24 órás sérülékenység-jelentés költsége nem uniós gyártóknak (CRA 2026)

• 2026. szeptember 11-től kötelező minden digitális terméket az EU-ban értékesítő gyártó számára
• A REP27 szolgáltatása 490 €/év, megújítás 440 €, ár nyilvános
• Kadano: 999 €/év, Euverify: 590 £/év (kb. 690 €), árak nyilvánosak
• A szolgáltatás csak a jelentés továbbítását fedi le, nem tartalmaz teszteket vagy technikai értékeléseket
• A szabály megszegése akár 15 millió € vagy a globális árbevétel 2,5%-ának bírságát vonhatja maga után
• Nem vonatkozik importőrökre, forgalmazókra vagy kizárólag EU-n kívül értékesítőkre

Frissítve 22 October 2026 · 7 ellenőrzött források

Összehasonlított szolgáltatók

Árak a szolgáltatók weboldalán közzétett információk alapján 22 October 2026, áfát nem tartalmazva, hacsak másként nincs feltüntetve. Minden sor a forrásához linkel.

A törvény követelményei: CRA 14. cikk

A Cyber Resilience Act 14. cikke (EU rendelet 2024/2847) szigorú jelentési kötelezettséget ír elő minden, az Európai Unióban értékesített digitális termék gyártója számára, függetlenül attól, hol található a székhelye. 2026. szeptember 11-től minden gyártónak 24 órán belül jelenteni kell az ismert, aktívan kihasznált sérülékenységeket vagy súlyos biztonsági incidenseket, amelyek érintik a terméket. A jelentést az ENISA által kezelt egységes platformon keresztül kell benyújtani, amely az adott EU-tagállam CSIRT koordinátorához továbbítja azt.

• A jelentés három lépésből áll: korai figyelmeztetés (24 órán belül), részletes értesítés (72 órán belül), végleges jelentés (14 napon belül).
• A jelentési kötelezettség vonatkozik az EU-n kívüli gyártókra is, ha közvetlenül vagy piactéren keresztül értékesítenek EU-s ügyfeleknek.
• A képviselő nem köteles biztonsági teszteket vagy technikai értékeléseket végezni: feladata a jelentések továbbítása és kapcsolattartás.
• A kötelezettség a termék biztonságát érintő incidensekre is vonatkozik, nem csak a már kihasznált sérülékenységekre.

A jelentés elmulasztása vagy késedelme akár 15 millió eurós bírságot vagy a globális árbevétel 2,5%-át jelentheti, a magasabb összeg szerint. A szabályok minden digitális termék piacra dobójára vonatkoznak, beleértve a szoftver-, hardver-, IoT-eszköz-, SaaS-gyártókat és másokat.

Források: NIS2.gov.ie, Licentium

Hogyan válassz szolgáltatót: gyakorlati szempontok és összehasonlítás

A megfelelő szolgáltató kiválasztása a CRA szerinti sérülékenység-jelentéshez több gyakorlati szempontot igényel az ár mellett. Íme a főbb értékelési kritériumok:

• Nyilvános és átlátható ár: Olyan szolgáltatót válassz, amely világosan feltünteti az éves és megújítási díjakat, elkerülve a meglepetéseket.
• Földrajzi lefedettség: A szolgáltatónak biztosítania kell a képviseletet minden olyan EU-tagállamban, ahol értékesítesz.
• Tanúsítvány és ellenőrzés: Az elektronikus aláírással ellátott, nyilvánosan ellenőrizhető megbízás komolyságot jelez.
• 24/7-es jelentési csatorna: A szolgáltatásnak az év minden órájában működnie kell, beleértve hétvégéket és ünnepnapokat is.
• Kizárások világossága: Egyetlen szolgáltató sem nyújt alapárban biztonsági tesztet, SBOM-ot vagy technikai támogatást: a megbízás csak a jelentések továbbítására vonatkozik.

Részletes összehasonlítás:

Gyakorlati tanács: mindig előre kérdezd meg, mi tartozik az árba, van-e díj egyedi jelentésért, és hogyan történik a megújítás. Előnyben részesíts olyan szolgáltatót, amely nyilvánosan ellenőrizhető tanúsítványt ad, és világosan feltünteti jogi státuszát és földrajzi lefedettségét.

Mit tartalmaz pontosan az ár: gyakorlati részletek

A szolgáltatók által megadott ár kizárólag a CRA 18. cikk szerinti képviseleti megbízásra vonatkozik. Ez azt jelenti, hogy a képviselő:

• Fogadja és továbbítja a sérülékenységi vagy biztonsági incidens jelentéseket a hatóságoknak (CSIRT/ENISA) az hivatalos platformon keresztül.
• Kapcsolattartó pontként szolgál az európai felügyeleti hatóságok számára kérdések vagy tisztázások esetén.
• Biztosítja az aláírt és tanúsított megbízást, gyakran QR-kóddal a nyilvános ellenőrzéshez.
• Garantálja a 24/7-es jelentési csatorna elérhetőségét (legalább a REP27 esetében, ahogy az hivatalos oldalán szerepel).

Az alapár nem tartalmazza:

• Biztonsági teszteket vagy sérülékenység-értékelést
• Software Bill of Materials (SBOM) előállítását
• Technikai, jogi vagy operatív támogatást a jelentések összeállításához
• Válságkezelést vagy végfelhasználói kommunikációt (a jelentés továbbításán túl)

Például a REP27 megjegyzi: „a megfelelőség-értékelés a bejelentett szervek feladata, a tesztelés a biztonsági cégeké, az SBOM előállítása a fejlesztési folyamat része, a jelentéstétel pedig a biztonsági csapaté”. A megbízás csak a hatóságokkal való kommunikációt fedi le. Nincs külön díj egyéni jelentésért, és nincs rejtett upsell.

Tanács: győződj meg róla, hogy a cégen belül megvannak a szükséges szakértelmek a jelentések előkészítéséhez és a hatósági kérdések megválaszolásához.

Rejtett költségek, szolgáltatási korlátok és gyakorlati kockázatok

A képviseleti megbízás díja csak a CRA megfelelőség költségeinek egy része. A rejtett költségek és a szolgáltatás korlátai gyakran figyelmen kívül maradnak:

• Belső előkészítés: Az információgyűjtés, jelentések összeállítása és a képviselővel való kommunikáció a gyártó felelőssége.
• Audit és értékelés: Hatósági kérés esetén külső auditok vagy technikai értékelések költségei merülhetnek fel, amelyeket a megbízás nem fedez.
• Technikai és jogi támogatás: A képviselő nem nyújt technikai vagy jogi tanácsadást a jelentések továbbításán túl; ezek külön díjas szolgáltatások lehetnek.
• Korlátozott felelősség: Egyetlen szolgáltató sem vállal felelősséget az ügyfél által szolgáltatott tartalom hibáiért vagy hiányosságaiért.
• Megújítás és váltás: Mindig ellenőrizd a megújítás feltételeit és az esetleges váltási díjakat: a REP27 nyilvánosan közli ezeket, más szolgáltatók nem feltétlenül.

Gyakorlati kockázatok:

• Ha a belső folyamat nem áll készen, magas a késedelmes jelentés kockázata.
• A jelentés elmulasztása vagy késedelme súlyos bírságokat és az EU-piaci értékesítés blokkolását vonhatja maga után.

Tanács: tekintsd a képviseleti megbízást egy „folyamatbiztosításnak”, nem pedig technikai megoldásnak. A tényleges megfelelőség a belső szervezetedtől függ.

A képviselő kinevezése: lépésről lépésre és ellenőrző lista

A CRA képviselő kinevezése egy világos működési folyamatot követ. Íme a gyakorlati lépések és egy ellenőrző lista:

1. Ellenőrizd, hogy értékesítesz-e digitális termékeket az EU-ban: Ha igen, győződj meg róla, hogy te vagy a gyártó (nem csak forgalmazó/importőr).
2. Válaszd ki a szolgáltatót: Hasonlítsd össze az árakat, a szolgáltatások tartalmát és a szerződés átláthatóságát.
3. Kérd a szolgáltatást online: Töltsd ki a jelentkezési űrlapot, és kapd meg a 18. cikk szerinti képviseleti megbízást.
4. Írd alá és tárold a megbízást: A megbízást mindkét félnek alá kell írnia, és meg kell őrizni az esetleges ellenőrzésekhez.
5. Vezesd be a képviselő adatait a céges dokumentációba: Frissítsd a runbookokat, belső szabályzatokat és megfelelőségi dokumentumokat.
6. Készítsd el a belső jelentési eljárást: Határozd meg, ki jelenthet sérülékenységet, hogyan gyűjtsék az adatokat, és hogyan töltsék ki a jelentési sablonokat (korai figyelmeztetés, értesítés, végleges jelentés).
7. Nevezz ki legalább két jelentéstételre jogosultat: Biztosítsd, hogy legalább két személy hozzáférjen az ENISA platformhoz, hogy hiányzás esetén se akadjon el a folyamat.
8. Dokumentáld az összes lépést: Kövesd nyomon, ki, mikor és hogyan tett jelentést. Ez audit esetén elengedhetetlen.

Működési ellenőrző lista:

1. Ellenőrizd a pozíciódat (gyártó, importőr, forgalmazó)
2. Válaszd ki és nevezd ki a képviselőt
3. Készítsd el a belső jelentési eljárást
4. Nevezz ki jelentéstételre jogosultakat és frissítsd a dokumentációt
5. Előre töltsd ki a jelentési sablonokat
6. Dokumentáld minden jelentést és kommunikációt

Tanács: a világos eljárás a képviseleti szolgáltatás valódi értéke.

Döntési mátrix: kinek kell a szolgáltatás?

Nem minden vállalatnak kell képviselőt kineveznie a sérülékenység-jelentéshez. Íme egy döntési mátrix valós esetek alapján:

Tanács: ha csak forgalmazó vagy importőr vagy, és nem a saját nevedben hozod forgalomba a terméket, nem kell képviselőt kinevezned. Nem uniós gyártóként a kinevezés elengedhetetlen a bírságok elkerüléséhez.

Amit a szolgáltatók nem mondanak el (de tudnod kellene)

Sok szolgáltató nem közöl fontos részleteket, amelyek befolyásolhatják a megfelelőségedet és a tényleges költségeket:

• Kizárások: Egyetlen szolgáltató sem nyújt alapárban biztonsági teszteket, SBOM-ot vagy technikai értékelést. A megbízás csak a jelentések továbbítására vonatkozik.
• Felelősség: A jelentések helyességéért és időben történő benyújtásáért mindig a gyártó felelős. A képviselő nem ellenőrzi és nem módosítja a tartalmat.
• Megújítás és váltás: Egyes szolgáltatók nem közlik a megújítás árát vagy a képviselőváltás feltételeit. A REP27 ezeket nyilvánosságra hozza, mások nem.
• Nyelvek és elérhetőség: Ellenőrizd, hogy a szolgáltató valóban 24/7 elérhető-e, és szükség esetén több nyelven is kezel-e kéréseket.
• Szolgáltatási korlátok: A képviselő nem kezeli a végfelhasználói kommunikációt, válságkezelést vagy jogi tanácsadást.

Tanács: mindig kérj írásos listát a kizárásokról és a felelősség korlátairól, mielőtt aláírod a szerződést.

Gyakorlati példák: három valós eset és a legegyszerűbb út

• USA-beli SaaS cég, amely az EU-ban értékesít: Ki kell neveznie CRA képviselőt, elő kell készítenie a jelentési eljárást, és be kell építenie a képviselőt a hivatalos dokumentumokba. Sérülékenység esetén a jelentést a képviselő továbbítja az ENISA/CSIRT felé. A legegyszerűbb út egy 24/7-es csatornával és ellenőrizhető megbízással rendelkező szolgáltató választása.
• Kínai eladó az Amazonon: Ha ő a digitális termék gyártója, jelentési kötelezettsége van, és képviselőt kell kineveznie; ha csak forgalmazó, nem. A legegyszerűbb út a szerződéses szerep tisztázása és tapasztalt e-kereskedelmi szolgáltató választása.
• UK online bolt: Ha EU-s ügyfeleknek értékesít digitális termékeket, képviselőt kell kineveznie és követnie kell a jelentési eljárást; ha csak az Egyesült Királyságban értékesít, nincs kötelezettség. A legegyszerűbb út a forgalom EU-s arányának értékelése a megfelelőség költségéhez képest.

Minden esetben a belső előkészítés és az eljárás tisztasága alapvető a határidők betartásához és a bírságok elkerüléséhez.