Obligațiile producătorilor extra-UE conform Cyber Resilience Act

• Obligația numirii unui reprezentant UE (Art. 18 CRA) pentru producătorii extra-UE
• Raportarea vulnerabilităților în 24 de ore (Art. 14 CRA) prin reprezentant
• REP27: mandat CRA 490 €/an (preț publicat, octombrie 2026)
• Servicii incluse și limitări variază între furnizori, verifică înainte
• Nu sunt incluse: evaluare conformitate, teste, SBOM, raportare tehnică
• Importatorii/distribuitorii fără vânzare în nume propriu nu au obligație

Actualizat 21 October 2026 · 4 surse verificate

Furnizori comparați

Prețuri publicate pe site-ul fiecărui furnizor la data de 21 October 2026, excluzând TVA-ul, cu excepția cazului în care se specifică altfel. Fiecare rând este legat de sursa sa.

Ce prevede legea: articole cheie din CRA

Cyber Resilience Act (CRA, Regulamentul UE 2024/2847) impune obligații stricte producătorilor de produse cu componente digitale care doresc să vândă în Uniunea Europeană. Dacă producătorul nu are sediu în UE, trebuie să numească un reprezentant autorizat în UE conform Articolului 18. Acest reprezentant este punctul unic de contact pentru comunicările oficiale cu autoritățile europene de supraveghere a pieței și gestionează primirea și transmiterea solicitărilor formale.

Un alt aspect esențial este raportarea vulnerabilităților: Articolul 14 CRA impune producătorului să notifice în 24 de ore orice vulnerabilitate exploatată activ sau incident grav care afectează securitatea produsului. Raportarea se face prin platforma ENISA și CSIRT coordonator, stabilit în funcție de sediul reprezentantului. Reprezentantul autorizat este astfel crucial pentru asigurarea promptitudinii și corectitudinii comunicărilor, mai ales pentru companii cu fusuri orare diferite sau fără personal în Europa.

Important: obligația vizează doar producătorii. Importatorii și distribuitorii nu trebuie să numească reprezentant CRA, decât dacă pun produsul pe piață în nume propriu. Cei care vând prin marketplace-uri (Amazon, Etsy, eBay) trebuie să verifice dacă sunt considerați producători conform definiției CRA. Produsele deja pe piață înainte de intrarea în vigoare a CRA rămân supuse obligațiilor de raportare.

• Articolul 18 CRA: Numirea reprezentantului UE pentru producătorii extra-UE
• Articolul 14 CRA: Raportarea vulnerabilităților în 24 de ore
• Cine este exclus: Importatorii/distribuitorii fără vânzare în nume propriu

Cum alegi reprezentantul CRA: criterii, comparații și întrebări esențiale

Alegerea reprezentantului CRA este o decizie strategică ce influențează conformitatea, viteza de răspuns la incidente și transparența costurilor. Principalele criterii sunt:

• Preț publicat și claritate privind reînnoirea: Doar unii furnizori (ex. REP27) afișează prețuri și condiții de reînnoire transparente; alții cer contact direct pentru detalii.
• Servicii incluse: Verifică întotdeauna ce cuprinde mandatul: primire și transmitere solicitări, certificat verificabil, suport pentru raportare, prezența unui desk activ 24/7.
• Excluderi explicite: Niciun reprezentant nu oferă evaluare conformitate, teste de securitate, generare SBOM sau raportare tehnică; acestea rămân responsabilitatea producătorului.
• Verificarea mandatului: Preferă furnizorii care oferă certificat cu cod QR și pagină publică de verificare.
• Întrebări de pus: Cine semnează mandatul? Care este procesul în cazul solicitărilor autorităților? În ce limbi răspund? Care sunt costurile de reînnoire și eventualele taxe suplimentare?

Iată un tabel comparativ al serviciilor declarate:

Transparența privind inclusivile, excluderile și prețurile este un semn de încredere: evită furnizorii care nu specifică clar oferta.

Ce include cu adevărat prețul: transparență, limitări și comparație practică

Mandatul reprezentantului CRA acoperă exclusiv reprezentarea legală și gestionarea comunicărilor cu autoritățile europene. Prețul afișat de REP27 (490 €/an, 440 € reînnoire) include:

• Mandat scris Art. 18 CRA, semnat electronic
• Certificat verificabil cu cod QR și pagină publică
• Primirea și transmiterea tuturor solicitărilor autorităților de supraveghere a pieței
• Gestionarea raportării vulnerabilităților conform termenelor CRA

Nu sunt incluse:

• Evaluarea conformității produsului (atributul organismelor notificate, nu al reprezentantului)
• Teste de securitate sau generare SBOM
• Redactare sau trimitere rapoarte tehnice
• Suport operațional sau consultanță tehnică

Majoritatea furnizorilor nu detaliază serviciile incluse: kadano (999 €/an) și Euverify (590 £/an) nu specifică ce este inclus sau exclus. Este esențial să soliciți o listă detaliată înainte de a semna.

Atenție la reînnoirile automate și politicile de facturare: REP27 garantează o singură factură anuală și prețul de reînnoire anunțat din timp.

Costuri ascunse și riscuri: ce să evaluezi pentru conformitatea CRA

Costul mandatului de reprezentant este doar o mică parte din conformitatea CRA. Costurile principale, adesea ascunse sau subestimate, sunt:

• Evaluarea conformității: Pentru produse de clasă importantă sau critică, este obligatoriu implicarea unui organism notificat, cu costuri ce pot depăși mult pe cele ale reprezentantului.
• Suport tehnic și actualizări: Producătorul trebuie să asigure cel puțin cinci ani de actualizări de securitate, cu resurse dedicate.
• Gestionarea incidentelor și raportarea: Neraportarea promptă a unei vulnerabilități poate atrage sancțiuni, blocarea comercializării și daune reputaționale.
• Reînnoiri și costuri suplimentare: Unii furnizori aplică taxe pentru solicitări în afara orelor, limbi suplimentare sau gestionarea incidentelor complexe. REP27 declară că nu aplică taxe suplimentare, alții nu specifică.

Cel mai grav risc operațional este lipsa unui canal de raportare activ 24/7: desk-ul reprezentantului trebuie să fie disponibil permanent, inclusiv noaptea și în zilele libere, pentru a respecta termenul de 24 de ore.

În concluzie, conformitatea CRA necesită planificare, resurse interne și o alegere conștientă a reprezentantului, fără a te baza doar pe cel mai mic preț.

Cum se face numirea: pași operaționali și bune practici

Numirea reprezentantului CRA urmează un proces clar, esențial pentru conformitate și promptitudine în gestionarea solicitărilor autorităților:

1. Verifică necesitatea: Ești producător extra-UE care vinde produse digitale în UE? Dacă da, continuă.
2. Alege furnizorul: Analizează prețurile afișate, serviciile incluse, modalitățile de verificare a mandatului și existența unui desk activ 24/7.
3. Solicită serviciul: Completează formularul de cerere pe site-ul furnizorului ales.
4. Semnează mandatul: Primește și semnează mandatul scris Art. 18 CRA, preferabil cu semnătură electronică recunoscută (ex. eIDAS).
5. Primește certificatul: Obține certificatul verificabil (cod QR, pagină publică) și include-l în documentația tehnică.
6. Actualizează procedurile interne: Introdu datele reprezentantului în politicile de securitate, runbook-ul de răspuns la incidente și documentația tehnică.
7. Pregătește raportarea: Precompletează șabloanele pentru raportarea vulnerabilităților (early warning, notificare 72h, raport final) și numește cel puțin doi submitteri cu acces la platforma ENISA.
8. Verifică disponibilitatea: Asigură-te că reprezentantul este accesibil 24/7 pentru transmiterea raportărilor în termenele legale.

Bune practici: solicită întotdeauna o simulare de raportare înainte de semnare, pentru a evalua timpii de răspuns și claritatea procedurilor.

Checklist pentru conformitatea CRA (producători extra-UE)

1. Verifică dacă vinzi produse digitale în UE
2. Clasifică produsul conform CRA (default, important I/II, critic)
3. Numără un reprezentant UE cu mandat Art. 18
4. Pregătește canale și proceduri pentru raportarea vulnerabilităților 24/7
5. Documentează numirea în documentația tehnică și politicile interne
6. Numără cel puțin doi submitteri cu acces la platforma ENISA
7. Precompletează șabloanele de raportare (early warning, notificare, raport final)
8. Alocă resurse pentru cel puțin 5 ani de actualizări de securitate
9. Verifică acoperirea reprezentantului în toate țările UE relevante
10. Simulează o raportare pentru a testa pregătirea operațională

Ce nu spun furnizorii: excluderi, limitări și riscuri practice

• Mandatul acoperă doar reprezentarea legală: Niciun reprezentant nu oferă evaluare conformitate, teste de securitate, SBOM sau suport tehnic în prețul de bază.
• Costurile principale sunt interne: Conformitatea CRA necesită resurse de inginerie, suport și actualizări, neincluse în serviciul de reprezentare.
• Reînnoiri automate și prețuri nepublicate: Unii furnizori nu comunică prețul reînnoirii sau aplică majorări netransparente. REP27 afișează prețuri și reînnoiri în avans.
• Desk-ul nu este întotdeauna activ: Disponibilitatea 24/7 nu este garantată mereu: întreabă cum se gestionează raportările în afara orelor de program.
• Responsabilitate limitată: Reprezentantul nu răspunde tehnic pentru produs, ci doar pentru transmiterea comunicărilor.
• Taxe per solicitare: Unii furnizori pot percepe costuri suplimentare pentru solicitări complexe, limbi adiționale sau gestionarea incidentelor în afara orelor: verifică înainte de semnare.

Matrice decizională: cine trebuie să numească reprezentant CRA

Această matrice ajută la determinarea rapidă a obligației de numire în funcție de rol și modelul de afaceri.

Scenarii practice: trei exemple reale și soluția cea mai simplă

• SaaS SUA: O companie americană oferă o platformă software clienților UE. Trebuie să numească un reprezentant CRA, să pregătească canale de raportare vulnerabilități și să includă certificatul în documentația tehnică. Soluție: REP27 oferă mandat la 490 €/an, desk activ 24/7, certificat verificabil.
• Vânzător Amazon China: Dacă vânzătorul este producătorul produsului digital, trebuie să numească reprezentant CRA și să pregătească documentația de raportare. Dacă este doar revânzător/importator, obligația nu se aplică. Soluție: evaluarea definiției de producător conform CRA și numirea reprezentantului doar dacă este necesar.
• Magazin UK: Un magazin online britanic care produce și vinde dispozitive digitale în UE trebuie să numească reprezentant CRA și să pregătească procedurile de raportare. Dacă importă produse terțe fără modificări sau marcaj propriu, nu are obligație. Soluție: clarificarea rolului în lanțul de aprovizionare și alegerea unui furnizor cu prețuri afișate și desk activ.

În toate scenariile, alegerea unui furnizor transparent reduce riscurile și costurile neașteptate.