji.