Obowiązki producenta spoza UE według Cyber Resilience Act

• Obowiązek przedstawiciela UE (Art. 18 CRA) dla producentów spoza UE
• Zgłaszanie podatności w ciągu 24 godzin (Art. 14 CRA) przez przedstawiciela
• REP27: mandat CRA 490 €/rok (cena z października 2026)
• Zakres usług i ograniczenia różnią się u dostawców, zawsze sprawdzaj
• Nie wliczone: ocena zgodności, testy, SBOM, raportowanie techniczne
• Importerzy/dystrybutorzy bez sprzedaży na własne nazwisko nie mają obowiązku

Zaktualizowane 21 October 2026 · 4 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 21 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Co wymaga prawo: kluczowe artykuły CRA

Cyber Resilience Act (CRA, Rozporządzenie UE 2024/2847) wprowadza surowe obowiązki dla producentów produktów z elementami cyfrowymi sprzedających na terenie Unii Europejskiej. Jeśli producent nie ma siedziby w UE, musi wyznaczyć upoważnionego przedstawiciela w Unii zgodnie z Artykułem 18. Przedstawiciel ten pełni rolę jedynego punktu kontaktowego dla wszystkich oficjalnych komunikacji z europejskimi organami nadzoru rynku oraz zarządza odbiorem i przekazywaniem formalnych żądań.

Kolejnym kluczowym obowiązkiem jest zgłaszanie podatności: Artykuł 14 CRA nakłada na producenta obowiązek powiadomienia w ciągu 24 godzin o każdej aktywnie wykorzystywanej podatności lub poważnym incydencie wpływającym na bezpieczeństwo produktu. Zgłoszenie odbywa się przez platformę ENISA i koordynujący CSIRT, wyznaczony na podstawie siedziby przedstawiciela. Upoważniony przedstawiciel jest więc niezbędny, by zapewnić terminowość i poprawność komunikacji, szczególnie dla firm z różnymi strefami czasowymi lub bez personelu w Europie.

Ważne: obowiązek dotyczy wyłącznie producentów. Importerzy i dystrybutorzy nie muszą wyznaczać przedstawiciela CRA, chyba że wprowadzają produkt na rynek na własne nazwisko. Również sprzedawcy na marketplace’ach (Amazon, Etsy, eBay) powinni ocenić, czy są producentami według definicji CRA. Produkty już obecne na rynku przed wejściem w życie CRA podlegają obowiązkom zgłaszania.

• Artykuł 18 CRA: Wyznaczenie przedstawiciela UE dla producentów spoza UE
• Artykuł 14 CRA: Zgłaszanie podatności w ciągu 24 godzin
• Kto jest wyłączony: Importerzy/dystrybutorzy bez sprzedaży na własne nazwisko

Jak wybrać przedstawiciela CRA: kryteria, porównanie i kluczowe pytania

Wybór przedstawiciela CRA to strategiczna decyzja wpływająca na zgodność, szybkość reakcji na incydenty i przejrzystość kosztów. Główne kryteria do rozważenia to:

• Opublikowana cena i jasność odnowienia: Tylko niektórzy dostawcy (np. REP27) publikują ceny i warunki odnowienia w przejrzysty sposób; inni wymagają kontaktu w celu uzyskania szczegółów.
• Zakres usług: Zawsze sprawdzaj, co obejmuje mandat: odbiór i przekazywanie żądań, certyfikat weryfikowalny, wsparcie przy zgłaszaniu, dostępność biura 24/7.
• Wyraźne wyłączenia: Żaden przedstawiciel nie oferuje oceny zgodności, testów bezpieczeństwa, generowania SBOM ani raportowania technicznego – to pozostaje po stronie producenta.
• Weryfikacja mandatu: Preferuj tych, którzy oferują certyfikat z kodem QR i publiczną stronę weryfikacji.
• Pytania do zadania: Kto podpisuje mandat? Jaki jest proces w przypadku żądań organów? W jakich językach odpowiadają? Jakie są koszty odnowienia i ewentualne dodatkowe opłaty?

Poniżej tabela porównawcza deklarowanych usług:

Przejrzystość co do zakresu, wyłączeń i cen to oznaka wiarygodności: unikaj dostawców, którzy nie precyzują, co oferują.

Co naprawdę obejmuje cena: przejrzystość, ograniczenia i praktyczne porównanie

Mandat przedstawiciela CRA obejmuje wyłącznie reprezentację prawną i zarządzanie komunikacją z europejskimi organami. Cena opublikowana przez REP27 (490 €/rok, 440 € odnowienie) zawiera:

• Mandat pisemny Art. 18 CRA, podpisany elektronicznie
• Certyfikat weryfikowalny z kodem QR i publiczną stroną
• Odbiór i przekazywanie wszystkich żądań organów nadzoru rynku
• Zarządzanie zgłaszaniem podatności zgodnie z terminami CRA

Nie obejmuje:

• Oceny zgodności produktu (zadanie jednostek notyfikowanych, nie przedstawiciela)
• Testów bezpieczeństwa lub generowania SBOM
• Przygotowywania lub wysyłania raportów technicznych
• Wsparcia operacyjnego lub doradztwa technicznego

Większość dostawców nie publikuje szczegółów usług: kadano (999 €/rok) i Euverify (590 £/rok) nie precyzują, co jest wliczone lub wyłączone. Zawsze żądaj szczegółowej listy usług przed podpisaniem umowy.

Zwróć też uwagę na automatyczne odnowienia i politykę fakturowania: REP27 gwarantuje jedną fakturę rocznie oraz z góry deklarowaną cenę odnowienia.

Ukryte koszty i ryzyka: co naprawdę ocenić dla zgodności CRA

Koszt mandatu przedstawiciela to tylko niewielka część zgodności z CRA. Główne koszty, często ukryte lub niedoceniane, to:

• Ocena zgodności: Dla produktów o istotnej lub krytycznej klasie wymagana jest jednostka notyfikowana, z kosztami często znacznie przewyższającymi mandat przedstawiciela.
• Wsparcie techniczne i aktualizacje: Producent musi zapewnić co najmniej pięć lat aktualizacji bezpieczeństwa, z dedykowanymi zasobami.
• Zarządzanie incydentami i raportowanie: Brak terminowego zgłoszenia podatności może skutkować sankcjami, blokadą sprzedaży i utratą reputacji.
• Odnowienia i dodatkowe koszty: Niektórzy dostawcy naliczają opłaty za żądania poza godzinami pracy, dodatkowe języki lub obsługę złożonych incydentów. REP27 deklaruje brak dodatkowych opłat, inni nie precyzują.

Największym ryzykiem operacyjnym jest brak kanału zgłoszeń dostępnego 24/7: biuro przedstawiciela musi być dostępne zawsze, także nocą i w święta, aby dotrzymać 24-godzinnego terminu.

Podsumowując, zgodność z CRA wymaga planowania, zasobów wewnętrznych i świadomego wyboru przedstawiciela, nie tylko najniższej ceny.

Jak przebiega wyznaczenie: kroki operacyjne i najlepsze praktyki

Wyznaczenie przedstawiciela CRA przebiega według określonego schematu, kluczowego dla zapewnienia zgodności i gotowości do obsługi żądań organów:

1. Oceń potrzebę: Jesteś producentem spoza UE sprzedającym produkty cyfrowe w UE? Jeśli tak, przejdź dalej.
2. Wybierz dostawcę: Analizuj opublikowane ceny, zakres usług, sposób weryfikacji mandatu i dostępność biura 24/7.
3. Złóż zamówienie: Wypełnij formularz na stronie wybranego dostawcy.
4. Podpisz mandat: Otrzymaj i podpisz pisemny mandat Art. 18 CRA, najlepiej z podpisem elektronicznym uznanym (np. eIDAS).
5. Odbierz certyfikat: Uzyskaj certyfikat weryfikowalny (kod QR, strona publiczna) i dołącz go do dokumentacji technicznej.
6. Zaktualizuj procedury wewnętrzne: Wprowadź dane przedstawiciela do polityk bezpieczeństwa, runbooków reakcji na incydenty i dokumentacji technicznej.
7. Przygotuj zgłoszenia: Wstępnie wypełnij szablony zgłoszeń podatności (early warning, powiadomienie 72h, raport końcowy) i wyznacz co najmniej dwóch zgłaszających z dostępem do platformy ENISA.
8. Sprawdź dostępność: Upewnij się, że przedstawiciel jest dostępny 24/7 do przekazywania zgłoszeń w terminie.

Najlepsza praktyka: zawsze poproś o symulację zgłoszenia u dostawcy przed podpisaniem, aby ocenić czas reakcji i jasność procedur.

Lista kontrolna zgodności CRA (producenci spoza UE)

1. Sprawdź, czy sprzedajesz produkty cyfrowe w UE
2. Skategoryzuj produkt według CRA (domyślnie, ważny I/II, krytyczny)
3. Wyznacz przedstawiciela UE z mandatem Art. 18
4. Przygotuj kanały i procedury do zgłaszania podatności 24/7
5. Udokumentuj wyznaczenie w dokumentacji technicznej i politykach wewnętrznych
6. Wyznacz co najmniej dwóch zgłaszających z dostępem do platformy ENISA
7. Wstępnie wypełnij szablony zgłoszeń (early warning, powiadomienie, raport końcowy)
8. Zabezpiecz zasoby na co najmniej 5 lat aktualizacji bezpieczeństwa
9. Sprawdź pokrycie przedstawiciela we wszystkich interesujących krajach UE
10. Przeprowadź symulację zgłoszenia, aby przetestować gotowość operacyjną

Czego dostawcy często nie mówią: wyłączenia, ograniczenia i praktyczne ryzyka

• Mandat obejmuje tylko reprezentację prawną: Żaden przedstawiciel nie oferuje oceny zgodności, testów bezpieczeństwa, SBOM ani wsparcia technicznego w podstawowej cenie.
• Główne koszty są wewnętrzne: Zgodność z CRA wymaga zasobów inżynieryjnych, wsparcia i aktualizacji, które nie są częścią usługi przedstawiciela.
• Automatyczne odnowienia i nieopublikowane ceny: Niektórzy dostawcy nie podają ceny odnowienia lub stosują nieprzejrzyste podwyżki. REP27 publikuje ceny i odnowienia z wyprzedzeniem.
• Biuro nie zawsze czynne 24/7: Dostępność 24/7 nie jest gwarantowana: zawsze pytaj, jak obsługiwane są zgłoszenia poza godzinami pracy.
• Ograniczona odpowiedzialność: Przedstawiciel nie ponosi odpowiedzialności technicznej za produkt, tylko za przekazywanie komunikacji.
• Opłaty za żądania specjalne: Niektórzy mogą naliczać dodatkowe opłaty za złożone żądania, dodatkowe języki lub obsługę incydentów poza godzinami pracy: zawsze sprawdzaj przed podpisaniem.

Macierz decyzyjna: kto musi wyznaczyć przedstawiciela CRA

Ta macierz pomaga szybko określić obowiązek wyznaczenia w zależności od roli i modelu biznesowego.

Praktyczne scenariusze: trzy przykłady i najprostsze rozwiązania

• SaaS z USA: Amerykańska firma oferuje platformę software dla klientów UE. Musi wyznaczyć przedstawiciela CRA, przygotować kanały zgłaszania podatności i dołączyć certyfikat do dokumentacji technicznej. Rozwiązanie: REP27 oferuje mandat za 490 €/rok, biuro czynne 24/7, certyfikat weryfikowalny.
• Sprzedawca Amazon z Chin: Jeśli sprzedawca jest producentem produktu cyfrowego, musi wyznaczyć przedstawiciela CRA i przygotować dokumentację zgłoszeniową. Jeśli jest tylko odsprzedawcą/importerem, obowiązek nie dotyczy. Rozwiązanie: ocenić definicję producenta wg CRA i wyznaczyć przedstawiciela tylko jeśli konieczne.
• Sklep UK: Brytyjski sklep online produkujący i sprzedający urządzenia cyfrowe w UE musi wyznaczyć przedstawiciela CRA i przygotować procedury zgłaszania. Jeśli importuje produkty innych bez modyfikacji lub znakowania, nie ma obowiązku. Rozwiązanie: wyjaśnić rolę w łańcuchu dostaw i wybrać dostawcę z opublikowanymi cenami i biurem 24/7.

We wszystkich scenariuszach wybór przejrzystego dostawcy zmniejsza ryzyko i nieoczekiwane koszty.