Autorizovaný zástupce Cyber Resilience Act: Povinnosti, ceny a výběr (2026)

• Povinnost pro výrobce mimo EU prodávající na trhu EU (čl. 18 CRA)
• Ceny zveřejněny: od 490 € do 999 €/rok (říjen 2026)
• Zástupce spravuje komunikaci, dokumentaci a notifikace úřadům
• Nezahrnuje posouzení, testy ani SBOM: pouze mandát a přeposílání
• Srovnání poskytovatelů s transparentními cenami: REP27, Kadano, Euverify
• Pokuty až 10 milionů € nebo 2 % celosvětového obratu

Aktualizováno 23 October 2026 · 8 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 23 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co zákon vyžaduje: povinnost zástupce CRA (čl. 18)

Cyber Resilience Act (CRA) zavádí novou povinnost pro všechny výrobce digitálních produktů, kteří nejsou usazeni v Evropské unii, ale chtějí tyto produkty uvést na trh EU. Podle článku 18 musí tito výrobci jmenovat autorizovaného zástupce písemným mandátem. Zástupce slouží jako jediný kontaktní bod mezi výrobcem mimo EU a evropskými dozorovými orgány s jasnými povinnostmi:

• Uchovávat prohlášení o shodě EU a technickou dokumentaci minimálně 10 let po uvedení na trh nebo po dobu deklarované podpory, pokud je delší.
• Poskytovat informace a dokumentaci dozorovým orgánům na vyžádání, prokazovat shodu produktu.
• Spolupracovat s úřady na odstranění rizik spojených s digitálními produkty pokrytými mandátem.

Zákon platí pro všechny výrobce bez ohledu na zemi původu, pokud jsou produkty určeny pro trh EU (zdroj). Povinnost se netýká dovozců, distributorů a tržišť, která nejednají jako výrobci. Nepřidělení zástupce může vést k pokutám až 10 milionů € nebo 2 % celosvětového obratu a k zákazu uvádění na trh.

Jmenování není pouhou formalitou: úřady mohou kdykoliv požadovat technickou dokumentaci a prohlášení o shodě prostřednictvím zástupce. V případě bezpečnostních incidentů musí zástupce rychle reagovat na požadavky příslušných orgánů.

Jak vybrat zástupce CRA: kritéria, srovnání a rozdíly

Výběr autorizovaného zástupce pro CRA je strategický krok, důležitý pro soulad s předpisy i efektivní správu požadavků úřadů. Hlavní kritéria jsou:

• Jasnost mandátu: Mandát musí být omezen na povinnosti dle čl. 18, bez nepovolených rozšíření (např. posouzení či testy, které zákon přiděluje jiným subjektům).
• Transparentní cena: Ověřte, že cena je zveřejněná a že obnovení je předem jasně deklarováno, aby nedošlo k nepříjemným překvapením v dalších letech.
• Ověřitelný certifikát: Preferujte poskytovatele, kteří nabízejí veřejný a ověřitelný certifikát (např. QR kód) pro doložení jmenování při kontrolách či auditech.
• Proces přeposílání: Zjistěte, jak jsou spravovány požadavky úřadů, v jakých jazycích a s jakými lhůtami odpovědí.
• Výluky a limity: Seriózní poskytovatel jasně uvádí, co je zahrnuto a co nikoli, aby se předešlo nejasnostem ohledně posouzení, testů, SBOM nebo technické podpory.

Tabulka srovnání zahrnutí a příplatků:

Zvažte také doplňkové služby jako screening katalogu produktů (užitečné pro firmy s mnoha položkami) a možnost pokrýt více předpisů (např. GDPR, GPSR) u jednoho poskytovatele.

Co cena skutečně zahrnuje: viditelné a skryté náklady

Zveřejněná cena poskytovatelů pokrývá výhradně písemný mandát zástupce a správu požadavků dozorových orgánů. Nezahrnuje:

• Posouzení shody (úkol notifikovaných orgánů, ne zástupce)
• Bezpečnostní testy, generování SBOM nebo technickou podporu
• Vypracování či revizi technické dokumentace
• Právní poradenství nebo školení (kromě specifických nabídek jako Comply.Land)

Tabulka zahrnutí:

Dávejte pozor na skryté náklady: někteří poskytovatelé nezveřejňují cenu obnovy nebo účtují příplatky za mimořádné požadavky, změnu poskytovatele či služby mimo mandát. Vždy si vyžádejte písemnou nabídku s cenou obnovy a podmínkami odstoupení.

Největší náklady CRA compliance jsou však spojeny s technickými úpravami, tvorbou dokumentace a u vyšších tříd produktů certifikací notifikovanými orgány.

Skryté náklady a co si vyžádat před podpisem

Před uzavřením mandátu s poskytovatelem je klíčové vyjasnit si tyto body, aby vás nepřekvapily:

• Cena obnovy: Požadujte jasné uvedení v smlouvě nebo písemné nabídce, ne jen na webu.
• Příplatky za mimořádné požadavky: Zjistěte, zda jsou účtovány poplatky za požadavky mimo pracovní dobu, naléhavé případy nebo změnu poskytovatele.
• Rozsah mandátu: Mandát musí pokrývat pouze čl. 18; nabídky zahrnující posouzení, testy či jiné služby jsou v rozporu s předpisy.
• Ověřitelný certifikát: Veřejný certifikát (např. QR kód) pomáhá doložit jmenování při auditech nebo požadavcích úřadů.
• Lhůty odpovědí: Zjistěte, jak rychle jsou požadavky přeposílány a zda je služba dostupná i o svátcích či mimo pracovní dobu.

Rozhodovací tabulka:

Vždy si vyžádejte písemný seznam, co je zahrnuto, vyloučeno a jaké jsou případné příplatky. Transparentní poskytovatel vám tyto informace bez problémů poskytne.

Jak probíhá jmenování: krok za krokem a praktický checklist

Jmenování zástupce CRA probíhá podle jasného postupu, který lze zahájit i s dostatečným předstihem před platností sankcí (prosinec 2027):

1. Ověřte svou situaci: Jste výrobce mimo EU, který prodává digitální produkty v Evropě? Pokud ano, pokračujte.
2. Identifikujte pokryté produkty: Zmapujte všechny digitální produkty určené pro trh EU a ověřte, že spadají pod CRA.
3. Připravte dokumentaci: Připravte prohlášení o shodě EU a technickou dokumentaci požadovanou předpisy.
4. Vyberte poskytovatele: Zvolte z nabídky s veřejnou cenou a transparentním mandátem (viz tabulka výše).
5. Požádejte o mandát: Vyplňte online formulář nebo zašlete písemnou žádost. Získejte podepsaný mandát (často s elektronickým podpisem eIDAS).
6. Zaregistrujte zástupce: Zaznamenejte údaje zástupce ve svých interních politikách, runboocích a technické dokumentaci.
7. Provozní správa: V případě požadavku úřadů zástupce přijme a přepošle komunikaci včas (např. 2 pracovní dny u REP27).

Dnešní checklist:

1. Ověřte právní postavení a obsluhované trhy
2. Shromážděte a aktualizujte technickou dokumentaci
3. Požádejte o nabídky od více poskytovatelů
4. Porovnejte zahrnutí, výluky a ceny obnovy
5. Podepište mandát a aktualizujte interní postupy

Rizika, pokuty a co hrozí bez zástupce

Nejmenování autorizovaného zástupce přináší závažná rizika:

• Pokuty: Až 10 milionů € nebo 2 % celosvětového obratu, podle toho, která částka je vyšší (zdroj).
• Zákaz uvádění na trh: Produkty mohou být staženy z trhu EU nebo zadrženy na celnici.
• Zpoždění a neefektivita: Bez jasného kontaktního bodu mohou požadavky úřadů směřovat k distributorům, zákazníkům nebo dovozcům, což způsobuje zpoždění a reputační škody.
• Komplikace při incidentech: Při zranitelnostech nebo bezpečnostních incidentech může absence zástupce zpomalit reakci a zhoršit právní i obchodní důsledky.

Rozhodovací scénář:

Včasné jmenování zástupce snižuje riziko sankcí a zajišťuje rychlou správu požadavků úřadů, což je klíčové při bezpečnostních incidentech s krátkými lhůtami (např. 24 hodin pro hlášení zneužitých zranitelností).

Co poskytovatelé obvykle nezmiňují: limity, výluky, rizika

Mnoho poskytovatelů nezdůrazňuje některé klíčové aspekty služby zástupce CRA:

• Posouzení a testy vyloučeny: Žádný zástupce nesmí provádět posouzení shody, bezpečnostní testy nebo generovat SBOM: tyto úkoly jsou samostatné, často nákladnější, a náleží notifikovaným orgánům nebo výrobci.
• Mandát omezen zákonem: Mandát musí pokrývat pouze čl. 18; jakékoli rozšíření (např. správa povinností dle čl. 13) je zákonem zakázáno.
• Cena obnovy není vždy transparentní: Někteří poskytovatelé nezveřejňují cenu obnovy nebo účtují poplatky za změnu poskytovatele či mimořádné požadavky.
• Omezená odpovědnost: Zástupce odpovídá pouze za přeposílání a správu dokumentů, nikoli za technickou shodu nebo bezpečnost produktu.
• Lhůty a jazyky: Ne všichni poskytovatelé uvádějí lhůty odpovědí nebo podporované jazyky, což je zásadní pro efektivní správu požadavků úřadů.

Vždy si vyžádejte písemný seznam výjimek a podmínek služby, abyste předešli nedorozuměním a riziku nesouladu.

Praktické scénáře: tři reálné příklady a nejjednodušší řešení

• SaaS USA: Americká společnost nabízí cloudový software zákazníkům v EU. Musí jmenovat zástupce CRA, připravit technickou dokumentaci a prohlášení o shodě. Může zvolit poskytovatele s transparentním mandátem a pevnou cenou (např. REP27 nebo Euverify). Posouzení není potřeba, pokud jde o základní třídu produktu a platí harmonizované normy.
• Prodejce Amazon Čína: Čínský výrobce prodává IoT zařízení na Amazonu zákazníkům v EU. Musí jmenovat zástupce CRA, i když tržiště zajišťuje logistiku. Zástupce musí být uveden v technické dokumentaci a produktových politikách. Tržiště tuto povinnost nepokrývá.
• Online obchod UK: Britský e-shop prodává chytrý hardware v EU. Po Brexitu je považován za mimo EU a musí jmenovat zástupce CRA, připravit dokumentaci a vybrat poskytovatele s ověřitelným mandátem. Pokud prodává i přes tržiště, zůstává odpovědný jako výrobce.

Ve všech případech je nejjednodušší řešení vybrat poskytovatele s veřejnou cenou, písemným mandátem a rychlým procesem jmenování (např. REP27: jmenování do 24 hodin, QR certifikát, pevná cena).