Representante Autorizado Cyber Resilience Act: Obrigações, Preços e Escolha (2026)

• Obrigatório para produtores fora da UE que vendem na UE (art. 18 CRA)
• Preços publicados: de €490 a €999/ano (outubro 2026)
• O representante gerencia relações, documentação e notificações às autoridades
• Não inclui assessment, testes ou SBOM: apenas mandato e encaminhamento
• Comparação de fornecedores com preços transparentes: REP27, Kadano, Euverify
• Multas de até €10 milhões ou 2% do faturamento global

Atualizado 23 October 2026 · 8 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 23 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que a lei exige: obrigação do representante CRA (art. 18)

O Cyber Resilience Act (CRA) introduz uma nova obrigação para todos os produtores de produtos com elementos digitais que não estejam estabelecidos na União Europeia, mas que pretendam colocar esses produtos no mercado da UE. Segundo o artigo 18, esses produtores devem nomear um representante autorizado por meio de mandato escrito. O representante atua como ponto único de contato entre o produtor fora da UE e as autoridades europeias de supervisão, com responsabilidades específicas:

• Manter a declaração UE de conformidade e a documentação técnica por pelo menos 10 anos após a comercialização ou durante todo o período de suporte declarado, se maior.
• Fornecer informações e documentação às autoridades de supervisão mediante solicitação, demonstrando a conformidade do produto.
• Cooperar com as autoridades para eliminar riscos associados aos produtos digitais cobertos pelo mandato.

A lei aplica-se a todos os produtores, independentemente do país de origem, se os produtos forem destinados ao mercado da UE (fonte). Importadores, distribuidores e marketplaces que não atuam como produtores não estão sujeitos à obrigação. A falta de nomeação do representante pode acarretar multas de até €10 milhões ou 2% do faturamento global, além do bloqueio da comercialização.

A nomeação não é apenas uma formalidade: as autoridades podem solicitar a qualquer momento a documentação técnica e a declaração de conformidade por meio do representante. Em caso de incidentes de segurança, o representante deve ser capaz de responder rapidamente às solicitações das autoridades competentes.

Como escolher o representante CRA: critérios, comparação e diferenças

A escolha do representante autorizado para o CRA é estratégica, tanto para a conformidade quanto para a gestão eficiente das solicitações das autoridades. Eis os principais critérios a avaliar:

• Clareza do mandato: O mandato deve ser limitado às responsabilidades previstas no art. 18, sem extensões não permitidas (por exemplo, assessment ou testes que a lei atribui a outros sujeitos).
• Preço transparente: Verifique se o preço está publicado e se a renovação é informada previamente, evitando surpresas nos anos seguintes.
• Certificado verificável: Prefira fornecedores que ofereçam certificado público e verificável (ex. QR code) para comprovar a nomeação em caso de controles ou auditorias.
• Processo de encaminhamento: Pergunte como são gerenciadas as solicitações das autoridades, em quais idiomas e com quais prazos de resposta.
• Exclusões e limites: Um fornecedor sério lista claramente o que está incluído e o que não está, evitando ambiguidades sobre assessment, testes, SBOM ou suporte técnico.

Tabela comparativa inclusões/fees extras:

Avalie também a presença de serviços adicionais como triagem do catálogo de produtos (útil para quem tem muitas referências) e a possibilidade de cobrir várias normas (ex. GDPR, GPSR) com um único fornecedor.

O que o preço realmente inclui: custos visíveis e ocultos

O preço publicado pelos fornecedores cobre exclusivamente o mandato escrito de representação e a gestão das solicitações das autoridades de supervisão. Não estão incluídos:

• Assessment de conformidade (tarefa dos organismos notificados, não do representante)
• Testes de segurança, geração de SBOM ou suporte técnico
• Redação ou revisão da documentação técnica
• Consultoria jurídica ou treinamento (exceto ofertas específicas como Comply.Land)

Tabela de inclusões:

Cuidado com custos ocultos: alguns fornecedores não publicam o preço de renovação ou aplicam taxas para solicitações extras, troca de fornecedor ou serviços fora do mandato. Sempre peça uma oferta escrita que inclua o preço de renovação e as condições de rescisão.

Por fim, considere que o custo do representante é apenas uma pequena parte da conformidade CRA: as despesas maiores estão relacionadas à adaptação técnica, geração da documentação e, para produtos de classe superior, à certificação por organismos notificados.

Custos ocultos e o que perguntar antes de assinar

Antes de assinar um mandato com um fornecedor, é fundamental esclarecer alguns pontos para evitar surpresas:

• Preço de renovação: Peça que esteja claramente indicado no contrato ou na oferta escrita, não apenas no site.
• Taxas para solicitações extras: Verifique se há custos adicionais para gestão de solicitações fora do horário, urgências ou troca de fornecedor.
• Escopo do mandato: O mandato deve cobrir apenas o art. 18; ofertas que incluem assessment, testes ou outros serviços estão em conflito com a legislação.
• Certificado verificável: Um certificado público (ex. QR code) é útil para comprovar a nomeação em caso de auditoria ou solicitação das autoridades.
• Prazo de resposta: Pergunte quais são os prazos para encaminhamento das solicitações e se o serviço está ativo também em feriados e fora do horário comercial.

Tabela decisória:

Sempre peça uma lista escrita do que está incluído, excluído e das eventuais taxas extras. Um fornecedor transparente fornecerá essas informações sem hesitação.

Como funciona a nomeação: passo a passo e checklist prática

A nomeação do representante CRA segue um procedimento claro, que você pode iniciar com bastante antecedência em relação à entrada em vigor das sanções (dezembro de 2027):

1. Verifique sua posição: Você é um produtor fora da UE que vende produtos digitais na Europa? Se sim, prossiga.
2. Identifique os produtos cobertos: Mapeie todos os produtos digitais destinados ao mercado da UE e verifique se estão no escopo do CRA.
3. Prepare a documentação: Prepare a declaração UE de conformidade e a documentação técnica exigida pela norma.
4. Selecione o fornecedor: Escolha entre os fornecedores com preço publicado e mandato transparente (veja tabela acima).
5. Solicite o mandato: Preencha o formulário online ou envie pedido por escrito. Receba o mandato assinado (geralmente com assinatura eletrônica eIDAS).
6. Registre o representante: Insira os dados do representante nas suas políticas internas, runbook e documentação técnica.
7. Gestão operacional: Em caso de solicitação das autoridades, o representante recebe e encaminha a comunicação dentro dos prazos previstos (ex. 2 dias úteis para REP27).

Checklist para hoje:

1. Verifique sua posição jurídica e os mercados atendidos
2. Reúna e atualize a documentação técnica
3. Solicite orçamentos a vários fornecedores
4. Compare inclusões, exclusões e preços de renovação
5. Assine o mandato e atualize seus procedimentos internos

Riscos, multas e o que acontece sem representante

A falta de nomeação do representante autorizado acarreta riscos significativos:

• Multas: Até €10 milhões ou 2% do faturamento global, conforme o valor maior (fonte).
• Bloqueio da comercialização: Os produtos podem ser retirados do mercado da UE ou bloqueados na alfândega.
• Atrasos e ineficiências: Sem um ponto de contato claro, as solicitações das autoridades podem chegar a distribuidores, clientes ou importadores, causando atrasos e danos reputacionais.
• Complicações em incidentes: Em caso de vulnerabilidades ou incidentes de segurança, a ausência de representante pode atrasar a resposta e agravar as consequências legais e comerciais.

Cenário decisório:

A nomeação tempestiva do representante reduz o risco de sanções e garante uma gestão rápida das solicitações das autoridades, fundamental em caso de incidentes de segurança com prazos apertados (ex. 24 horas para notificação de vulnerabilidades exploradas).

O que os fornecedores geralmente não dizem: limites, exclusões, riscos

Muitos fornecedores não destacam alguns aspectos-chave do serviço de representação CRA:

• Assessment e testes excluídos: Nenhum representante pode realizar assessment de conformidade, testes de segurança ou gerar SBOM: são tarefas separadas, geralmente muito mais caras, que cabem a organismos notificados ou ao produtor.
• Mandato limitado por lei: O mandato deve cobrir apenas o art. 18; qualquer extensão (ex. gestão de obrigações art. 13) é proibida pela própria norma.
• Preço de renovação nem sempre transparente: Alguns fornecedores não publicam o preço de renovação ou aplicam taxas para troca de fornecedor ou solicitações extras.
• Responsabilidade limitada: O representante é responsável apenas pelo encaminhamento e manutenção de documentos, não pela conformidade técnica ou segurança do produto.
• Prazo de resposta e idiomas: Nem todos os fornecedores especificam os prazos de resposta ou os idiomas suportados: um detalhe fundamental para a gestão eficaz das solicitações das autoridades.

Sempre peça uma lista escrita das exclusões e condições do serviço, para evitar mal-entendidos e riscos de não conformidade.

Cenários práticos: três exemplos reais e a solução mais simples

• SaaS EUA: Uma empresa americana oferece software em nuvem para clientes da UE. Deve nomear um representante CRA, preparar a documentação técnica e a declaração de conformidade. Pode escolher um fornecedor com mandato transparente e preço fixo (ex. REP27 ou Euverify). Não é necessário assessment se o produto for de classe básica e aplicar-se-ão normas harmonizadas.
• Vendedor Amazon China: Um produtor chinês vende dispositivos IoT na Amazon para clientes da UE. Deve nomear representante CRA, mesmo que o marketplace gerencie a logística. O representante deve constar na documentação técnica e nas políticas do produto. O marketplace não cobre essa obrigação.
• Loja online Reino Unido: Uma loja online britânica vende hardware inteligente na UE. Após o Brexit, é considerada fora da UE e deve nomear representante CRA, preparar a documentação e escolher um fornecedor com mandato verificável. Se também vende em marketplace, continua responsável como produtor.

Em todos esses casos, a solução mais simples é escolher um fornecedor com preço publicado, mandato escrito e processo de nomeação rápido (ex. REP27: designação em 24 horas, certificado QR, preço fixo).