Potřebuji zmocněnce, pokud vyrábím mimo EU? Poskytovatelé a ceny 2026

• Výrobci mimo EU prodávající v EU musí jmenovat zmocněnce podle článku 18 CRA.
• Povinnost platí od 11. září 2026 pro produkty s digitálními prvky.
• REP27 — Europe Services, SE nabízí zastoupení CRA od 490 €/rok.
• Ceny konkurence: kadano 999 €/rok, Euverify 590 GBP/rok (ověřeno říjen 2026).
• Jmenování není potřeba pro výrobce se sídlem v EU nebo některé nekomerční správce open source.
• Zmocněnec zajišťuje hlášení zranitelností a komunikaci s úřady EU.

Aktualizováno 19 October 2026 · 4 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 19 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co zákon vyžaduje: Článek 18 CRA a vaše povinnosti

Evropský zákon o kybernetické odolnosti (CRA) zavádí nové povinnosti pro výrobce produktů s digitálními prvky. Článek 18 CRA, účinný od 11. září 2026, vyžaduje, aby každý výrobce se sídlem mimo EU jmenoval zmocněnce v Unii, pokud tyto produkty prodává v EU. Platí to pro B2B i B2C prodeje, včetně SaaS, IoT, softwarových a hardwarových dodavatelů.

• Kdo musí jmenovat: Každý výrobce mimo EU prodávající přímo zákazníkům v EU, ať už podnikům nebo spotřebitelům.
• Kdo je osvobozen: Výrobci se sídlem v EU, dovozci nebo distributoři uvádějící produkty na trh pod svým jménem a někteří nekomerční správci open source (s omezenými povinnostmi).
• Právní základ: Článek 18(1) CRA pro zmocněnce, článek 14 pro hlášení zranitelností a článek 3 pro rozsah použití.

Zmocněnec je oficiálním kontaktním místem pro úřady EU, zajišťuje hlášení zranitelností (článek 14) a komunikaci s orgány dohledu nad trhem. Nepřidělení zmocněnce je samostatný přestupek, který může vést k vysokým pokutám. Pro srovnání, podle GDPR podobné porušení vedlo k pokutě až 525 000 EUR (případ Locatefamily.com).

Jmenování musí být písemné a musí specifikovat rozsah (článek 18(3)). Členský stát zmocněnce určuje, který národní CSIRT obdrží hlášení zranitelností. Pokud zmocněnce nejmenujete, může se jím stát dovozce nebo distributor, což může komplikovat prodej a dodržování předpisů.

Pro švýcarské povinnosti REP27 poskytuje bezplatné posouzení u každého placeného plánu, ale švýcarský zmocněnec je potřeba pouze pokud jsou splněny všechny čtyři švýcarské podmínky. REP27 nefunguje jako švýcarský zmocněnec, ale poskytuje prohlášení o osvobození, pokud není potřeba.

Jak vybrat zmocněnce: Klíčová kritéria a srovnání poskytovatelů

Výběr správného zmocněnce je zásadní pro dodržení předpisů a bezproblémový vstup na trh. Zde jsou hlavní faktory k zvážení:

• Právní subjekt a registrace: Ověřte, že poskytovatel je registrovanou společností v EU. REP27 je Europe Services, SE, registrovaná v Praze od roku 2014 (IČO 03571785).
• Rozsah mandátu: Mandát by měl být výhradně omezen na povinnosti podle článku 18(3). Žádný poskytovatel nemůže legálně pokrýt povinnosti podle článku 13 CRA.
• Transparentnost: Ceny obnovy a zahrnuté služby by měly být zveřejněny a potvrzeny písemně před platbou. REP27 zveřejňuje všechny ceny obnovy a rozsah předem.
• Ověření: Hledejte ověřitelný certifikát (např. QR kód, veřejná stránka pro ověření), který prokazuje dodržování předpisů úřadům i zákazníkům.
• Podpora a komunikace: Ověřte proces přeposílání požadavků, podporované jazyky a reakční doby. REP27 garantuje přeposlání do dvou pracovních dnů a poskytuje znění oznámení o ochraně osobních údajů v 8 jazycích.

Porovnejte, co je zahrnuto, co není a jaké jsou případné příplatky:

Vždy požadujte písemný rozpis toho, co je zahrnuto, zejména pokud poskytovatel tyto informace nezveřejňuje. Vyhnete se tak nepříjemným překvapením a platíte pouze za to, co skutečně potřebujete.

Co cena skutečně zahrnuje a skryté náklady v zastoupení CRA

Většina zveřejněných cen pokrývá pouze právní mandát a základní komunikační povinnosti. Největší náklady na dodržení CRA jsou obvykle interní: vývoj, dokumentace, tvorba SBOM (Software Bill of Materials) a zajištění podpory po dobu minimálně pěti let pro bezpečnostní aktualizace. U důležitých produktů třídy II nebo kritických je potřeba posouzení notifikovaným subjektem, což je mnohem dražší než poplatek za zmocněnce.

Ceny REP27 jsou transparentní: 490 €/rok za CRA pouze, 690 €/rok za CRA+GDPR a 990 €/rok za CRA+GDPR+NIS2, s nižšími cenami obnovy. Mandát zahrnuje písemné jmenování dle článku 18, ověřitelný certifikát, pracovní místo pro hlášení zranitelností a přeposílání požadavků. Nezahrnuje posuzování shody, testování, tvorbu SBOM ani hlášení incidentů – to je vždy odpovědnost výrobce nebo notifikovaného subjektu.

Na co si dát pozor u skrytých nákladů:

• Tiché obnovy smluv nebo nejasné ceny obnovy (běžné na trhu).
• Poplatky za přeposílání komunikace úřadům nebo hlášení zranitelností na vyžádání.
• Omezení služeb, například počet požadavků nebo podporované jazyky.
• Omezení odpovědnosti a výjimky skryté v obchodních podmínkách.

REP27 uvádí všechny ceny obnovy předem a jasně vyjmenovává výjimky. Vždy požadujte písemné potvrzení, co je zahrnuto a co ne, před podpisem smlouvy s jakýmkoli poskytovatelem.

Jak probíhá jmenování: krok za krokem a rozhodovací matice

Jmenování zmocněnce je jednoduchý, ale zásadní proces. Praktický návod:

1. Zhodnoťte své sídlo: Potvrďte, že vaše společnost je mimo EU a prodává produkty s digitálními prvky v EU.
2. Ověřte své povinnosti: Zjistěte, zda vaše produkty spadají pod CRA a zda jste skutečný výrobce, nikoli pouze dovozce nebo distributor.
3. Vyberte poskytovatele: Porovnejte poskytovatele podle právní entity, ceny, rozsahu a transparentnosti. Požádejte o písemné podrobnosti, co je zahrnuto.
4. Podepište mandát: Uzavřete písemnou smlouvu s vymezením povinností podle článku 18. REP27 vydává jmenování do 24 hodin s ověřitelným certifikátem.
5. Aktualizujte dokumentaci: Přidejte údaje zmocněnce do technické dokumentace, oznámení o ochraně osobních údajů a postupů hlášení zranitelností.
6. Buďte připraveni na hlášení: Zajistěte, aby váš tým znal postup pro 24hodinové hlášení zranitelností od 11. září 2026.

Rozhodovací matice

Vždy si písemně potvrďte, kdo je zmocněncem, zejména pokud využíváte dovozce nebo distributory.

Rizika, pokuty a co poskytovatelé obvykle neříkají

Rizika nedodržení: Nepřidělení zmocněnce může vést k sankcím a vysokým pokutám. Podle GDPR vedlo nepřidělení zmocněnce k pokutě 525 000 EUR pro Locatefamily.com. CRA stanovuje samostatné přestupky a pokuty mohou dosáhnout až 10 milionů EUR nebo 2 % celosvětového obratu za porušení článku 18.

Co poskytovatelé obvykle neříkají:

• Omezení mandátu: Role zmocněnce je výhradně přeposílání komunikace a kontaktní místo. Neprovádí posuzování shody, testování ani tvorbu SBOM – to je vždy odpovědnost výrobce.
• Výjimky: REP27 jasně uvádí, co není zahrnuto: posuzování shody, testování, SBOM a hlášení incidentů. Mnoho poskytovatelů tyto výjimky nezveřejňuje, což může vést k nedorozuměním.
• Ceny obnovy a poplatky za požadavky: Tiché obnovy a skryté poplatky jsou běžné. Vždy požadujte písemné potvrzení cen obnovy a dalších poplatků.
• Odpovědnost: Zmocněnci obvykle omezují odpovědnost na přeposílání požadavků a poskytování dokumentace. Nepřebírají inženýrské ani bezpečnostní povinnosti.
• Výpovědní lhůty: Výpovědní lhůty a podmínky změny poskytovatele jsou zřídka zveřejňovány předem. REP27 nabízí cenu za přechod a jednotné datum obnovy pro balíčkové mandáty.

Aby nedošlo k nepříjemným překvapením, vždy požadujte podrobný popis služeb včetně všech výjimek a omezení před závazkem vůči poskytovateli.

Reálné scénáře a nejjednodušší cesty k souladu: praktické příklady

• Americká SaaS společnost: SaaS poskytovatel se sídlem v USA prodává předplatné zákazníkům v EU. Od 11. září 2026 musí jmenovat zmocněnce EU pro povinnosti CRA podle článku 18. Nejjednodušší cesta je zvolit REP27 za 490 €/rok, který poskytuje písemný mandát, ověřitelný certifikát a pracovní místo pro hlášení. Společnost přidá údaje zmocněnce do oznámení o ochraně osobních údajů a postupu hlášení zranitelností.
• Čínský prodejce na Amazonu: Čínský výrobce prodává značkové IoT zařízení na Amazonu zákazníkům v EU. Pokud Amazon jedná jako dovozce, povinnost jmenovat zmocněnce má Amazon. Pokud je prodejce výrobcem a prodává pod vlastní značkou, musí zmocněnce jmenovat on. Možnosti jsou REP27, kadano nebo Euverify. Prodejce by měl písemně potvrdit s Amazonem, kdo je ekonomickým operátorem.
• Britský online obchod: Maloobchodník z Velké Británie prodává chytrá domácí zařízení spotřebitelům v EU. Jako výrobce mimo EU musí jmenovat zmocněnce EU pro dodržení CRA. REP27 nabízí balíčky (CRA+GDPR+NIS2) za 990 €/rok, což usnadňuje soulad s více předpisy. Maloobchodník podepíše mandát, aktualizuje dokumentaci a připraví se na 24hodinové hlášení zranitelností.

Kontrolní seznam pro kupující

1. Potvrďte zemi sídla společnosti a zda jste skutečný výrobce.
2. Zjistěte, zda vaše produkty jsou prodávány v EU a spadají pod CRA.
3. Zkontrolujte, zda dovozce nebo distributor jedná jako ekonomický operátor; pokud ne, musíte jmenovat zmocněnce.
4. Porovnejte poskytovatele podle transparentnosti, rozsahu a ceny. Požádejte o písemné potvrzení zahrnutých a vyloučených služeb.
5. Podepište písemný mandát a získejte ověřitelný certifikát.
6. Aktualizujte dokumentaci, oznámení o ochraně osobních údajů a postupy hlášení zranitelností s údaji zmocněnce.
7. Školte svůj tým na povinnosti 24hodinového hlášení zranitelností od 11. září 2026.
8. Prostudujte podmínky obnovy, výpovědní lhůty a případné příplatky před závazkem.