Omkostninger for autoriseret repræsentant til Cyber Resilience Act: Guide 2026

• REP27 — Europe Services, SE: €490/år, fornyelse €440
• Kadano: €999/år (Østrig), Euverify: £590/år (Irland)
• Mandatet dækker kun juridisk repræsentation (Art. 18 CRA)
• Teknisk overholdelse, tests og SBOM er ikke inkluderet hos nogen leverandør
• Priser offentliggjort og verificeret i oktober 2026
• Ikke relevant for importører, distributører eller kun EU-virksomheder

Opdateret 20 October 2026 · 3 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 20 October 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Lovkrav: Artikel 18 i Cyber Resilience Act

Cyber Resilience Act (EU-forordning 2024/2847) indfører nye forpligtelser for producenter af produkter med digitale elementer, der ønsker at markedsføre i EU. Specifikt pålægger Artikel 18 producenter uden for EU at udpege en autoriseret repræsentant inden for Unionen. Denne repræsentant fungerer som officiel kontakt mellem producenten uden for EU og medlemsstaternes myndigheder, især ved håndtering af sårbarhedsmeddelelser (Artikel 14) og kommunikation med nationale CSIRT og ENISA.

Udpegningen skal være formel, skriftlig og dokumenteret. Den autoriserede repræsentant modtager og videresender alle anmodninger fra markedsovervågningsmyndigheder og sikrer en altid aktiv kommunikationskanal. Forpligtelsen gælder, når:

• Producenten er etableret uden for EU
• Produktet er tiltænkt EU-markedet (direkte salg, via distributører eller markedspladser)

Importører og distributører i EU er ikke underlagt denne forpligtelse, medmindre de sælger produkter i eget navn. Repræsentanten håndterer ikke tekniske vurderinger, sikkerhedstest eller SBOM-generering; dette er producentens ansvar.

Undladelse af at udpege en repræsentant kan medføre administrative sanktioner og blokering af adgang til EU-markedet.

Sådan vælger du repræsentanten: praktiske kriterier og sammenligning

Valget af autoriseret repræsentant til Cyber Resilience Act er en strategisk beslutning, der påvirker compliance, responshastighed og transparens over for myndigheder. Nøglekriterier er:

• Transparent pris og fornyelsesbetingelser: Foretræk leverandører, der offentliggør både startpris og fornyelsespris. REP27 gør dette; andre leverandører kan kun give oplysninger på forespørgsel.
• Verificerbart certifikat: Et digitalt certifikat med QR-kode og offentlig verifikationsside (som REP27) gør det nemt at dokumentere udpegningen over for myndigheder og forretningspartnere.
• Sprogunderstøttelse og svartider: Evnen til at håndtere anmodninger på flere sprog og svare hurtigt, også uden for normal arbejdstid, er afgørende for at overholde CRA’s stramme tidsfrister.
• Klare eksklusioner: Ingen leverandør inkluderer teknisk vurdering, sikkerhedstest eller SBOM. Disse tjenester skal håndteres separat.

Her er en praktisk beslutningsmatrix:

Overvej også bundtede tilbud: REP27 tilbyder rabatter ved kombination af flere mandater (fx GDPR Art. 27 + CRA + NIS2), hvilket reducerer administrativ kompleksitet og risiko for manglende fornyelse.

Hvad prisen egentlig inkluderer: detaljeret sammenligning og begrænsninger

De offentliggjorte priser dækker udelukkende den juridiske repræsentation efter Art. 18 CRA. Det betyder:

• Underskrift af skriftligt mandat og udstedelse af udpegningscertifikat
• Modtagelse og videresendelse af anmodninger fra markedsovervågningsmyndigheder
• Håndtering af sårbarhedsmeddelelser i henhold til Art. 14 CRA (fx videresendelse til CSIRT og ENISA)

Følgende er aldrig inkluderet:

• Overholdelsesvurdering (obligatorisk for produkter i væsentlig klasse II eller kritiske produkter)
• Sikkerhedstest, SBOM-generering, teknisk support
• Udarbejdelse af tekniske politikker eller dokumentation

Oversigtstabel:

Mandatet udgør det juridiske minimum for adgang til EU-markedet, men teknisk compliance er producentens ansvar.

Skjulte omkostninger og ekstra gebyrer: hvad du virkelig skal vide

Omkostningen for den autoriserede repræsentant er kun en lille del af de samlede udgifter til overholdelse af Cyber Resilience Act. De vigtigste skjulte omkostninger er:

• Overholdelsesvurdering (notificeret organ): For produkter i væsentlig klasse II eller kritiske produkter er vurdering fra et notificeret organ obligatorisk og kan koste langt mere end repræsentantmandatet. Disse omkostninger er ikke inkluderet hos nogen leverandør.
• Teknisk support og opdateringer: CRA kræver mindst fem års sikkerhedsopdateringer, som skal planlægges og finansieres som en del af produktets livscyklus.
• Håndtering af sårbarheder: Den interne organisation skal være klar til at opdage, dokumentere og anmelde sårbarheder inden for 24 timer efter opdagelse, ellers risikeres sanktioner og omdømmeskade.

REP27 oplyser eksplicit, at vurdering, test og SBOM ikke er inkluderet og ikke tilbydes som tillægsydelser. Andre leverandører offentliggør ikke detaljer om eventuelle ekstra gebyrer for hastesager eller ekstra services; det er derfor vigtigt at spørge om dette før underskrift.

Checkliste for at undgå overraskelser:

1. Spørg altid om fornyelsespris og opsigelsesbetingelser
2. Tjek om der er gebyrer for anmodninger uden for normal arbejdstid eller hastesager
3. Sørg for at leverandøren klart oplyser, hvad der er inkluderet og ikke inkluderet

Sådan fungerer udpegningen: trin for trin og praktisk tjekliste

Udpegning af en CRA-repræsentant følger en præcis procedure, der er afgørende for compliance og sporbarhed over for EU-myndigheder. Sådan gør du:

1. Bekræft behovet: Er du producent uden for EU med produkter til EU-markedet? Hvis ja, fortsæt.
2. Vurder produktets klasse: Standard, væsentlig I/II, kritisk. Dette afgør, om du kun behøver repræsentanten eller også en notificeret vurdering.
3. Vælg leverandør: Sammenlign priser, fornyelsesbetingelser og verifikationsmetoder for udpegning.
4. Anmod om udpegning: Underskriv det skriftlige mandat (Art. 18 CRA) med valgt leverandør. REP27 udsteder fx udpegning inden for 24 timer.
5. Modtag certifikat: Leverandøren udsteder et verificerbart certifikat (fx REP27 QR-kode), som skal indgå i teknisk dokumentation og rapporteringskanaler.
6. Forbered intern runbook: Definer, hvem der kan erklære opdagelse af sårbarhed, hvem der sender notifikationer, og hvordan svartider dokumenteres.
7. Indsæt repræsentantdata: Opdater teknisk dokumentation, webside og supportkanaler med repræsentantens oplysninger.

Checkliste til at følge i dag:

1. Bekræft om du er producent uden for EU med direkte salg i EU
2. Vurder produktets klasse
3. Sammenlign leverandørers priser og betingelser
4. Spørg om eksklusioner og ekstra omkostninger
5. Forbered dokumentation til udpegning
6. Definer intern procedure for sårbarhedshåndtering

Risici og sanktioner: hvad sker der uden repræsentant

Undladelse af at udpege en autoriseret repræsentant indebærer konkrete risici og potentielt store sanktioner. Specifikt:

• Administrative sanktioner: Nationale myndigheder kan pålægge bøder og blokere markedsføring af ikke-overholdende produkter. Sanktionernes størrelse afhænger af national håndhævelse.
• Ingen adgang til EU-markedet: Uden repræsentant kan produktet ikke lovligt markedsføres i EU, hvilket kan lamme hele forretningsområder.
• Forsinket håndtering af hændelser: Uden effektiv kommunikationskanal kan sårbarhedsmeddelelser ikke håndteres inden for de krævede 24 timer, hvilket medfører yderligere sanktioner og omdømmeskade.

Det er vigtigt at understrege, at repræsentanten ikke påtager sig teknisk eller juridisk ansvar for produktets sikkerhed; ansvaret ligger altid hos producenten. Repræsentanten fungerer kun som kontaktpunkt og videresender til myndigheder.

Oversigtstabel over risici:

Hvad leverandørerne ikke fortæller: begrænsninger, eksklusioner og fornyelser

Mange leverandører offentliggør ikke vigtige detaljer, som kan påvirke valg og håndtering af mandatet:

• Fornyelsespris: Kun REP27 offentliggør fornyelsesprisen (fx €440/år). Andre kan hæve prisen efter første år, så det er vigtigt at få dette skriftligt.
• Eksklusioner: Teknisk vurdering, sikkerhedstest, SBOM og teknisk rapportering er aldrig inkluderet. Disse ydelser skal købes separat og kan være den dyreste del af compliance.
• Opsigelsesbetingelser: Vilkår for at skifte repræsentant er ikke altid klare. Det er vigtigt at tjekke kontrakten før underskrift.
• Ekstra gebyrer for særlige anmodninger: Ingen af de inkluderede leverandører offentliggør priser for hastesager eller uden for normal arbejdstid. Spørg altid om ekstra gebyrer for ikke-standard services.
• Ansvarsbegrænsning: Repræsentanten påtager sig ikke teknisk eller juridisk ansvar for produktet. Funktionen er begrænset til videresendelse og formel repræsentation.

Et informeret valg starter altid med grundig kontraktgennemgang og skriftlig afklaring af alle betingelser.

Praktiske scenarier: tre virkelige cases og den nemmeste løsning

For at tydeliggøre anvendelsen af forpligtelserne og den enkleste løsning, her tre realistiske scenarier:

• US SaaS: Et amerikansk firma sælger software direkte til EU-kunder. Skal udpege en CRA-repræsentant ifølge Art. 18. Kan vælge REP27 (€490/år) eller anden leverandør. Hvis der også tilbydes cloud-tjenester, kan NIS2-compliance også være relevant.
• Kinesisk sælger på Amazon: Hvis produktet bærer sælgerens navn, skal sælgeren udpege repræsentanten. Hvis Amazon fungerer som importør af record, overgår ansvaret til Amazon. Det er vigtigt at afklare, hvem der står som producent/importør i salgsdokumenterne.
• Britisk webshop: En britisk webshop, der sælger direkte til EU-kunder, skal udpege en repræsentant. Hvis salg kun sker via EU-distributører, der importerer og videresælger i eget navn, er webshoppen ikke forpligtet.

Denne analyse hjælper med at undgå almindelige fejl og vælge den mest effektive løsning til din situation.