Valtuutetun edustajan kustannukset Cyber Resilience Actissa: Tarjoajat & hinnat 2026

• CRA:n artikla 18: Edustajavelvollisuus EU:n ulkopuolisille valmistajille
• Vahvistetut hinnat 2026: 490 €–999 € vuodessa
• REP27: 490 € (ensimmäinen vuosi), 440 € (jatko), ei lisämaksuja
• Palvelut vaihtelevat: vaatimustenmukaisuuden arviointi ja testit eivät sisälly
• Sakot jopa 15 miljoonaa € tai 2,5 % liikevaihdosta rikkomuksissa (artikla 64 CRA)
• Kaikki eivät tarvitse edustajaa: maahantuojat, jakelijat ja EU-valmistajat eivät

Päivitetty 25 October 2026 · 7 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 25 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä Cyber Resilience Act määrää (artiklat)

Cyber Resilience Act (CRA) on keskeinen EU-asetus digitaalisten tuotteiden kyberturvallisuudesta. EU:n ulkopuolisten valmistajien on nimettävä valtuutettu edustaja EU:ssa, kun he tarjoavat tuotteita Euroopan markkinoilla. Tämä velvoite perustuu artiklaan 18 CRA:ssa (Lähde).

• Artikla 18: EU:n ulkopuoliset valmistajat nimeävät edustajan, joka toimii heidän nimissään viranomaisten ja markkinavalvontaviranomaisten kanssa.
• Artiklat 13 ja 14: Määrittelevät turvallisuusvaatimukset ja haavoittuvuuksien sekä turvallisuuspoikkeamien ilmoitusvelvollisuuden. 11. syyskuuta 2026 alkaen valmistajien on ilmoitettava aktiivisesti hyödynnetystä turvallisuusongelmasta 24 tunnin kuluessa (Lähde).
• Artikla 64: Rikkomuksista voi seurata sakkoja jopa 15 miljoonaa € tai 2,5 % maailmanlaajuisesta vuosiliikevaihdosta (Lähde).
• Artikla 71: Asetus tuli voimaan 10. joulukuuta 2024. Ilmoitusvelvollisuus alkaa 11. syyskuuta 2026 ja täysi soveltaminen 11. joulukuuta 2027 (Lähde).

Velvoite koskee vain EU:n ulkopuolella sijaitsevia valmistajia. Maahantuojat ja jakelijat ovat velvollisia vain, jos ne toimivat valmistajina (esim. uudelleenbrändäys tai oma markkinoille saattaminen). Avoimen lähdekoodin projektit ilman kaupallista tarkoitusta kuuluvat kevennettyyn sääntelyyn.

Edustajan rooli on rajattu: hän toimii viranomaisten yhteyspisteenä, mutta ei ole teknisesti vastuussa tuotteesta. Vaatimustenmukaisuuden arviointi, turvallisuuspäivitykset ja tekninen dokumentaatio jäävät valmistajalle.

Miten valita oikea tarjoaja?

CRA-edustajan valinnassa kannattaa painottaa läpinäkyvyyttä, hinnoittelurakennetta ja todennettavuutta. Monet tarjoajat eivät julkaise hintojaan, mikä vaikeuttaa vertailua. REP27 erottuu avoimella hinnoittelulla ja selkeillä tiedoilla sisältyvistä ja poissuljetuista palveluista (Lähde).

• Hinnoittelurakenne: Tarkista julkaistut hinnat ja jatkokustannukset. REP27:n hinnat ovat avoimesti nähtävillä (490 € ensimmäinen vuosi, 440 € jatko).
• Palvelun laajuus: CRA-edustaja saa lain mukaan hoitaa vain artiklan 18 tehtävät. Tarjoajat, jotka lupaavat teknisiä testejä tai vaatimustenmukaisuuden arviointia, ylittävät lain rajat.
• Todennettavuus: Vahvistettava valtuutus (esim. QR-koodi ja julkinen tarkastussivu kuten REP27:llä) on ratkaiseva hätätilanteessa.
• Irtisanomisajat ja lisämaksut: Kysy piilokuluista, irtisanomisajoista ja pyynnöstä veloitettavista maksuista. REP27:llä ei ole lisämaksuja, muilla tarjoajilla nämä selvitettävä erikseen.

Tarkista, että tarjoaja on rekisteröity oikeushenkilö kaupparekisteriin ja että valtuutuksen myöntäminen on nopeaa ja läpinäkyvää. REP27:n tilaus ja myöntäminen tapahtuu 24 tunnin sisällä.

Mitä hinta oikeasti sisältää?

CRA-edustajan hinta kattaa vain artiklan 18 valtuutuksen. Tämä tarkoittaa, että edustaja toimii viranomaisten ja markkinavalvonnan virallisena yhteyshenkilönä. Tekninen vastuu tuotteesta, vaatimustenmukaisuuden arviointi, ohjelmistokomponenttien luettelo (SBOM) ja turvallisuustestit eivät sisälly hintaan, vaan ne on järjestettävä erikseen (Lähde).

• REP27: Sisältää valtuutuksen, kirjallisen tilauksen, todennettavan sertifikaatin, deskin viranomaiskyselyjä varten ja ei lisämaksuja. Vaatimustenmukaisuuden arviointi, testit ja SBOM eivät sisälly.
• kadano / Euverify: Tarkat tiedot sisältyvistä palveluista puuttuvat. Suositellaan kysymään kirjallisesti ennen sopimuksen tekemistä.

Edustaja ei ole vastuussa CRA-vaatimusten teknisestä toteutuksesta. Useimmat tarjoajat, mukaan lukien REP27, korostavat, ettei teknistä neuvontaa, vaatimustenmukaisuuden arviointia tai tuotetestejä sisälly valtuutukseen. Näissä tarvitaan erikoistuneita testauslaitoksia tai turvallisuusyrityksiä.

Edustajan rooli on rajattu ja suojaa erityisesti sitä, ettei viranomaiskyselyt jää ilman vastausta tai markkinavalvonta viivästy. Hätätilanteessa todennettava valtuutus varmistaa nopean ja lainmukaisen viestinnän.

Piilotetut ja todelliset CRA-vaatimusten kustannukset

CRA-vaatimusten pääkustannukset eivät ole edustajassa, vaan lakisääteisten vaatimusten täyttämiseen liittyvissä sisäisissä ja ulkoisissa toimenpiteissä. Edustajan valtuutus maksaa 490 €–999 € vuodessa, mikä on budjetin pienin erä (Lähde).

• Vaatimustenmukaisuuden arviointi: Tärkeiden I-luokan tuotteiden osalta riittää harmonisoitujen standardien noudattaminen. II-luokan tai kriittisille tuotteille tarvitaan ulkoinen arviointi nimetyltä laitokselta, joka maksaa useita tuhansia euroja ja kestää kuukausia.
• Turvallisuuspäivitykset: Valmistajien on tarjottava vähintään viiden vuoden ajan turvallisuuspäivityksiä. Näiden kustannukset ovat usein suuremmat kuin valtuutuksen hinta ja ne on suunniteltava pitkällä aikavälillä.
• Sisäiset resurssit: Dokumentointi, SBOM:n laatiminen ja ilmoituskanavan perustaminen aiheuttavat lisätyötä.
• Piilokustannukset: Joillakin tarjoajilla voi olla lisämaksuja viranomaiskyselyistä, kiireellisestä käsittelystä tai valtuutuksen vaihdosta. REP27:llä näitä ei ole, muilla tarjoajilla asia on selvitettävä.

Edustajan tilaaminen on välttämätöntä, mutta ei riitä täydelliseen CRA-vaatimusten noudattamiseen. Suurimmat kustannukset ja riskit liittyvät tekniseen toteutukseen ja tuotteiden jatkuvaan ylläpitoon.

Näin tilaat edustajan – vaihe vaiheelta

1. Tarkista, koskeeko artikla 18 teitä: Oletteko EU:n ulkopuolinen valmistaja digitaalisia elementtejä sisältävälle tuotteelle?
2. Vertaa tarjoajia: Tarkista julkaistut hinnat, jatkokustannukset ja palvelun laajuus. Huomioi todennettavat valtuutukset ja selkeät poissulutukset.
3. Tilaa valtuutus: REP27:llä tilaus tehdään verkossa ja valtuutus myönnetään 24 tunnin sisällä. Muilla tarjoajilla pyynnöstä.
4. Vastaanota ja dokumentoi valtuutus: Tallenna valtuutus tekniseen dokumentaatioon ja tuoteasiakirjoihin. Tiedot on esitettävä pyydettäessä viranomaisille ja markkinavalvonnalle.
5. Julkaise edustajan tiedot: Merkitse edustajan yhteystiedot dokumentaatioon ja tarvittaessa verkkosivuille.
6. Perusta ilmoituskanava: Luo sisäinen prosessi haavoittuvuuksien ja turvallisuuspoikkeamien ilmoittamiseksi edustajalle. REP27 tarjoaa deskin, joka välittää viranomaiskyselyt kahden arkipäivän sisällä.
7. Tee säännöllinen tarkistus: Varmista vuosittain valtuutuksen voimassaolo ja yhteystietojen ajantasaisuus.

Järjestelmällinen prosessi minimoi viiveet ja sakot. Käytä tarkistuslistaa varmistaaksesi oikeudellisen kattavuuden.

Riskit ja sakot velvoitteen rikkomisesta

Edustajavelvoitteen laiminlyönti artiklan 18 mukaan on oma sääntörikkomuksensa. Artiklan 64 mukaan sakot voivat olla jopa 15 miljoonaa € tai 2,5 % maailmanlaajuisesta vuosiliikevaihdosta, riippuen kumpi on suurempi (Lähde).

• Edustajan puuttuminen: Viranomaiskyselyt jäävät vastaamatta, markkinavalvonta voi määrätä myynnin keskeytyksen.
• Epäselvät vastuut: Ilman todennettavaa valtuutusta viestintä viranomaisten kanssa viivästyy, mikä voi johtaa ilmoitusvelvollisuuden määräaikojen (esim. 24 tuntia haavoittuvuuksissa) ylitykseen.
• Sopimusansat: Tarjoajat, joilla on epäselvät jatkohinnat tai lisämaksut, voivat aiheuttaa yllättäviä kustannuksia. Selkeä kirjallinen sopimus kiinteillä hinnoilla on välttämätön.
• Tekniset puutteet: Pelkkä edustajan tilaaminen ei suojaa sakoilta teknisistä puutteista, päivitysten puutteesta tai riittämättömästä dokumentaatiosta.

Luotettava edustaja on ensimmäinen askel vaatimustenmukaisuuteen, mutta ei korvaa valmistajan teknisiä ja organisatorisia velvoitteita. Riskit liittyvät erityisesti ilmoitusvelvollisuuksiin valmistautumattomuuteen ja tarjoajan valinnan läpinäkyvyyden puutteeseen.

Mitä tarjoajat yleensä eivät kerro

• Rajattu palvelun laajuus: CRA-edustajan valtuutus kattaa vain muodollisen edustuksen artiklan 18 mukaisesti. Tekninen neuvonta, vaatimustenmukaisuuden arviointi, tuotetestit ja SBOM:n laatiminen eivät sisälly.
• Ei vastuuta tuotteen virheistä: Edustaja ei ole vastuussa tuotteen teknisistä puutteista tai turvallisuusaukkoista. Vastuu on aina valmistajalla.
• Jatkohinnat ja irtisanomisajat: Monet tarjoajat eivät julkaise jatkohintoja tai irtisanomisaikoja. REP27:llä nämä ovat avoimesti nähtävillä (440 € jatko, ei lisämaksuja).
• Pyynnöstä veloitettavat maksut: Jotkut tarjoajat perivät maksuja yksittäisistä viranomaiskyselyistä, kiireellisestä käsittelystä tai valtuutuksen vaihdosta. REP27:llä näitä ei ole, muilla tarjoajilla tiedusteltava.
• Ei teknistä tukea: Edustaja ei osallistu turvallisuuspäivitysten toteutukseen, SBOM:n laatimiseen tai penetraatiotestien tekemiseen.

Tarjoajan valinnassa kannattaa painottaa palveluiden ja poissulkujen läpinäkyvyyttä hinnan lisäksi. Kysy selvästi, mitä valtuutus sisältää ja mitä ei.

Päätösmatriisi: Tarvitsetko CRA-edustajan?

Velvoite koskee vain valmistajia, jotka tuovat tuotteita EU-markkinoille omalla nimellään tai brändillään. Maahantuojat, jakelijat ja pelkät markkinapaikkakauppiaat ovat vapautettuja, jos eivät toimi valmistajina.

Ostajan tarkistuslista (välittömästi käyttöön)

1. Tarkista, kuuluuko tuotteesi CRA:n piiriin (digitaaliset elementit, EU-myynti).
2. Selvitä, oletko valmistaja (myös OEM/white-label).
3. Vertaa tarjoajien hintoja ja palveluita. Pyydä kirjalliset tiedot jatkokustannuksista ja poissulkuista.
4. Tilaa valtuutus ja dokumentoi se tuoteasiakirjoihin.
5. Julkaise edustajan yhteystiedot teknisessä dokumentaatiossa ja tarvittaessa verkkosivuilla.
6. Perusta ilmoituskanava haavoittuvuuksille ja turvallisuuspoikkeamille.
7. Suunnittele resurssit turvallisuuspäivityksille (vähintään viisi vuotta) ja tekniselle dokumentaatiolle.
8. Varmista, että kaikki sisäiset prosessit täyttävät ilmoitusvelvollisuuden määräajat (esim. 24 tuntia haavoittuvuuksissa).
9. Tarkista vuosittain valtuutuksen voimassaolo ja yhteystietojen ajantasaisuus.

Tämä tarkistuslista auttaa täyttämään kaikki lakisääteiset vaatimukset järjestelmällisesti ja lainmukaisesti.

Kolme todellista skenaariota: Kuka tarvitsee mitä?

• Yhdysvaltalainen SaaS-toimittaja: Yhdysvaltalainen yritys kehittää pilviohjelmistoa, jota myydään suoraan EU-asiakkaille. Koska valmistajalla ei ole EU-toimipaikkaa, artiklan 18 mukainen CRA-edustaja on pakollinen. Hinta alkaa 490 € vuodessa REP27:llä. Tekninen toteutus (SBOM, päivitykset, ilmoituskanava) jää valmistajalle.
• Kiinalainen Amazon-kauppias: Kiinalainen yritys myy omia älykotituotteitaan Amazonissa EU-asiakkaille. Edustajavelvoite koskee, koska kauppias toimii valmistajana. Valtuutuksen tilaus tapahtuu verkossa, kustannukset alkavat 490 € vuodessa (REP27). Maahantuoja ja Amazon eivät ole velvollisia nimeämään edustajaa.
• Brittiverkkokauppa: Iso-Britanniassa toimiva verkkokauppa tuo Aasiasta tuotteita ja myy niitä omalla nimellä EU:ssa. Yritys on valmistaja ilman EU-toimipaikkaa, joten artiklan 18 mukainen edustaja on pakollinen. Muut velvoitteet (vaatimustenmukaisuuden arviointi, päivitykset) on myös täytettävä.

Kaikissa tapauksissa edustajan tilaaminen on vain osa kokonaisvaatimusten noudattamista. CRA-vaatimusten tekninen ja organisatorinen toteutus jää valmistajalle.