Producentens skyldigheter utanför EU enligt Cyber Resilience Act

• Krav på EU-representant (Art. 18 CRA) för producenter utanför EU
• Rapportering av sårbarheter inom 24 timmar (Art. 14 CRA) via representant
• REP27: CRA-mandat €490/år (publicerat pris, oktober 2026)
• Inkluderade tjänster och begränsningar varierar mellan leverantörer, kontrollera alltid först
• Ingår ej: överensstämmelsebedömning, tester, SBOM, teknisk rapportering
• Importörer/distributörer utan försäljning i eget namn har inget krav

Uppdaterad 21 October 2026 · 4 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 21 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad lagen kräver: nyckelartiklar i CRA

Cyber Resilience Act (CRA, EU-förordning 2024/2847) inför strikta krav på producenter av produkter med digitala inslag som vill sälja inom Europeiska unionen. Om producenten inte har etablering inom EU måste denne utse en auktoriserad representant inom unionen enligt artikel 18. Denna representant fungerar som enda kontaktpunkt för all officiell kommunikation med europeiska marknadstillsynsmyndigheter och hanterar mottagande och vidarebefordran av formella förfrågningar.

Ett annat grundläggande krav är rapportering av sårbarheter: artikel 14 i CRA kräver att producenten anmäler inom 24 timmar varje aktivt utnyttjad sårbarhet eller allvarlig incident som påverkar produktens säkerhet. Rapporteringen sker via ENISA:s plattform och den koordinerande CSIRT, bestämd utifrån representantens etableringsort. Den auktoriserade representanten är därmed avgörande för att säkerställa snabb och korrekt kommunikation, särskilt för företag med olika tidszoner eller utan personal i Europa.

Viktigt: kravet gäller endast producenter. Importörer och distributörer behöver inte utse CRA-representant om de inte säljer produkten i eget namn. Även de som säljer via marknadsplatser (Amazon, Etsy, eBay) måste bedöma om de räknas som producent enligt CRA:s definition. Produkter som redan finns på marknaden före CRA:s ikraftträdande omfattas ändå av rapporteringskraven.

• Artikel 18 CRA: Utnämning av EU-representant för producenter utanför EU
• Artikel 14 CRA: Rapportering av sårbarheter inom 24 timmar
• Undantagna: Importörer/distributörer som inte säljer i eget namn

Hur man väljer CRA-representant: kriterier, jämförelse och viktiga frågor

Valet av CRA-representant är en strategisk beslut som påverkar efterlevnad, snabbhet vid incidenthantering och kostnadstransparens. De viktigaste kriterierna att beakta är:

• Publicerat pris och tydlighet kring förnyelse: Endast vissa leverantörer (t.ex. REP27) publicerar priser och förnyelsevillkor transparent; andra kräver direktkontakt för detaljer.
• Inkluderade tjänster: Kontrollera alltid vad som ingår i mandatet: mottagande och vidarebefordran av förfrågningar, verifierbart certifikat, stöd vid rapportering, 24/7 bemanning.
• Uttryckliga undantag: Ingen representant kan erbjuda överensstämmelsebedömning, säkerhetstester, SBOM-generering eller teknisk rapportering – detta ansvar ligger kvar hos producenten.
• Verifiering av mandat: Föredra leverantörer som erbjuder certifikat med QR-kod och offentlig verifieringssida.
• Frågor att ställa: Vem undertecknar mandatet? Hur hanteras myndighetsförfrågningar? Vilka språk svarar de på? Vilka är förnyelsekostnader och eventuella extrakostnader?

Nedan en jämförande tabell över deklarerade tjänster:

Transparens kring vad som ingår, undantas och kostar är ett tecken på pålitlighet: var försiktig med leverantörer som inte tydligt specificerar sitt erbjudande.

Vad priset verkligen inkluderar: transparens, begränsningar och praktisk jämförelse

Mandatet för CRA-representanten täcker endast juridisk representation och hantering av kommunikation med europeiska myndigheter. Det publicerade priset från REP27 (€490/år, €440 vid förnyelse) inkluderar:

• Skriftligt mandat enligt Art. 18 CRA, elektroniskt undertecknat
• Verifierbart certifikat med QR-kod och offentlig sida
• Mottagande och vidarebefordran av alla förfrågningar från marknadstillsynsmyndigheter
• Hantering av rapportering av sårbarheter enligt CRA:s tidsfrister

Ingår inte:

• Produktens överensstämmelsebedömning (ansvar för anmälda organ, inte representanten)
• Säkerhetstester eller SBOM-generering
• Upprättande eller inskickande av tekniska rapporter
• Operativt stöd eller teknisk rådgivning

De flesta leverantörer publicerar inte detaljer om inkluderade tjänster: kadano (€999/år) och Euverify (£590/år) specificerar inte vad som ingår eller undantas i priset. Det är avgörande att alltid begära en detaljerad tjänstelista innan avtal skrivs.

Var även uppmärksam på automatiska förnyelser och faktureringspolicyer: REP27 garanterar en årlig faktura och förnyelsepris publicerat i förväg.

Dolda kostnader och risker: vad som verkligen bör bedömas för CRA-efterlevnad

Kostnaden för representantmandatet utgör endast en liten del av CRA-efterlevnaden. De huvudsakliga kostnaderna, ofta dolda eller underskattade, är:

• Överensstämmelsebedömning: För viktiga eller kritiska produktklasser krävs anmält organ, med kostnader som kan överstiga representantens avgift avsevärt.
• Tekniskt stöd och uppdateringar: Producenten måste säkerställa minst fem års säkerhetsuppdateringar med dedikerade resurser.
• Incidenthantering och rapportering: Underlåtenhet att rapportera sårbarheter i tid kan leda till sanktioner, försäljningsstopp och skadat anseende.
• Förnyelser och extrakostnader: Vissa leverantörer tar extra betalt för förfrågningar utanför ordinarie arbetstid, extra språk eller komplex incidenthantering. REP27 uppger att inga extra avgifter tillkommer, men andra leverantörer specificerar inte detta.

Den allvarligaste operativa risken är att inte ha en 24/7-rapportkanal: representantens desk måste alltid vara tillgänglig, även nätter och helger, för att klara 24-timmarsfristen.

Sammanfattningsvis kräver CRA-efterlevnad planering, interna resurser och ett medvetet val av representant – inte bara det lägsta priset.

Hur utnämningen fungerar: operativa steg och bästa praxis

Utnämningen av CRA-representant följer en tydlig process, avgörande för att säkerställa efterlevnad och snabb hantering av myndighetsförfrågningar:

1. Bedöm behovet: Är du producent utanför EU som säljer digitala produkter inom unionen? Om ja, fortsätt.
2. Välj leverantör: Granska publicerade priser, inkluderade tjänster, verifieringsmetod för mandat och 24/7-bemanning.
3. Begär tjänsten: Fyll i beställningsformulär på vald leverantörs webbplats.
4. Underteckna mandatet: Ta emot och skriv under det skriftliga mandatet enligt Art. 18 CRA, helst med erkänd elektronisk signatur (t.ex. eIDAS).
5. Ta emot certifikatet: Få det verifierbara certifikatet (QR-kod, offentlig sida) och inkludera det i teknisk dokumentation.
6. Uppdatera interna rutiner: Lägg in representantens uppgifter i säkerhetspolicys, incidenthanteringsrutiner och teknisk dokumentation.
7. Förbered rapportering: Förifyll mallar för sårbarhetsrapportering (early warning, 72-timmarsanmälan, slutrapport) och utse minst två submitters med tillgång till ENISA-plattformen.
8. Säkra tillgänglighet: Kontrollera att representanten är nåbar 24/7 för att vidarebefordra rapporter inom lagstadgad tid.

Bästa praxis: begär alltid en simulerad rapportering från leverantören innan avtal för att bedöma svarstider och tydlighet i rutiner.

Checklista för CRA-efterlevnad (producenter utanför EU)

1. Kontrollera om du säljer digitala produkter inom EU
2. Klassificera produkten enligt CRA (standard, viktig I/II, kritisk)
3. Utnämn en EU-representant med mandat enligt Art. 18
4. Förbered kanaler och rutiner för sårbarhetsrapportering 24/7
5. Dokumentera utnämningen i teknisk dokumentation och interna policys
6. Utnämn minst två submitters med tillgång till ENISA-plattformen
7. Förifyll rapportmallar (early warning, anmälan, slutrapport)
8. Avsätt resurser för minst 5 års säkerhetsuppdateringar
9. Kontrollera representantens täckning i alla relevanta EU-länder
10. Genomför en testrapportering för att säkerställa operativ beredskap

Vad leverantörer ofta inte säger: undantag, begränsningar och praktiska risker

• Mandatet täcker endast juridisk representation: Ingen representant kan erbjuda överensstämmelsebedömning, säkerhetstester, SBOM eller tekniskt stöd i grundpriset.
• Huvudkostnader är interna: CRA-efterlevnad kräver engineeringresurser, support och uppdateringar, vilket inte ingår i representanttjänsten.
• Automatiska förnyelser och ej publicerade priser: Vissa leverantörer anger inte förnyelsepris eller tillämpar otydliga prisökningar. REP27 publicerar priser och förnyelser i förväg.
• Desk är inte alltid aktiv: 24/7 tillgänglighet garanteras inte alltid: fråga alltid hur rapportering utanför kontorstid hanteras.
• Begränsat ansvar: Representanten ansvarar inte tekniskt för produkten, endast för kommunikationens vidarebefordran.
• Avgifter per förfrågan: Vissa leverantörer kan ta extra betalt för komplexa förfrågningar, extra språk eller incidenthantering utanför ordinarie tid: kontrollera alltid innan avtal.

Beslutsmatris: vem måste utse CRA-representant

Denna matris hjälper att snabbt avgöra utnämningskravet baserat på roll och affärsmodell.

Praktiska scenarier: tre verkliga exempel och enklaste lösningen

• SaaS USA: Ett amerikanskt företag erbjuder en mjukvaruplattform till EU-kunder. Måste utse CRA-representant, förbereda rapporteringskanaler och inkludera certifikatet i teknisk dokumentation. Lösning: REP27 erbjuder mandat för €490/år, 24/7 desk och verifierbart certifikat.
• Amazon-säljare Kina: Om säljaren är producent av den digitala produkten måste denne utse CRA-representant och förbereda rapporteringsdokumentation. Om endast återförsäljare/importör gäller inget krav. Lösning: bedöm producentdefinition enligt CRA och utse representant endast vid behov.
• UK-butik: En brittisk webbutik som producerar och säljer digitala enheter inom EU måste utse CRA-representant och förbereda rapporteringsrutiner. Om butiken endast importerar produkter utan modifiering eller märkning finns inget krav. Lösning: klargör roll i leveranskedjan och välj leverantör med publicerade priser och aktiv desk.

I alla scenarier minskar valet av transparent leverantör risker och oväntade kostnader.