Náklady na autorizovaného zástupce pro Cyber Resilience Act: průvodce 2026

• REP27 — Europe Services, SE: €490/rok, obnova €440
• Kadano: €999/rok (Rakousko), Euverify: £590/rok (Irsko)
• Mandát pokrývá pouze právní zastoupení (čl. 18 CRA)
• Technická shoda, testy a SBOM nejsou zahrnuty u žádného poskytovatele
• Ceny publikovány a ověřeny v říjnu 2026
• Neplatí pro dovozce, distributory nebo firmy pouze v EU

Aktualizováno 20 October 2026 · 3 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 20 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co vyžaduje zákon: Článek 18 Cyber Resilience Act

Cyber Resilience Act (Nařízení EU 2024/2847) zavádí nové povinnosti pro výrobce produktů s digitálními prvky, kteří chtějí uvádět své výrobky na trh Evropské unie. Zejména článek 18 ukládá výrobcům mimo EU povinnost jmenovat autorizovaného zástupce v rámci Unie. Tento zástupce slouží jako oficiální kontaktní místo mezi výrobcem mimo EU a příslušnými orgány členských států, zejména pro správu oznámení o zranitelnostech (článek 14) a komunikaci s národními CSIRT a ENISA.

Jmenování musí být formální, písemné a zdokumentované. Autorizovaný zástupce má za úkol přijímat a předávat všechny požadavky orgánů dohledu nad trhem a zajistit nepřetržitý komunikační kanál. Povinnost platí, pokud:

• Výrobce je usazen mimo EU
• Produkt je určen pro trh EU (přímý prodej, přes distributory nebo tržiště)

Dovozci a distributoři v EU nejsou touto povinností dotčeni, pokud neprodávají pod vlastním jménem. Zástupce neprovádí technické hodnocení, bezpečnostní testy ani generování SBOM: tyto zůstávají na výrobci.

Nejmenování zástupce může vést k administrativním sankcím a zablokování přístupu na trh EU.

Jak vybrat zástupce: praktická kritéria a srovnání

Výběr autorizovaného zástupce pro Cyber Resilience Act je strategické rozhodnutí ovlivňující shodu, rychlost reakce a transparentnost vůči úřadům. Klíčová kritéria jsou:

• Transparentní cena a podmínky obnovy: Preferujte poskytovatele, kteří zveřejňují cenu i obnovu. REP27 například uvádí obojí; jiní poskytovatelé mohou tyto informace poskytovat jen na vyžádání.
• Ověřitelný certifikát: Digitální certifikát s QR kódem a veřejnou ověřovací stránkou (jako u REP27) umožňuje snadné prokázání jmenování úřadům a obchodním partnerům.
• Jazykové pokrytí a doba odezvy: Schopnost zpracovat požadavky ve více jazycích a reagovat rychle i během svátků či mimo pracovní dobu je klíčová pro dodržení přísných lhůt CRA.
• Jasné výluky: Žádný z poskytovatelů nenabízí technické hodnocení, bezpečnostní testy ani SBOM. Tyto služby musí být řešeny samostatně.

Následuje praktická rozhodovací matice:

Zvažte také balíčky: REP27 nabízí slevy při kombinaci více mandátů (např. GDPR čl. 27 + CRA + NIS2), což snižuje administrativní složitost a riziko opomenutí obnovy.

Co cena skutečně zahrnuje: detailní srovnání a omezení

Cena zveřejněná poskytovateli pokrývá výhradně právní zastoupení dle čl. 18 CRA. To znamená:

• Podpis písemného mandátu a vydání certifikátu jmenování
• Přijímání a předávání požadavků orgánů dohledu nad trhem
• Správa oznámení o zranitelnostech dle čl. 14 CRA (např. předání CSIRT a ENISA)

Nikdy nejsou zahrnuty:

• Hodnocení shody (povinné pro produkty významné třídy II nebo kritické)
• Bezpečnostní testy, generování SBOM, technická podpora
• Vypracování technických politik nebo dokumentace

Souhrnná tabulka:

Mandát představuje minimální právní základ pro vstup na trh EU, technická shoda je však výhradní odpovědností výrobce.

Skryté náklady a dodatečné poplatky: co skutečně vědět

Náklady na autorizovaného zástupce jsou pouze malou částí celkových výdajů na shodu s Cyber Resilience Act. Nejvýznamnější skryté náklady jsou:

• Hodnocení shody (notifikovaný orgán): U produktů významné třídy II nebo kritických je hodnocení notifikovaným orgánem povinné a může být nákladnější než mandát zástupce. Tyto náklady nejsou zahrnuty u žádného poskytovatele.
• Technická podpora a aktualizace: CRA vyžaduje minimálně pět let bezpečnostních aktualizací, které musí být plánovány a financovány jako součást životního cyklu produktu.
• Správa zranitelností: Interní organizace musí být schopna detekovat, dokumentovat a oznámit zranitelnosti do 24 hodin od zjištění, jinak hrozí sankce a reputační rizika.

REP27 explicitně uvádí, že hodnocení, testování a SBOM nejsou zahrnuty a nejsou předmětem upsellu. Ostatní poskytovatelé nezveřejňují podrobnosti o případných dodatečných poplatcích za urgentní požadavky nebo další služby; je proto nezbytné tyto informace vyžádat před podpisem.

Kontrolní seznam pro vyhnutí se překvapením:

1. Vždy si vyžádejte cenu obnovy a podmínky odstoupení
2. Zjistěte, zda jsou poplatky za požadavky mimo pracovní dobu nebo urgentní služby
3. Ujistěte se, že poskytovatel jasně uvádí, co je zahrnuto a co není

Jak probíhá jmenování: krok za krokem a praktický checklist

Jmenování zástupce CRA probíhá podle přesného postupu, který je klíčový pro zajištění shody a sledovatelnosti vůči úřadům EU. Postup je následující:

1. Ověřte potřebu: Jste výrobce mimo EU s produkty určenými pro trh EU? Pokud ano, pokračujte.
2. Zvažte třídu produktu: Výchozí, významná I/II, kritická. To určuje, zda potřebujete jen zástupce, nebo i notifikované hodnocení.
3. Vyberte poskytovatele: Porovnejte ceny, podmínky obnovy a způsob ověření jmenování.
4. Požádejte o jmenování: Podepište písemný mandát (čl. 18 CRA) s vybraným poskytovatelem. REP27 například vydává jmenování do 24 hodin.
5. Získejte certifikát: Poskytovatel vydá ověřitelný certifikát (např. QR kód REP27), který vložíte do technické dokumentace a reportovacích kanálů.
6. Připravte interní runbook: Definujte, kdo může oznámit zranitelnost, kdo odesílá notifikace a jak se dokumentují reakční časy.
7. Zadejte údaje zástupce: Aktualizujte technickou dokumentaci, web a podpůrné kanály údaji o zástupci.

Checklist k okamžitému použití:

1. Ověřte, zda jste výrobce mimo EU s přímým prodejem do EU
2. Zvažte třídu vašeho produktu
3. Porovnejte ceny a podmínky poskytovatelů
4. Vyžádejte si informace o výlukách a dodatečných nákladech
5. Připravte požadovanou dokumentaci pro jmenování
6. Definujte interní postup správy zranitelností

Rizika a sankce: co hrozí bez zástupce

Nejmenování autorizovaného zástupce přináší reálná rizika a potenciálně vysoké sankce. Konkrétně:

• Administrativní sankce: Národní orgány mohou uložit pokuty a zablokovat uvádění nevyhovujících produktů na trh. Výše sankcí závisí na národní implementaci.
• Nezákonný přístup na trh EU: Bez zástupce nelze produkt legálně uvést na evropský trh, což může zablokovat celé obchodní linie.
• Zpoždění při řešení incidentů: Bez efektivního komunikačního kanálu nemusí být oznámení o zranitelnostech vyřízena včas (24 hodin pro early warning), což zvyšuje riziko sankcí a poškození reputace.

Je důležité zdůraznit, že zástupce nenese technickou ani právní odpovědnost za bezpečnost produktu: konečná odpovědnost vždy zůstává u výrobce. Zástupce funguje pouze jako kontaktní místo a prostředník vůči úřadům.

Souhrnná tabulka rizik:

Co poskytovatelé neříkají: limity, výluky a obnovy

Mnoho poskytovatelů nezveřejňuje důležité detaily, které mohou ovlivnit výběr a správu mandátu:

• Cena obnovy: Pouze REP27 zveřejňuje cenu obnovy (např. €440/rok). Ostatní mohou cenu po prvním roce zvýšit, proto je důležité tuto informaci získat písemně před podpisem.
• Výluky: Technické hodnocení, bezpečnostní testy, SBOM a technické reportování nejsou nikdy zahrnuty. Tyto služby je nutné zakoupit samostatně a mohou být nejdražší částí shody.
• Podmínky odstoupení: Podmínky a lhůty pro změnu zástupce nejsou vždy jasné. Je důležité je ověřit ve smlouvě před podpisem.
• Poplatky za mimořádné požadavky: Žádný z uvedených poskytovatelů nezveřejňuje poplatky za urgentní nebo mimořádné služby. Vždy se ptejte na možné extra poplatky za nestandardní služby.
• Omezení odpovědnosti: Zástupce nenese technickou ani právní odpovědnost za produkt. Jeho role je omezena na předávání a formální zastoupení.

Informované rozhodnutí vždy začíná pečlivým čtením smlouvy a vyžádáním všech podmínek písemně.

Praktické scénáře: tři reálné případy a nejjednodušší řešení

Pro objasnění aplikace povinností a nejjednoduššího řešení uvádíme tři realistické scénáře:

• US SaaS: Americká firma prodává software přímo zákazníkům v EU. Musí jmenovat zástupce CRA dle čl. 18. Může zvolit REP27 (€490/rok) nebo jiného poskytovatele. Pokud nabízí i cloudové služby, může být nutná i shoda s NIS2.
• Čínský prodejce na Amazonu: Pokud je produkt pod jménem prodejce, je on výrobcem a musí jmenovat zástupce. Pokud Amazon funguje jako dovozce, odpovědnost přechází na něj. Je klíčové ověřit, kdo je uveden jako výrobce/dovozce v prodejních dokumentech.
• Britský e-shop: Online obchod z Velké Británie prodávající přímo zákazníkům v EU musí jmenovat zástupce. Pokud prodává pouze přes distributory v EU, kteří dovážejí a prodávají pod vlastním jménem, povinnost nemá.

Tato analýza pomáhá vyhnout se běžným chybám a zvolit nejefektivnější řešení pro vaši situaci.