Obligațiile Cyber Resilience Act pentru producătorii din afara UE

• CRA se aplică producătorilor din afara UE care vând în UE începând cu 11 septembrie 2026
• Articolul 18: este necesar un reprezentant autorizat în UE dacă nu există prezență în UE
• Obligația de raportare în 24 de ore pentru vulnerabilități exploatate (Articolul 14)
• Calea de evaluare a conformității depinde de clasa produsului
• Amenzi de până la 15 milioane € sau 2,5% din cifra de afaceri pentru încălcări

Actualizat 18 October 2026 · 9 surse verificate

Furnizori comparați

Prețuri publicate pe site-ul fiecărui furnizor la data de 18 October 2026, excluzând TVA-ul, cu excepția cazului în care se specifică altfel. Fiecare rând este legat de sursa sa.

Ce cere legea (cu numere de articole)

Cyber Resilience Act (CRA) este noua reglementare a UE pentru produse cu elemente digitale, inclusiv hardware, software și componente. Se aplică oricărui producător—indiferent de locație—dacă produsele lor sunt puse pe piața UE. Legea a intrat în vigoare la 10 decembrie 2024. Obligațiile de raportare încep la 11 septembrie 2026; conformitatea completă (inclusiv marcaj CE și evaluare a conformității) este obligatorie din 11 decembrie 2027.

• Articolul 18: Producătorii din afara UE trebuie să desemneze un reprezentant autorizat în UE pentru fiecare linie de produse, dacă nu au o entitate în UE. Acest reprezentant este punctul oficial de contact pentru autorități și supravegherea pieței.
• Articolul 14: Producătorii trebuie să raporteze vulnerabilitățile exploatate activ și incidentele grave care afectează securitatea produsului. Termenele sunt stricte: avertizare timpurie în 24 de ore, notificare completă în 72 de ore și raport final în 14 zile după remediere sau notificare. Platforma de raportare este gestionată de ENISA, iar destinatarul este stabilit de statul membru al reprezentantului.
• Anexele I & II: Producătorii trebuie să respecte cerințe esențiale de securitate cibernetică, inclusiv gestionarea vulnerabilităților, dezvoltare securizată și instrucțiuni clare pentru utilizatori într-o limbă ușor de înțeles de utilizatori și autorități.
• Evaluarea conformității: Procesul necesar depinde de clasa produsului. Produsele implicite pot face autoevaluare; clasa importantă I trebuie să folosească standarde armonizate sau evaluare terță parte; clasa importantă II și produsele critice necesită evaluare de organism notificat sau schemă de certificare.
• Perioada de suport: Producătorii trebuie să asigure actualizări de securitate și gestionarea vulnerabilităților pe toată perioada declarată de suport (minimum cinci ani).
• Excepții: Microîntreprinderile, întreprinderile mici și administratorii de software open-source sunt scutiți de amenzi pentru raportarea întârziată, dar trebuie să respecte obligațiile tehnice și de raportare.

Importatorii și distribuitorii devin producători dacă pun produsele pe piață sub propriul nume sau le modifică substanțial. În caz contrar, producătorul original rămâne responsabil pentru conformitatea și raportarea CRA.

Cum să alegi un reprezentant CRA sau furnizor de conformitate

Alegerea reprezentantului Articol 18 sau a furnizorului de conformitate potrivit este esențială pentru producătorii din afara UE. Piața variază mult în preț, transparență și servicii incluse. Iată ce trebuie să iei în considerare:

• Entitatea juridică și locația: Verifică entitatea juridică și stabilirea în UE a furnizorului. De exemplu, REP27 este Europe Services, SE, cu sediul la Praga și înregistrată în registrul comercial ceh. Verifică întotdeauna înainte de plată.
• Scopul mandatului: Unii furnizori oferă doar mandatul Articol 18 (cerut de lege), alții includ servicii suplimentare precum reprezentare GDPR sau NIS2. Confirmă dacă mandatul este limitat la Articol 18(3) (așa cum trebuie) și nu acoperă obligații interzise de Articol 18(2).
• Transparența prețurilor: Caută furnizori care publică prețurile pentru primul an și pentru reînnoire. Ferește-te de prețuri introductive mici urmate de reînnoiri tăcute, mai scumpe. REP27, de exemplu, afișează clar prețurile de reînnoire.
• Verificare și suport: Asigură-te că furnizorul oferă certificat verificabil, metodă publică de verificare și birou de cereri cu personal. Întreabă despre procesul de redirecționare a cererilor autorităților sau CSIRT, limbile suportate și timpii de răspuns.
• Servicii combinate: Dacă ai nevoie și de reprezentare GDPR Articol 27 sau GPSR Articol 16, unii furnizori (ex. REP27) oferă pachete combinate la preț redus.

Matrice decizională:

Cere întotdeauna mandat scris și certificat înainte de a pune produsele pe piața UE.

Ce include cu adevărat prețul: comparație furnizori

Prețurile și serviciile incluse variază semnificativ. Mandatele Articol 18 sunt de obicei cel mai mic cost extern în conformitatea CRA, dar mulți furnizori nu publică detalii complete. Mai jos este o comparație a ceea ce este inclus, neincluse sau poate genera costuri suplimentare pentru fiecare furnizor (octombrie 2026):

Pentru majoritatea producătorilor, mandatul Articol 18 este un document de o pagină plus obligația de a redirecționa cererile. Evaluarea conformității, testarea tehnică și generarea SBOM sunt costuri separate și nu sunt incluse în taxele de reprezentare de bază.

Costuri ascunse și excluderi

Deși mandatul Articol 18 este o necesitate legală, reprezintă doar o mică parte din costurile totale de conformitate CRA. Cele mai costisitoare elemente—evaluarea conformității, taxele organismelor notificate, documentația tehnică și perioada de suport—nu sunt incluse în majoritatea pachetelor de reprezentare. Iată la ce să fii atent:

• Taxe evaluare conformitate: Pentru produsele importante clasa II sau critice, costurile organismelor notificate sau schemelor de certificare pot ajunge la mii de euro și necesită luni de zile. Bugetează separat aceste costuri.
• Documentație tehnică: Furnizori precum Reglyze și EmberKat oferă generare dosar tehnic, ingestie SBOM și analiză lacune, dar acestea nu fac parte din mandatele standard.
• Taxe de reînnoire și pe cerere: Unii furnizori pot percepe tarife mai mari la reînnoire sau taxe pentru cereri/raportări. Cere întotdeauna confirmare scrisă a prețurilor de reînnoire și a eventualelor costuri suplimentare înainte de semnare.
• Perioade de notificare și limitări de răspundere: Reînnoirile tacite și politicile neclare de anulare pot genera cheltuieli neașteptate. Răspunderea pentru neconformități este adesea exclusă sau limitată de reprezentant.
• Costuri perioada de suport: Legea cere cel puțin cinci ani de actualizări de securitate și gestionare vulnerabilități, care trebuie planificate și bugetate ca o linie de produse.

REP27 este transparent privind ce nu este inclus: consultanță juridică, evaluare tehnică și generare SBOM sunt în afara mandatului. Clarifică întotdeauna excluderile și costurile ascunse cu orice furnizor.

Cum funcționează desemnarea: pas cu pas

Desemnarea unui reprezentant Articol 18 și obținerea conformității CRA implică mai mulți pași concreți. Iată un proces practic pentru producătorii din afara UE:

1. Determină dacă produsele tale sunt în domeniul de aplicare: Identifică toate produsele cu elemente digitale (hardware, software, componente sau soluții de procesare date la distanță) puse pe piața UE.
2. Clasifică produsele: Folosește definițiile CRA pentru a stabili dacă produsele sunt implicite, importante clasa I/II sau critice. Aceasta influențează calea de evaluare a conformității.
3. Alege un reprezentant: Selectează un reprezentant Articol 18 cu entitate juridică verificabilă în UE. Confirmă în scris scopul, prețurile și condițiile de reînnoire.
4. Semnează mandatul: Încheie un mandat scris (Articol 18(3)) cu furnizorul ales. Obține certificat și metodă publică de verificare.
5. Pregătește documentația: Adună documentația tehnică (Anexa VII), SBOM, Declarația UE de Conformitate și instrucțiuni pentru utilizatori în limbile cerute.
6. Configurează un canal de raportare 24 de ore: Asigură un canal cu personal pentru raportarea vulnerabilităților și incidentelor. Pregătește șabloane pentru avertizare timpurie și notificare.
7. Înregistrează-te la ENISA: Înregistrează cel puțin două persoane care pot transmite rapoarte pe platforma ENISA, ideal în fusuri orare diferite.
8. Bugetează conformitatea continuă: Planifică costurile perioadei de suport (minimum cinci ani de actualizări), evaluarea conformității (dacă este necesar) și întreținerea documentației.
9. Revizuiește și actualizează regulat: Programează revizuiri periodice ale stadiului conformității, documentației și proceselor de raportare.

Urmarea acestui checklist îți asigură pregătirea pentru cerințele legale și practice ale conformității CRA.

Riscuri și amenzi pentru neconformitate

CRA introduce penalități substanțiale pentru neconformitate. Încălcările cerințelor esențiale de securitate cibernetică sau obligațiilor producătorului pot duce la amenzi de până la 15 milioane € sau 2,5% din cifra de afaceri anuală globală, oricare este mai mare. Aceste sancțiuni se aplică atât producătorilor UE, cât și celor din afara UE care pun produse pe piața UE.

• Neîndeplinirea obligațiilor de raportare: Nerespectarea termenului de 24 de ore pentru raportarea vulnerabilităților te expune acțiunilor de aplicare a legii. Microîntreprinderile, întreprinderile mici și administratorii open-source sunt scutiți de amenzi pentru raportare întârziată, dar nu și de obligația de raportare.
• Riscuri în achiziții și acces pe piață: Lipsa unui reprezentant Articol 18 poate bloca procesele de achiziție și poate exclude vânzările către companii sau licitații publice.
• Acțiuni de supraveghere a pieței: Autoritățile pot lua măsuri împotriva producătorilor neconformi, inclusiv retragerea sau rechemarea produselor.
• Riscuri pentru distribuitori/importatori: Dacă nu desemnezi un reprezentant, importatorii sau distribuitorii UE pot fi considerați ruta ta de raportare implicită, ceea ce poate duce la pierderea controlului asupra comunicărilor de conformitate.
• Neatenție la reînnoiri: Nerespectarea reînnoirii mandatelor sau menținerea documentației actualizate poate genera lacune neobservate, expunându-te la sancțiuni fără avertisment.

Conformitatea eficientă nu înseamnă doar evitarea amenzilor, ci și asigurarea accesului neîntrerupt pe piață și menținerea încrederii clienților și partenerilor.

Ce nu spun de obicei furnizorii

Mulți furnizori se concentrează pe necesitatea legală a mandatului Articol 18, dar nu dezvăluie imaginea completă. Iată ce este adesea omis:

• Scopul mandatului: Mandatul Articol 18 se limitează la redirecționarea cererilor și rolul de punct de contact. Nu include consultanță juridică, evaluare tehnică sau generare SBOM, decât dacă este specificat explicit.
• Evaluarea conformității: Pentru produsele importante clasa II și critice, costurile organismelor notificate sau schemelor de certificare sunt mult mai mari decât taxa de reprezentare și pot dura luni. Acestea nu sunt niciodată incluse în mandatele de bază.
• Perioada de suport: Obligația de cel puțin cinci ani de actualizări de securitate și gestionare vulnerabilități este un cost operațional major, neacoperit de niciun serviciu de reprezentare.
• Termeni de reînnoire și notificare: Unii furnizori folosesc prețuri mici pentru primul an, cu reînnoiri mult mai scumpe sau cer perioade lungi de notificare pentru anulare. Cere întotdeauna condițiile de reînnoire în scris.
• Răspundere: Reprezentanții exclud de obicei răspunderea pentru neconformități. Producătorul rămâne responsabil pentru toate obligațiile CRA.

Transparența asupra a ceea ce nu este inclus este la fel de importantă ca ceea ce este. Cere întotdeauna o listă completă a excluderilor și clarifică rolul furnizorului înainte de semnare.

Scenarii realiste: ce cale se aplică?

• Companie SaaS din SUA: Un furnizor SaaS din SUA vinde software direct clienților UE. Compania trebuie să desemneze un reprezentant Articol 18, să pregătească documentația tehnică și SBOM și să configureze un canal de raportare 24 de ore. Dacă produsul este clasa implicită, autoevaluarea poate fi suficientă; dacă este important sau critic, este necesar organism notificat. Cea mai simplă cale este desemnarea unui reprezentant (ex. REP27), pregătirea documentației și înregistrarea la ENISA.
• Vânzător Amazon din China: Un producător din China vinde dispozitive IoT sub propriul nume pe Amazon către cumpărători UE. Vânzătorul trebuie să desemneze un reprezentant Articol 18 și să respecte toate cerințele CRA. Dacă produsul este pus pe piață de un importator UE, importatorul poate prelua obligațiile. Dacă nu, producătorul original trebuie să gestioneze raportarea și documentația.
• Magazin online din UK: Un retailer din UK livrează dispozitive conectate clienților UE. Retailerul trebuie să desemneze un reprezentant Articol 18, să pregătească dosarele tehnice și să asigure un proces de raportare a vulnerabilităților în 24 de ore. Dacă vinde printr-un distribuitor UE care pune produsul pe piață sub propriul nume, distribuitorul preia obligațiile; altfel, retailerul UK rămâne responsabil.

În toate scenariile, cheia este să cartografiezi canalele de vânzare, să determini cine pune produsul pe piață și să desemnezi un reprezentant dacă este necesar. Aceasta previne întârzierile în achiziții, asigură conformitatea și evită amenzile.

Checklist: Cum să te conformezi azi

1. Cartografiază canalele tale de vânzare în UE și identifică toate produsele cu elemente digitale.
2. Clasifică fiecare produs (implicit, important I/II, critic) conform definițiilor CRA.
3. Determină dacă ai nevoie de un reprezentant Articol 18 (obligatoriu pentru producătorii din afara UE).
4. Cere mandat scris și certificat de la furnizorul ales (ex. REP27, kadano, Euverify).
5. Pregătește documentația tehnică: dosar Anexa VII, SBOM, Declarația UE de Conformitate, instrucțiuni în limbile UE.
6. Configurează un canal de raportare vulnerabilități cu personal 24/7. Pregătește șabloane pentru avertizare și notificare.
7. Înregistrează cel puțin doi utilizatori pe platforma ENISA (ideal în fusuri orare diferite).
8. Bugetează organismul notificat sau schema de certificare dacă produsul este important clasa II sau critic.
9. Declară și asigură resurse pentru o perioadă de suport de cel puțin cinci ani pentru actualizări și gestionare vulnerabilități.
10. Programează revizuiri regulate ale conformității și actualizărilor documentației.

Urmând acești pași vei fi pregătit pentru termenele de aplicare CRA din 2026-2027 și vei evita lacune costisitoare de conformitate.