Leverantörer för 24-timmars sårbarhetsrapportering: Marknadsöversikt & priser (2026)

• Skyldighet till 24-timmars rapportering gäller från 11.09.2026 för tillverkare av digitala produkter (CRA Art. 14)
• REP27, kadano och Euverify erbjuder motsvarande representation
• Priser: REP27 från EUR 490/år, kadano EUR 999/år, Euverify GBP 590/år
• Tjänster varierar: uppdrag, rapporteringskanal, ingen teknisk granskning eller SBOM-framställning
• Ej nödvändigt för importörer, distributörer eller rena marknadsplatshandlare

Uppdaterad 26 October 2026 · 4 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 26 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad kräver lagen? (CRA Art. 14, Art. 18)

EU:s Cyber Resilience Act (CRA) kräver från och med 11 september 2026 att tillverkare av produkter med digitala komponenter aktivt rapporterar utnyttjade sårbarheter eller allvarliga säkerhetsincidenter inom 24 timmar efter kännedom (artikel 14). Rapporteringen sker via den centrala ENISA-portalen och riktas till det ansvariga CSIRT i medlemsstaten. Tidsfristerna är strikta: 24 timmar för tidig varning, 72 timmar för första fullständiga rapport och 14 dagar för slutrapport. Klockan räknas i realtid – även nattetid, helger och helgdagar.

Tillverkare utanför EU måste enligt artikel 18 CRA utse en auktoriserad representant inom EU. Denna representant fungerar som rapporteringskanal och kontaktpunkt för myndigheter. Utan en sådan representant är rapporteringen inte laglig. Importörer, distributörer och marknadsplatshandlare (t.ex. på Amazon, Etsy, eBay) som inte säljer produkter under eget namn är undantagna från skyldigheten. För open source-projekt med icke-kommersiell inriktning gäller ett reducerat rapporteringsregime, men rapporteringsskyldighet kvarstår.

• Artikel 14 CRA: 24h tidig varning, 72h fullständig rapport, 14 dagar slutrapport
• Artikel 18 CRA: Auktoriserad representant för tillverkare utan EU-etablering

Den exakta definitionen av vad som är en rapporteringspliktig sårbarhet är avgörande: Endast aktivt utnyttjade sårbarheter eller allvarliga incidenter som påverkar produktens säkerhet utlöser skyldigheten. Oupptäckta eller icke utnyttjade sårbarheter är inte rapporteringspliktiga. Ansvar för att hålla tidsfristerna ligger på tillverkaren – förseningar eller felaktiga rapporter kan leda till kännbara sanktioner.

Tjänster i jämförelse: Vad ingår och vad ingår inte?

Leverantörerna skiljer sig tydligt i transparens och omfattning av erbjudna tjänster. REP27 är den enda leverantören som publicerar alla priser och tydligt listar vad som ingår i uppdraget och vad som inte gör det. Uppdraget omfattar juridisk representation enligt artikel 18 CRA, en 24-timmars desk i Europa, mottagande och vidarebefordran av rapporter till ansvariga myndigheter samt en offentlig verifiering av uppdraget. REP27 ansvarar uttryckligen inte för tekniska granskningar, SBOM-framställning, överensstämmelsebedömningar eller testning – dessa uppgifter ligger på tillverkaren eller måste beställas separat.

Hos kadano och Euverify är priserna publicerade, men detaljer om ingående tjänster, eventuella tilläggskostnader eller undantag är "På begäran". Det rekommenderas därför att skriftligt fråga innan avtal om vilka tjänster som exakt täcks och om tilläggsavgifter kan tillkomma för vissa ärenden (t.ex. per rapport, per språk, för extraordinära förfrågningar).

Viktigt: Den faktiska tekniska bearbetningen, framställning av SBOM (Software Bill of Materials) och genomförande av säkerhetskontroller ingår i regel inte i priset för representationen. Den som behöver dessa tjänster måste beställa dem separat från specialiserade leverantörer.

Beslutsmatris: Vem behöver vad?

Om du behöver en CRA-representant och 24h-rapportering beror på din roll i leveranskedjan, din etableringsort och din försäljningsstruktur. Följande matris hjälper till att snabbt avgöra:

Praktiska exempel: En amerikansk mjukvaruleverantör som säljer SaaS-lösningar till EU-kunder behöver en representant och måste upprätta 24h-rapportering. En kinesisk IoT-tillverkare som säljer egna produkter under eget namn i EU är också skyldig. En brittisk nätbutik som endast agerar som återförsäljare och inte använder eget varumärke behöver ingen representant eller 24h-rapportering.

Checklista för köpare: Så går du tillväga

1. Kontrollera roll: Är du tillverkare av en produkt med digitala komponenter som säljs i EU?
2. Fastställ säte: Är ditt företag etablerat utanför EU?
3. Jämför leverantörer: Välj en leverantör med publicerat pris och tydligt definierat uppdrag. Kontrollera om priset täcker alla tjänster eller om tilläggskostnader kan tillkomma.
4. Få tjänster och undantag skriftligt bekräftade: Begär skriftlig bekräftelse före avtal om vad som ingår och vad som inte ingår i uppdraget.
5. Förbered interna processer: Bestäm vem i företaget som ansvarar för 24h-rapporteringen. Skapa en körbok med tydliga ansvarsområden och rapportmallar.
6. Lägg in representantens uppgifter: Registrera representanten och dennes kontaktuppgifter i er compliance-dokumentation och informera teamet.
7. Testa rapporteringsprocessen: Genomför en simulering av 24h-rapporteringen före deadline för att upptäcka svagheter i processen.
8. Regelbunden översyn: Granska årligen om förändringar i försäljningsstruktur eller produktutbud påverkar rapporteringsskyldigheten.

Med denna checklista undviker du vanliga misstag och säkerställer att du är compliant vid deadline.

Vad leverantörer ofta inte säger (undantag, tidsfrister, avgifter)

Många leverantörer kommunicerar inte öppet vilka tjänster som faktiskt ingår i uppdraget och vilka som inte gör det. REP27 listar uttryckligen att tekniska granskningar, överensstämmelsebedömningar, SBOM-framställning och testning inte ingår i uppdraget. Även tilläggstjänster som framställning av mallar, stöd vid teknisk analys eller kommunikation med slutkunder är undantagna.

• Pris hos REP27 är fast och innehåller inga dolda avgifter. Förnyelsepriset är förutbestämt och ändras inte utan förvarning.
• Hos kadano och Euverify finns inga uppgifter om tilläggskostnader, uppsägningstider eller ansvarsfördelning. Det rekommenderas att uttryckligen fråga om dessa punkter.
• Det egentliga ansvaret för att hålla rapporteringstider och kvaliteten på rapporten ligger alltid på tillverkaren. En representant kan endast ta emot och vidarebefordra rapporten, inte göra teknisk bedömning.
• Tidsfristen för uppdragsbekräftelse är hos REP27 24 timmar. Hos andra leverantörer är handläggningstiden "På begäran".

En vanlig missuppfattning: Uppdraget täcker inte hela CRA-efterlevnaden. De kostsamma och omfattande delarna (t.ex. överensstämmelsebedömning, teknisk dokumentation, SBOM) måste organiseras separat. Den som inte är förberedd riskerar förseningar och böter.

Tre praktiska scenarier: Vem måste göra vad?

• US SaaS-leverantör: Ett företag med säte i USA erbjuder molnmjukvara till europeiska företag. Eftersom det är en tillverkare av digitala produkter som säljer i EU måste en CRA-representant utses. 24h-rapporteringen sker via denna representant som tydligt anges i uppdraget. Leverantören måste internt utse ansvariga för rapporteringen och förbereda mallar.
• Kinesisk Amazon-säljare: Ett företag från Kina säljer IoT-enheter under eget varumärke direkt till slutkunder i EU. Även här gäller skyldigheten: Utan EU-säte krävs en representant enligt artikel 18 CRA. Rapporteringen sker via denna representant. Är företaget endast återförsäljare och säljer inte under eget namn, upphör skyldigheten.
• UK nätbutik: En brittisk butik säljer som återförsäljare produkter från tredje part till Europa, men inte under eget varumärke. I detta fall finns ingen skyldighet till 24h-rapportering eller att utse CRA-representant eftersom butiken inte räknas som tillverkare. Ansvar ligger hos den faktiska tillverkaren.

Dessa scenarier visar hur avgörande korrekt klassificering av egen roll är. Felbedömningar leder till onödiga kostnader eller compliance-brister.