Parhaat Cyber Resilience Act (CRA) valtuutetut edustajapalvelut: 2026 vertailu

• CRA:n Artikla 18 vaatii EU:n ulkopuolisilta valmistajilta valtuutetun edustajan nimeämisen EU:ssa.
• REP27 — Europe Services, SE: 490 €/vuosi, uusinta 440 €, selkeä palvelun laajuus ja poissulkemiset.
• Euverify: 590 GBP/vuosi, hinta vahvistettu, sisällöistä ei julkaista tarkempia tietoja.
• kadano: 999 €/vuosi, hinta vahvistettu, sisällöistä ei yksityiskohtia.
• Yksikään palveluntarjoaja ei sisällä vaatimustenmukaisuuden arviointia, testausta tai oikeudellista neuvontaa.
• Nimeäminen on nopeaa (REP27: 24 tunnin sisällä); uusintaehtoja vaihtelee.

Päivitetty 18 October 2026 · 5 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 18 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä Cyber Resilience Act vaatii (Artiklat 18 ja 14)

Cyber Resilience Act (CRA, asetus (EU) 2024/2847) asettaa tiukat velvoitteet digitaalisten elementtien sisältävien tuotteiden valmistajille, jotka myyvät tuotteitaan EU:ssa. Jos olet EU:n ulkopuolella toimiva valmistaja, Artikla 18 edellyttää, että nimeät EU:ssa sijaitsevan valtuutetun edustajan. Tämä ei ole EU:n ulkopuolisille valmistajille vapaaehtoista: edustaja toimii viranomaisviestinnän laillisena yhteyshenkilönä ja koordinoi haavoittuvuuksien raportointia Artiklan 14 mukaisesti.

Artikla 14 asettaa 24 tunnin määräajan ilmoittaa viranomaisille aktiivisesti hyödynnetystä haavoittuvuudesta tai vakavasta tietoturvaloukkauksesta, joka koskee tuotettasi. Edustaja vastaanottaa ja välittää nämä ilmoitukset varmistaen, että noudatat määräaikoja. Raportointiaika on tiukka: 24 tuntia varhaisvaroitukselle, 72 tuntia täydelliselle ilmoitukselle ja 14 päivää lopulliselle raportille. Vastaanottaja määräytyy edustajan, maahantuojan tai jakelijan sijainnin mukaan – jos edustajaa ei ole, menetät prosessin hallinnan ja saatat kohdata viivästyksiä tai valvontatoimia.

On tärkeää ymmärtää, mitä edustajan valtuutus sisältää ja mitä ei. Kukaan palveluntarjoajista, mukaan lukien REP27, kadano tai Euverify, ei tarjoa teknistä arviointia, SBOM:n (ohjelmistokomponenttiluettelo) laatimista tai tuotetestausta osana edustajapalvelua. Nämä ovat erillisiä, usein huomattavasti kalliimpia vaatimustenmukaisuuden vaiheita, jotka hoitaa tekninen tai tietoturvayritys. Edustajan rooli on puhtaasti hallinnollinen ja oikeudellinen: valtuutuksen hallinta, pyyntöjen välitys ja raportointikanavan varmistaminen.

Sisältyy / Ei sisälly / Lisämaksut -taulukko

Miten valita CRA:n valtuutettu edustaja

Oikean CRA:n valtuutetun edustajan valinta on keskeinen vaatimustenmukaisuuden askel EU:n ulkopuolisille valmistajille. Valitsemasi palveluntarjoaja toimii virallisena yhteyshenkilönä EU-viranomaisille, ja heidän luotettavuutensa voi ratkaista sujuvan vaatimustenmukaisuuden ja kalliiden viiveiden välillä. Tässä tärkeimmät huomioitavat tekijät:

• Oikeushenkilö: Varmista, että palveluntarjoaja on rekisteröity EU-oikeushenkilö. Esimerkiksi REP27 on Europe Services, SE, Prahassa toimiva ja Tšekin kaupparekisteriin vuodesta 2014 rekisteröity yritys. Tämä takaa valtuutuksesi pätevyyden ja toimeenpanokelpoisuuden.
• Valtuutuksen laajuus: Valtuutuksen tulee rajoittua Artiklan 18 tehtäviin. Mikäli palveluntarjoaja väittää kattavansa Artiklan 13 tehtävät, se ylittää Artikla 18(2) salliman laajuuden ja saattaa tarjota vaatimusten vastaisia palveluita.
• Hinnoittelun läpinäkyvyys: Pyydä aina kirjallinen vahvistus uusintahinnasta ennen sopimuksen allekirjoittamista. REP27 on ainoa tässä vertailussa, joka julkaisee uusintahinnat selkeästi verkkosivuillaan.
• Vahvistusprosessi: Kysy, miten sinä (ja viranomaiset) voitte varmistaa valtuutuksesi. REP27 tarjoaa QR-koodatun todistuksen julkisella varmennussivulla; muut palveluntarjoajat eivät erittele prosessiaan.
• Kielet ja saatavuus: Varmista, millä kielillä pyyntöpalvelu toimii ja milloin se on avoinna. REP27 tarjoaa kahdeksankielisen palvelupisteen, joka toimii 24/7, myös viikonloppuisin ja pyhinä.
• Poissulkemiset: Luotettava palveluntarjoaja listaa selkeästi, mitä ei sisälly (esim. oikeudellinen neuvonta, tekninen arviointi, SBOM:n laatiminen). Tämä auttaa välttämään väärinkäsityksiä ja odottamattomia kustannuksia.

Päätösmatriisi

Mitä hinta todellisuudessa sisältää

On tärkeää ymmärtää, mitä olet ostamassa. Kaikki tässä vertailussa mukana olevat tarjoajat tarjoavat kirjallisen Artikla 18 valtuutuksen, joka on laillinen vähimmäisvaatimus vaatimustenmukaisuuteen. Sisällön laajuus ja läpinäkyvyys vaihtelevat kuitenkin merkittävästi. REP27 kuvaa sisältönsä: allekirjoitettu nimityskirje (eIDAS-sähköisellä allekirjoituksella), varmennettava todistus (QR-koodilla ja julkisella varmennussivulla), tietosuojaselosteen tekstit kahdeksalla kielellä, pyyntöpalvelu viranomais- ja rekisteröityjen henkilöiden pyyntöjen välittämiseen kahden työpäivän kuluessa sekä Artikla 30 tietueiden säilytys viranomaisille. Myös 24/7 raportointikanava sisältyy, mikä varmistaa, että voit täyttää CRA:n tiukat raportointiaikataulut milloin tahansa.

Euverify ja kadano julkaisevat hintansa, mutta eivät julkisilla sivuillaan erittele, sisältävätkö ne esimerkiksi 24/7 pyyntöpalvelun, monikielisen tuen tai julkisen todistuksen varmennuksen. Julkaistu palvelun laajuus rajoittuu Artikla 18 valtuutukseen. Mikään palveluntarjoaja ei sisällä teknisiä palveluita kuten vaatimustenmukaisuuden arviointia, SBOM:n laatimista tai haavoittuvuustestausta – nämä ovat aina erillisiä kustannuksia, jotka tulee järjestää teknisten tai ilmoitettujen laitosten kautta.

REP27 on ainoa tässä vertailussa, joka julkaisee uusintahinnan (440 €/vuosi) ja tarjoaa pakettivaihtoehtoja yrityksille, jotka tarvitsevat useita valtuutuksia (esim. GDPR Artikla 27, GPSR Artikla 16 tai NIS2). Tämä läpinäkyvyys mahdollistaa tarkan budjetoinnin ja epämiellyttävien yllätyksien välttämisen uusinnassa. Muut palveluntarjoajat eivät julkisesti erittele uusintahintoja tai pakettivaihtoehtoja.

Pyydä aina yksityiskohtainen erittely siitä, mitä sisältyy, mitä ei ja onko lisämaksuja lisäpalveluista tai kiireellisistä pyynnöistä. Selkeä kirjallinen tarjous on paras suoja piilokustannuksilta.

Piilokustannukset ja mitä palveluntarjoajat yleensä eivät kerro

Julkaistu hinta CRA:n valtuutetulle edustajalle kattaa vain laillisen valtuutuksen ja hallinnollisen pyyntöjen välityksen. Kalleimmat ja eniten resursseja vaativat CRA:n vaatimustenmukaisuuden osa-alueet eivät sisälly kenenkään palvelumaksuun. Näitä ovat:

• Vaatimustenmukaisuuden arviointi: Tärkeiden luokan II ja kriittisten tuotteiden osalta ilmoitetun laitoksen arviointi on pakollinen ja maksaa tyypillisesti useita tuhansia euroja, ja arviointiin kuluu kuukausia. Tätä ei sisälly edustajamaksuun.
• SBOM:n laatiminen: Ohjelmistokomponenttiluettelon (SBOM) on tuotettava omassa rakennusputkessasi tai teknisellä tiimilläsi. Kukaan edustaja ei tarjoa tätä palvelua.
• Haavoittuvuustestaus: Tietoturvatestaus kuuluu erikoistuneille yrityksille eikä kuulu edustajan tehtäviin.
• Tukikausi: CRA edellyttää vähintään viiden vuoden tietoturvapäivityksiä tuotteille. Tämän tukikauden budjetointi ja resursointi on merkittävä piilokustannus, jota EU-markkinoille tulijat usein aliarvioivat.
• Uusintahinnat: Monet palveluntarjoajat eivät julkaise uusintahintojaan, mikä voi johtaa odottamattomiin hinnankorotuksiin ensimmäisen vuoden jälkeen. REP27 on ainoa tässä vertailussa, joka julkaisee uusintahinnat etukäteen.
• Poissulkemiset ja vastuu: Edustaja ei tarjoa oikeudellista neuvontaa, vastaa teknisiin kysymyksiin puolestasi eikä ota vastuuta vaatimustenmukaisuudestasi. GDPR:n Artikla 27(5) (ja vastaavasti CRA) selventää, että valtuutus ei estä toimia yritystä itseään vastaan.

Pyydä aina kirjallinen lista poissulkemisista. Jos palveluntarjoaja on epämääräinen siitä, mitä ei sisälly tai ei voi määritellä uusintaehtoja, se on varoitusmerkki. REP27:n kokemuksen mukaan yleisin virhe on valtuutuksen hiljainen päättyminen epäselvien uusintaprosessien tai useiden palveluntarjoajien eri uusintapäivien vuoksi.

Miten nimeäminen toimii: vaihe vaiheelta

CRA:n valtuutetun edustajan nimeäminen on suoraviivainen prosessi, kun noudatat näitä vaiheita:

1. Määritä soveltuvuus: Varmista, että olet valmistaja (et maahantuoja tai jakelija) tuotteelle, jossa on digitaalisia elementtejä ja jota myydään EU:ssa. Tarkista, kuuluuko tuotteesi CRA:n soveltamisalaan.
2. Tutki palveluntarjoajia: Vertaa palveluntarjoajia oikeushenkilön, julkistetun hinnan, uusintaehtojen ja palvelun laajuuden perusteella. Käytä tämän oppaan sisältyy/ei sisälly -taulukkoa apuna.
3. Pyydä kirjallinen tarjous: Ota yhteyttä palveluntarjoajaan saadaksesi kirjallisen valtuutuksen ja vahvistuksen uusintahinnasta ja poissulkemisista.
4. Allekirjoita valtuutus: Allekirjoita Artikla 18 valtuutus (REP27 tarjoaa eIDAS-sähköisen allekirjoituksen, valtuutus annetaan 24 tunnin sisällä). Saat nimityskirjeen ja varmennettavan todistuksen.
5. Päivitä dokumentaatio: Lisää edustajan tiedot tekniseen dokumentaatioon, pakkauksiin ja käyttöohjeisiin CRA:n vaatimusten mukaisesti.
6. Valmistele sisäiset prosessit: Laadi sisäinen toimintasuunnitelma 24 ja 72 tunnin raportointia varten. Määrittele, kuka voi ilmoittaa tapahtuman, valmistele ilmoitusmallit etukäteen ja varmista, että vähintään kahdella henkilöllä on pääsy ENISA-alustalle.
7. Budjetoi tekniseen vaatimustenmukaisuuteen: Järjestä vaatimustenmukaisuuden arviointi (tarvittaessa), SBOM:n laatiminen ja suunnittele viiden vuoden tukikausi tietoturvapäivityksille.
8. Uusinta vuosittain: Seuraa uusintapäiviä ja varmista, ettei valtuutus pääty. REP27 tarjoaa yhden laskun ja yhden uusintapäivän pakettipalveluille.

Ostajan tarkistuslista

1. Oletko EU:n ulkopuolinen valmistaja, joka myy digitaalisia tuotteita EU:ssa?
2. Oletko tunnistanut tuotteesi oikean luokan (oletus, tärkeä luokka I/II, kriittinen)?
3. Onko sinulla kirjallinen tarjous, jossa on uusintahinta ja poissulkemiset?
4. Onko palveluntarjoajasi rekisteröity EU-oikeushenkilö?
5. Oletko päivittänyt kaiken dokumentaation ja pakkaukset?
6. Onko sisäinen raportointi- ja tukiprosessi kunnossa?
7. Oletko budjetoinut tekniseen vaatimustenmukaisuuteen ja jatkuvaan tukeen?

Riskit, sakot ja realistiset skenaariot

CRA:n valtuutetun edustajan nimeämättä jättäminen voi aiheuttaa vakavia seurauksia. Vaikka CRA ei määrittele kiinteää sakkoa valtuutuksen puuttumisesta, vaatimustenmukaisuuden laiminlyönti voi johtaa tuotteidesi estämiseen EU-markkinoilla, vetoomuksiin ja mainehaittoihin. Kallein osa vaatimustenmukaisuutta on yleensä tekninen (ilmoitetun laitoksen arviointi, SBOM, tietoturvapäivitykset), ei edustajamaksu. Edustajan tehtävä on estää viiveet ja varmistaa sinulla on suora, varmennettava yhteys markkinavalvontaan ja haavoittuvuuksien raportointiin.

Mitä palveluntarjoajat yleensä eivät kerro

• Valtuutuksen päättyminen on yleinen virhe – jos käytät useita palveluntarjoajia, pidä uusintapäivät yhdenmukaisina.
• Jotkut tarjoavat alhaisen ensimmäisen vuoden hinnan, mutta eivät julkaise uusintahintoja; varmista aina kirjallisesti.
• Artikla 18 valtuutuksen ei tulisi kattaa Artikla 13 tehtäviä – tämä ei ole sallittua.
• Vastuu on rajattu: edustaja ei vastaa teknisiin kysymyksiin eikä ota vastuuta vaatimustenmukaisuudesta.

Skenaariot

• Yhdysvaltalainen SaaS-yritys, joka myy EU:ssa: Tarvitsee CRA:n valtuutetun edustajan Artikla 18 ja GDPR Artikla 27 edustajan. REP27 tarjoaa molemmat paketissa (690 €/vuosi), yhdellä laskulla ja uusintapäivällä. Yrityksen on itse hoidettava vaatimustenmukaisuuden arviointi ja tietoturvapäivitykset.
• Kiinalainen Amazon-myyjä: On nimettävä CRA:n edustaja IoT-tuotteiden listaamiseksi EU:ssa. Edullisin julkaistu vaihtoehto on REP27 (490 €/vuosi). Myyjän on itse tuotettava SBOM ja varmistettava viiden vuoden tukikausi.
• Brittiläinen verkkokauppa, joka myy älylaitteita: Tarvitsee CRA:n edustajan EU-myyntiä varten. Euverify (590 GBP/vuosi) ja kadano (999 €/vuosi) ovat vaihtoehtoja, mutta vain REP27 julkaisee uusintahinnat. Kaupan on järjestettävä tekninen vaatimustenmukaisuus erikseen.