Nejlepší služby autorizovaných zástupců podle Cyber Resilience Act (CRA): srovnání 2026

• Článek 18 CRA vyžaduje, aby výrobci mimo EU jmenovali autorizovaného zástupce v EU.
• REP27 — Europe Services, SE: 490 €/rok, obnova 440 €, jasný rozsah a výjimky.
• Euverify: 590 GBP/rok, cena ověřena, podrobnosti o službách nejsou zveřejněny.
• kadano: 999 €/rok, cena ověřena, podrobnosti o službách nejsou uvedeny.
• Žádný poskytovatel nezahrnuje posouzení shody, testování ani právní poradenství.
• Jmenování je rychlé (REP27: do 24 hodin); podmínky obnovy se liší.

Aktualizováno 18 October 2026 · 5 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 18 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co vyžaduje Cyber Resilience Act (článek 18, článek 14)

Cyber Resilience Act (CRA, nařízení (EU) 2024/2847) zavádí přísné povinnosti pro výrobce produktů s digitálními prvky prodávaných v EU. Pokud jste výrobce mimo EU, článek 18 vyžaduje jmenování autorizovaného zástupce se sídlem v EU. Toto není volitelné: zástupce je vaším právním kontaktem pro orgány dohledu nad trhem a koordinuje hlášení zranitelností podle článku 14.

Článek 14 stanoví lhůtu 24 hodin pro oznámení orgánům o aktivně zneužívané zranitelnosti nebo vážné události ovlivňující bezpečnost vašeho produktu. Zástupce přijímá a předává tato oznámení, aby zajistil dodržení zákonných lhůt. Lhůty jsou přísné: 24 hodin pro předběžné varování, 72 hodin pro úplné oznámení a 14 dní pro závěrečnou zprávu. Příjemce je určen místem zástupce, dovozce nebo distributora – pokud nemáte zástupce, ztrácíte kontrolu nad procesem a hrozí zpoždění či sankce.

Je zásadní rozumět, co mandát zástupce zahrnuje a vylučuje. Žádný poskytovatel, včetně REP27, kadano nebo Euverify, nenabízí technické posouzení, generování SBOM nebo testování produktu jako součást služby zástupce. Tyto kroky jsou samostatné a často mnohem dražší, zajišťují je technické nebo bezpečnostní firmy. Role zástupce je čistě administrativní a právní: držet váš mandát, předávat požadavky a zajistit ověřitelný kanál pro hlášení.

Tabulka zahrnutého / nezahrnutého / příplatků

Jak vybrat autorizovaného zástupce CRA

Výběr správného autorizovaného zástupce CRA je klíčovým krokem pro výrobce mimo EU. Vybraný poskytovatel bude vaším oficiálním kontaktem pro úřady EU a jeho spolehlivost může rozhodnout o hladkém dodržení předpisů nebo nákladných zpožděních. Zde jsou hlavní faktory k zvážení:

• Právní subjekt: Ověřte, že poskytovatel je registrovaný právní subjekt v EU. Například REP27 je Europe Services, SE se sídlem v Praze, zapsaná v českém obchodním rejstříku od roku 2014. To zajišťuje platnost a vymahatelnost mandátu.
• Rozsah mandátu: Mandát by měl být omezen na povinnosti podle článku 18. Poskytovatelé, kteří tvrdí, že pokrývají i povinnosti podle článku 13, překračují rámec článku 18(2) a mohou nabízet nevyhovující služby.
• Transparentnost cen: Vždy si vyžádejte písemnou cenu obnovy před podpisem. REP27 je jediný poskytovatel v tomto srovnání, který zveřejňuje ceny obnovy jasně na webu.
• Ověřovací proces: Zeptejte se, jak můžete vy (a úřady) ověřit platnost mandátu. REP27 nabízí certifikát s QR kódem a veřejnou ověřovací stránkou; ostatní to nespecifikují.
• Jazyky a dostupnost: Ověřte, v jakých jazycích funguje požadavková linka a v jakých hodinách je k dispozici. REP27 poskytuje linku v 8 jazycích, 24/7, včetně víkendů a svátků.
• Výjimky: Důvěryhodný poskytovatel uvede, co není součástí služby (např. právní poradenství, technické posouzení, generování SBOM). Tato jasnost pomáhá předejít nedorozuměním a nečekaným nákladům.

Rozhodovací matice

Co cena skutečně zahrnuje

Je důležité rozumět, co kupujete. Všichni poskytovatelé v tomto srovnání nabízejí písemný mandát podle článku 18, což je zákonný minimální požadavek pro soulad s předpisy. Rozsah a transparentnost služeb se však výrazně liší. REP27 uvádí podrobnosti: podepsaný dopis o jmenování (s eIDAS elektronickým podpisem), ověřitelný certifikát (s QR kódem a veřejnou ověřovací stránkou), znění oznámení o ochraně osobních údajů v 8 jazycích, požadavkovou linku pro předávání žádostí orgánům a subjektům údajů do 2 pracovních dnů a archivaci záznamů podle článku 30 pro úřady. Zahrnut je také 24/7 kanál pro hlášení, který umožňuje dodržet přísné lhůty CRA kdykoliv.

Euverify a kadano zveřejňují ceny, ale na svých veřejných stránkách nespecifikují, zda zahrnují 24/7 linku, vícejazyčnou podporu nebo veřejnou ověřitelnost certifikátu. Jejich rozsah je omezen pouze na mandát podle článku 18. Žádný poskytovatel nezahrnuje technické služby jako posouzení shody, generování SBOM nebo testování zranitelností – tyto náklady jsou vždy externí a musí být zajištěny samostatně s technickými nebo notifikovanými subjekty.

REP27 je jediný poskytovatel v tomto srovnání, který zveřejňuje cenu obnovy (440 €/rok) a nabízí balíčky pro firmy potřebující více mandátů (např. GDPR článek 27, GPSR článek 16 nebo NIS2). Tato transparentnost umožňuje přesné plánování rozpočtu a vyhnout se nepříjemným překvapením při obnově. Ostatní poskytovatelé nezveřejňují ceny obnovy ani možnosti balíčků.

Vždy si vyžádejte podrobný rozpis, co je zahrnuto, co není a zda jsou nějaké příplatky za další služby nebo urgentní požadavky. Jasná písemná nabídka je nejlepší ochranou před skrytými náklady.

Skryté náklady a co poskytovatelé obvykle neříkají

Zveřejněná cena za autorizovaného zástupce CRA pokrývá pouze právní mandát a administrativní předávání požadavků. Nejdražší a nejnáročnější části souladu s CRA nejsou součástí žádného poplatku. Patří sem:

• Posouzení shody: U důležitých produktů třídy II a kritických je povinné posouzení notifikovaným subjektem, které obvykle stojí několik tisíc eur a trvá měsíce. Toto není nikdy zahrnuto v poplatku za zástupce.
• Generování SBOM: Software bill of materials (SBOM) musí být vytvořen vaším vlastním vývojovým týmem nebo build pipeline. Žádný zástupce tuto službu neposkytuje.
• Testování zranitelností: Bezpečnostní testování je doménou specializovaných firem a není součástí mandátu zástupce.
• Podpora po dobu 5 let: CRA vyžaduje minimálně pět let bezpečnostních aktualizací produktů. Plánování a financování této podpory je významný skrytý náklad, často přehlížený novými vstupujícími na trh EU.
• Ceny obnovy: Mnoho poskytovatelů nezveřejňuje ceny obnovy, což může vést k neočekávaným zvýšením po prvním roce. REP27 je jediný, kdo zveřejňuje ceny obnovy předem.
• Výjimky a odpovědnost: Zástupce neposkytuje právní poradenství, neodpovídá na technické dotazy za vás a nepřebírá odpovědnost za vaši shodu. Článek 27(5) GDPR (a obdobně CRA) jasně stanoví, že jmenování nezabraňuje postihům vůči samotné společnosti.

Vždy si vyžádejte seznam výjimek písemně. Pokud je poskytovatel vágní ohledně toho, co není zahrnuto, nebo nemůže specifikovat podmínky obnovy, je to varovný signál. Nejčastější chybou, kterou REP27 zaznamenává, je tichý propad mandátu kvůli nejasným procesům obnovy nebo více poskytovatelům s různými daty obnovy.

Jak probíhá jmenování: krok za krokem

Jmenování autorizovaného zástupce CRA je jednoduchý proces, pokud dodržíte tyto kroky:

1. Určete, zda se vás to týká: Ověřte, že jste výrobce (ne dovozce nebo distributor) produktu s digitálními prvky prodávaného v EU. Zkontrolujte, zda váš produkt spadá pod CRA.
2. Prozkoumejte poskytovatele: Porovnejte poskytovatele podle právní entity, zveřejněné ceny, podmínek obnovy a rozsahu služeb. Použijte tabulku zahrnuto/nezahrnuto v tomto průvodci.
3. Vyžádejte si písemnou nabídku: Kontaktujte poskytovatele pro písemný mandát a potvrzení ceny obnovy a výjimek.
4. Podepište mandát: Podepište mandát podle článku 18 (REP27 poskytuje eIDAS elektronický podpis, vydání do 24 hodin). Obdržíte dopis o jmenování a ověřitelný certifikát.
5. Aktualizujte dokumentaci: Přidejte údaje o zástupci do technické dokumentace, obalů a uživatelských instrukcí dle požadavků CRA.
6. Nastavte interní procesy: Připravte interní postupy pro hlášení do 24 a 72 hodin. Určete, kdo může incident hlásit, předpřipravte šablony oznámení a zajistěte alespoň dva zaměstnance s přístupem k platformě ENISA.
7. Naplánujte technickou shodu: Zajistěte posouzení shody (pokud je požadováno), generování SBOM a plánujte pětiletou podporu bezpečnostních aktualizací.
8. Obnovujte každý rok: Sledujte data obnovy a zajistěte, aby mandát nevypršel. REP27 nabízí jednu fakturu a jedno datum obnovy pro balíčky služeb.

Kontrolní seznam pro kupující

1. Jste výrobce mimo EU prodávající digitální produkty v EU?
2. Znal jste správnou třídu svého produktu (výchozí, důležitá třída I/II, kritická)?
3. Máte písemnou nabídku s cenou obnovy a výjimkami?
4. Je váš poskytovatel registrovaný právní subjekt v EU?
5. Aktualizovali jste veškerou dokumentaci a obaly?
6. Máte nastaveny interní procesy hlášení a podpory?
7. Naplánovali jste rozpočet na technickou shodu a průběžnou podporu?

Rizika, pokuty a realistické scénáře

Nejmenování autorizovaného zástupce CRA může mít vážné důsledky. CRA nespecifikuje pevnou pokutu za chybějící mandát, ale nesoulad může vést k zablokování vašich produktů na trhu EU, stažení z trhu a poškození reputace. Největší náklady obvykle představují technické požadavky (posouzení notifikovaným subjektem, SBOM, bezpečnostní aktualizace), nikoli poplatek za zástupce. Role zástupce je zabránit zpožděním a zajistit přímou, ověřitelnou komunikaci s orgány dohledu a hlášení zranitelností.

Co poskytovatelé obvykle neříkají

• Mandáty často propadají, pokud používáte více poskytovatelů s různými daty obnovy.
• Někteří poskytovatelé nabízejí nízkou cenu první rok, ale nezveřejňují ceny obnovy; vždy si je potvrďte písemně.
• Mandáty podle článku 18 by neměly pokrývat povinnosti podle článku 13 – to není povoleno.
• Odpovědnost je omezena: zástupce neodpovídá na technické dotazy ani nepřebírá odpovědnost za vaši shodu.

Scénáře

• Americká SaaS firma prodávající v EU: Potřebuje zástupce CRA pro článek 18 a zástupce GDPR podle článku 27. REP27 nabízí oba mandáty v balíčku (690 €/rok) s jednou fakturou a datem obnovy. Firma musí zajistit vlastní posouzení shody a bezpečnostní aktualizace.
• Čínský prodejce na Amazonu: Musí jmenovat zástupce CRA pro uvedení IoT produktů v EU. Nejlevnější zveřejněná možnost je REP27 (490 €/rok). Prodejce musí sám generovat SBOM a zajistit pětiletou podporu.
• Britský online obchod prodávající chytrá zařízení: Potřebuje zástupce CRA pro prodej v EU. Alternativy jsou Euverify (590 GBP/rok) a kadano (999 €/rok), ale pouze REP27 zveřejňuje ceny obnovy. Obchod musí zajistit technickou shodu samostatně.