Costi di un rappresentante autorizzato per il Cyber Resilience Act: fornitori e prezzi 2026

• Articolo 18 CRA: obbligo di rappresentante per produttori fuori dall'UE
• Prezzi verificati 2026: da 490 € a 999 € all'anno
• REP27: 490 € (primo anno), 440 € (rinnovo), nessun costo aggiuntivo
• I servizi variano: valutazione conformità e test mai inclusi
• Sanzioni fino a 15 mln € o 2,5% del fatturato in caso di violazione (Art. 64 CRA)
• Non tutti necessitano di un rappresentante: importatori, distributori, produttori UE esclusi

Aggiornato 25 ottobre 2026 · 7 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 25 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa prescrive il Cyber Resilience Act (con articoli)

Il Cyber Resilience Act (CRA) è il regolamento centrale dell'UE per la sicurezza informatica dei prodotti con elementi digitali. Per i produttori fuori dall'UE è obbligatorio nominare un rappresentante autorizzato nell'UE non appena offrono prodotti sul mercato europeo. Questo obbligo deriva dall'Articolo 18 del CRA (Fonte).

• Articolo 18: I produttori con sede fuori dall'UE devono nominare un rappresentante che comunichi con autorità e organismi di sorveglianza del mercato per loro conto.
• Articoli 13 e 14: Regolano i requisiti di sicurezza e gli obblighi di notifica per vulnerabilità e incidenti di sicurezza. Dal 11 settembre 2026 i produttori devono segnalare entro 24 ore la scoperta di un problema di sicurezza attivamente sfruttato (Fonte).
• Articolo 64: Le violazioni possono essere sanzionate con multe fino a 15 mln € o 2,5% del fatturato mondiale annuo (Fonte).
• Articolo 71: Il regolamento è entrato in vigore il 10 dicembre 2024. Gli obblighi di notifica partono dall'11 settembre 2026, l'applicazione completa dal 11 dicembre 2027 (Fonte).

L'obbligo riguarda esclusivamente i produttori non stabiliti nell'UE. Importatori e distributori sono coinvolti solo se agiscono da produttori (es. rebranding o immissione sul mercato propria). Per progetti open source senza scopo commerciale si applica un regime ridotto.

Il ruolo del rappresentante è limitato: funge da interfaccia con le autorità, senza assumersi responsabilità tecniche sul prodotto. Compiti come valutazione conformità, aggiornamenti di sicurezza e documentazione tecnica restano al produttore.

Come scegliere il fornitore giusto?

La scelta di un rappresentante CRA dovrebbe basarsi su trasparenza, struttura dei prezzi e verificabilità. Molti fornitori non pubblicano i prezzi, rendendo difficile il confronto. REP27 si distingue per una struttura prezzi aperta e indicazioni chiare su inclusioni ed esclusioni (Fonte).

• Struttura prezzi: Verificate prezzi pubblicati e costi di rinnovo. REP27 li mostra chiaramente (490 € primo anno, 440 € rinnovo).
• Ambito servizi: Un rappresentante CRA può assumere solo i compiti dell'Articolo 18. Fornitori che promettono test tecnici o valutazioni conformità superano il quadro legale.
• Verificabilità: Un mandato verificabile (es. con QR code e pagina pubblica come REP27) è fondamentale in caso di necessità.
• Termini di recesso e costi aggiuntivi: Informatevi su costi nascosti, termini di recesso e tariffe su richiesta. REP27 non applica costi aggiuntivi, altri fornitori richiedono chiarimenti.

Verificate che il fornitore sia una persona giuridica registrata e che il mandato venga emesso rapidamente e in modo trasparente. REP27 emette ordine e mandato entro 24 ore.

Cosa è realmente incluso nel prezzo?

Il prezzo di un rappresentante CRA copre esclusivamente il mandato secondo l'Articolo 18. Ciò significa che il rappresentante è il referente formale per autorità e organismi di sorveglianza. La responsabilità tecnica sul prodotto, la valutazione conformità, la creazione del Software Bill of Materials (SBOM) e i test di sicurezza non sono inclusi e devono essere organizzati separatamente (Fonte).

• REP27: Include mandato, ordine scritto, certificato verificabile, desk per richieste delle autorità e nessun costo aggiuntivo. Valutazione conformità, test e SBOM esclusi.
• kadano / Euverify: Non sono disponibili dettagli precisi sui servizi inclusi. È consigliabile richiederli per iscritto prima del contratto.

Il rappresentante non è responsabile dell'implementazione tecnica dei requisiti CRA. La maggior parte dei fornitori, incluso REP27, sottolinea che non sono inclusi consulenza tecnica, valutazione conformità o test prodotto. Chi ne ha bisogno deve rivolgersi a enti di certificazione o società di sicurezza specializzate.

Il ruolo del rappresentante è limitato e serve soprattutto a garantire che le richieste delle autorità non restino inevase e la sorveglianza di mercato non subisca ritardi. In caso di necessità, un mandato verificabile assicura comunicazioni rapide e legalmente valide.

Costi nascosti e reali della conformità CRA

I costi principali della conformità CRA non sono nel rappresentante, ma nelle misure interne ed esterne per rispettare i requisiti legali. Il mandato di un rappresentante costa da 490 € a 999 € all'anno, la voce più piccola del budget (Fonte).

• Valutazione conformità: Per prodotti di classe I è sufficiente il rispetto di standard armonizzati. Per classe II o prodotti critici è obbligatoria una valutazione esterna da parte di un organismo notificato. Questi costi sono di diverse migliaia di euro e il processo dura mesi.
• Aggiornamenti di sicurezza: I produttori devono fornire aggiornamenti per almeno cinque anni. Questi costi sono spesso superiori a quelli del mandato e devono essere pianificati a lungo termine.
• Risorse interne: Documentazione, creazione SBOM e canale di notifica richiedono ulteriore impegno.
• Costi nascosti: Alcuni fornitori possono applicare tariffe per richieste specifiche alle autorità, urgenze o cambi di mandato. REP27 esclude questi costi, altri fornitori devono essere consultati.

Ordinare un rappresentante è necessario ma non sufficiente per la conformità completa CRA. I maggiori costi e rischi derivano dall'implementazione tecnica e dalla manutenzione continua dei prodotti.

Come si ordina il rappresentante – passo dopo passo

1. Verificate se la vostra azienda rientra nell'Articolo 18: siete produttori di prodotti con elementi digitali e avete sede fuori dall'UE?
2. Confrontate i fornitori: controllate prezzi pubblicati, costi di rinnovo e servizi inclusi. Cercate mandati verificabili e esclusioni chiare.
3. Ordinate il mandato: con REP27 l'ordine è online e il mandato viene emesso entro 24 ore. Altri fornitori su richiesta.
4. Ricevete e documentate il mandato: inserite il mandato nella documentazione tecnica e nel fascicolo prodotto. I dati devono essere disponibili per autorità e sorveglianza su richiesta.
5. Pubblicate i dati del rappresentante: inserite i contatti del rappresentante nei vostri documenti e, se necessario, sul sito web.
6. Attivate un canale di notifica: predisponete un processo interno per segnalare vulnerabilità e incidenti al rappresentante. REP27 offre un desk che inoltra le richieste alle autorità entro due giorni lavorativi.
7. Verifica regolare: controllate annualmente validità del mandato e aggiornamento dei contatti.

Un processo strutturato riduce rischi di ritardi e sanzioni. Usate la checklist per coprire tutti i passaggi in modo conforme.

Rischi e sanzioni in caso di violazione

La mancata nomina del rappresentante secondo l'Articolo 18 CRA è un'infrazione amministrativa. L'Articolo 64 prevede multe fino a 15 mln € o 2,5% del fatturato mondiale annuo, a seconda del valore più alto (Fonte).

• Assenza di rappresentante: le richieste delle autorità restano inevase, la sorveglianza può imporre misure fino al blocco della vendita.
• Responsabilità non chiare: senza mandato verificabile si rischiano ritardi nella comunicazione con le autorità, con possibile superamento delle scadenze di notifica (es. 24 ore per vulnerabilità).
• Trappole contrattuali: fornitori con prezzi di rinnovo opachi o costi aggiuntivi possono generare spese inattese. Un contratto chiaro e scritto con prezzi fissi è indispensabile.
• Inadempienze tecniche: la sola nomina del rappresentante non tutela da sanzioni per carenze tecniche, mancati aggiornamenti o documentazione insufficiente.

Un rappresentante affidabile è il primo passo verso la conformità, ma non sostituisce gli obblighi tecnici e organizzativi del produttore. I rischi maggiori derivano dalla mancata preparazione alle notifiche e dalla scarsa trasparenza nella scelta del fornitore.

Cosa i fornitori di solito non dicono

• Ambito limitato: il mandato di un rappresentante CRA copre solo la rappresentanza formale secondo l'Articolo 18. Consulenza tecnica, valutazione conformità, test prodotto e creazione SBOM non sono inclusi.
• Nessuna responsabilità per difetti: il rappresentante non risponde di difetti tecnici o vulnerabilità del prodotto. La responsabilità resta sempre del produttore.
• Prezzi rinnovo e termini recesso: molti fornitori non pubblicano prezzi di rinnovo o termini di recesso. REP27 li rende pubblici (440 € rinnovo, nessun costo aggiuntivo).
• Tariffe su richiesta: alcuni fornitori applicano costi per richieste specifiche alle autorità, urgenze o cambi mandato. REP27 li esclude, altri vanno consultati.
• Nessun supporto tecnico: il rappresentante non si occupa di implementazione aggiornamenti, creazione SBOM o test di penetrazione.

La scelta del fornitore dovrebbe basarsi non solo sul prezzo, ma soprattutto sulla trasparenza di servizi ed esclusioni. Chiedete esplicitamente cosa è incluso e cosa no nel mandato.

Matrice decisionale: serve un rappresentante CRA?

L'obbligo riguarda solo produttori che immettono prodotti sul mercato UE a proprio nome o marchio. Importatori, distributori e venditori di marketplace sono esclusi se non agiscono da produttori.

Checklist per acquirenti (immediata applicazione)

1. Verificate se il vostro prodotto rientra nel CRA (elementi digitali, vendita in UE).
2. Accertate se siete considerati produttori (anche in caso di OEM/white-label).
3. Confrontate prezzi e servizi dei fornitori. Richiedete dettagli scritti su costi rinnovo ed esclusioni.
4. Ordinate il mandato e documentatelo nel fascicolo prodotto.
5. Pubblicate i dati di contatto del rappresentante nella documentazione tecnica e sul sito web se necessario.
6. Attivate un canale di notifica per vulnerabilità e incidenti di sicurezza.
7. Pianificate risorse per aggiornamenti di sicurezza (minimo cinque anni) e documentazione tecnica.
8. Assicuratevi che i processi interni rispettino i termini di notifica (es. 24 ore per vulnerabilità).
9. Controllate annualmente validità del mandato e aggiornamento dei contatti.

Questa checklist aiuta a rispettare sistematicamente e legalmente tutti i requisiti normativi.

Tre scenari reali: chi ha bisogno di cosa?

• Fornitore SaaS USA: un'azienda statunitense sviluppa un software cloud venduto direttamente a clienti UE. Poiché il produttore non ha sede UE, è obbligatorio un rappresentante CRA secondo Articolo 18. Prezzo da 490 € annui con REP27. L'implementazione tecnica (SBOM, aggiornamenti, canale notifica) resta a carico del produttore.
• Venditore cinese su Amazon: un'azienda cinese vende prodotti smart home propri su Amazon a clienti UE. Anche qui vige l'obbligo di rappresentante, poiché il venditore agisce da produttore. L'ordine del mandato è online, costi a partire da 490 € annui (REP27). Importatore e Amazon non sono obbligati a nominare un rappresentante.
• Negozio online britannico: un e-commerce con sede nel Regno Unito importa prodotti dall'Asia e li vende a clienti UE con proprio marchio. Essendo produttore senza sede UE, necessita di un rappresentante secondo Articolo 18. Gli altri obblighi (valutazione conformità, aggiornamenti) devono essere rispettati.

In tutti i casi la nomina del rappresentante è solo una parte della conformità complessiva. L'implementazione tecnica e organizzativa del CRA resta responsabilità del produttore.