Rappresentante Autorizzato Cyber Resilience Act per produttori non UE: fornitori e prezzi (2026)

• L'articolo 18 del CRA richiede ai produttori non UE di nominare un rappresentante autorizzato nell'UE.
• REP27 — Europe Services, SE: €490/anno (rinnovo €440), prezzo pubblicato, ambito chiaro.
• Kadano: €999/anno, prezzo verificato, con sede in Austria.
• Euverify: £590/anno, prezzo verificato, con sede in Irlanda.
• Il servizio non include valutazione di conformità o consulenza legale.
• Non necessario per produttori UE o importatori che immettono prodotti a proprio nome.

Aggiornato 16 ottobre 2026 · 7 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 16 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede la legge: Articolo 18 del CRA

Il Cyber Resilience Act (CRA), Regolamento (UE) 2024/2847, è una legge europea fondamentale che impone requisiti obbligatori di sicurezza informatica su tutti i prodotti con elementi digitali—hardware o software—immessi sul mercato UE. L'articolo 18 del CRA richiede specificamente che ogni produttore stabilito fuori dall'UE nomini un rappresentante autorizzato con sede nell'UE. Questo rappresentante agisce come punto di contatto ufficiale per le autorità di sorveglianza del mercato UE, detiene la dichiarazione di conformità e la documentazione tecnica, e si occupa di inoltrare le richieste normative al produttore.

La legge si applica a una vasta gamma di prodotti, inclusi dispositivi embedded, software, SaaS, IoT e componenti venduti separatamente. Il ruolo del rappresentante è strettamente definito: non assume la responsabilità legale del produttore né fornisce consulenza tecnica o legale. Il suo compito principale è garantire che le autorità possano contattare rapidamente ed efficacemente il produttore, specialmente in caso di vulnerabilità o incidente.

• Articolo 14 introduce l'obbligo di segnalazione entro 24 ore per vulnerabilità attivamente sfruttate, a partire dall'11 settembre 2026. I produttori devono notificare ENISA tramite una piattaforma unica, con notifica completa entro 72 ore e rapporto finale entro 14 giorni.
• Articolo 71(2) stabilisce le date di applicazione: obblighi di segnalazione dall'11 settembre 2026, obblighi completi (inclusi marcatura prodotto e valutazione conformità) dall'11 dicembre 2027.
• La mancata nomina del rappresentante ai sensi dell'articolo 18 comporta sanzioni fino a €10 milioni o il 2% del fatturato globale (articolo 69(1)), mentre le violazioni di requisiti essenziali possono arrivare a €15 milioni o 2,5% (articolo 69(2)).

È importante notare che se un produttore non UE non nomina un rappresentante, l'importatore o distributore può diventare responsabile di default, con possibili interruzioni commerciali o ritardi negli approvvigionamenti.

Come scegliere un rappresentante autorizzato CRA

Scegliere il rappresentante autorizzato CRA giusto è una decisione critica per la conformità. Il mercato è nuovo e i fornitori differiscono in trasparenza, ambito e termini di rinnovo. Ecco come fare una scelta informata:

• Entità legale: Verifica che il fornitore sia una società UE registrata con identità legale chiara. Ad esempio, REP27 è Europe Services, SE, registrata a Praga dal 2014 (IČO 03571785).
• Prezzo pubblicato e termini di rinnovo: Pretendi un fornitore che pubblichi sia il prezzo del primo anno che quello di rinnovo. REP27 indica €490/anno (rinnovo €440), con sconti per pacchetti. Molti fornitori non pubblicano i prezzi di rinnovo, con possibili costi imprevisti.
• Ambito del mandato: Il mandato deve essere limitato all'articolo 18(3). I fornitori non devono dichiarare di coprire altri obblighi legali (come l'articolo 13), non consentito dal CRA.
• Verifica del certificato: Cerca un fornitore che offra un certificato verificabile, ad esempio con codice QR controllabile su pagina pubblica. Essenziale per audit e approvvigionamenti.
• Gestione delle richieste: Comprendi come il fornitore inoltra le richieste delle autorità—lingue supportate, tempi di risposta e eventuali costi per richiesta.

Di seguito un confronto di cosa è incluso, escluso o può comportare costi aggiuntivi per ciascun fornitore:

Richiedi sempre un contratto di esempio e chiedi per iscritto tutte le esclusioni e condizioni di rinnovo prima di decidere.

Cosa include realmente il prezzo

La maggior parte dei prezzi pubblicati per rappresentanti autorizzati CRA copre solo il mandato base dell'articolo 18. Questo significa tipicamente:

• Una lettera di nomina firmata (mandato) con l'entità legale del rappresentante UE
• Un certificato verificabile (a volte con codice QR o registrazione pubblica)
• Inoltro delle richieste delle autorità UE al produttore
• Opzionale: un desk richieste o canale di supporto per quesiti regolatori, talvolta multilingue

Cosa non è incluso:

• Consulenza legale o rappresentanza in tribunale
• Valutazione di conformità, test di sicurezza o generazione SBOM
• Gestione incidenti o rimedio tecnico
• Redazione o revisione documentazione tecnica

La tariffa pubblicata da REP27 è €490/anno per il mandato CRA, con rinnovo a €440/anno. Sono disponibili opzioni pacchetto: €690/anno per rappresentanza CRA e GDPR Art. 27, €990/anno per CRA, GDPR e NIS2, più €200 aggiuntivi per persona responsabile GPSR Art. 16. Tutti i prezzi sono esclusi IVA e fatturati annualmente anticipati. Per clienti non UE non si applica IVA ceca; per clienti UE con partita IVA valida si applica inversione contabile.

Kadano applica €999/anno per mandato default o Importante, Classe I (dettagli inclusioni su richiesta). Euverify chiede £590/anno solo per rappresentanza CRA (inclusioni su richiesta). Kadano e Euverify non pubblicano dettagli su inclusioni o rinnovi a ottobre 2026.

In sintesi: la tariffa del rappresentante è generalmente la voce minore dei costi di conformità CRA. La maggior parte delle spese deriva da ingegneria interna, documentazione e, per prodotti a rischio elevato, valutazioni da organismi notificati.

Costi nascosti ed esclusioni

Sebbene il prezzo pubblicato per un rappresentante autorizzato CRA sia chiaro, gli acquirenti devono considerare diversi costi nascosti o esclusi che possono incidere notevolmente sulla spesa totale di conformità:

• Valutazione di conformità: Per prodotti Importanti Classe II e Critici, la valutazione da organismo notificato è obbligatoria e può costare migliaia di euro, con tempi di mesi. Non inclusa nella tariffa di nessun rappresentante.
• Ingegneria interna: I costi per preparare documentazione tecnica, SBOM e impegni di supporto sono a carico del produttore. Per prodotti classe default, questi costi sono principalmente interni.
• Consulenza legale e servizi DPO: Nessun fornitore in questa guida offre consulenza legale, servizi DPO o valutazioni di conformità nel pacchetto rappresentanza CRA. REP27 esclude esplicitamente tali servizi.
• Costi per richiesta: Alcuni fornitori possono addebitare costi aggiuntivi per inoltro o gestione richieste autorità, anche se REP27 non pubblica tali costi. Confermare sempre per iscritto.
• Aumenti prezzo rinnovo: Molti fornitori non pubblicano prezzi di rinnovo, con possibili aumenti imprevisti. REP27 è trasparente sui prezzi di rinnovo.
• Preavvisi e cancellazioni: Verifica il contratto per termini di preavviso e condizioni di cancellazione. Rinnovi taciti e prezzi iniziali simbolici sono comuni nel mercato.

Tabella esclusioni:

In sintesi, chiarisci sempre cosa è incluso o escluso e prevedi budget per ingegneria, documentazione e, se necessario, valutazione da organismo notificato.

Come funziona la nomina: passo per passo

La nomina di un rappresentante autorizzato CRA è un processo strutturato. Ecco come funziona tipicamente, con consigli pratici per ogni fase:

1. Verifica applicabilità: Conferma che il tuo prodotto rientri nel campo di applicazione (qualsiasi prodotto con elementi digitali, hardware o software, venduto nell'UE).
2. Controlla lo stabilimento: Se la tua azienda non è stabilita nell'UE, devi nominare un rappresentante.
3. Ricerca fornitori: Confronta entità legali, prezzi pubblicati, termini di rinnovo e ambito di servizio. Richiedi contratti di esempio e chiarisci esclusioni.
4. Firma il mandato: Stipula un accordo scritto (mandato) con il fornitore scelto. Assicurati che il mandato sia limitato ai doveri dell'articolo 18.
5. Ricevi documentazione: Ottieni la lettera di designazione firmata e il certificato verificabile. REP27 fornisce firme elettroniche e codice QR per verifica pubblica.
6. Aggiorna fascicoli tecnici: Inserisci i dati del rappresentante nella documentazione tecnica, dichiarazioni di conformità e, se applicabile, sulle etichette del prodotto.
7. Prepara la segnalazione: Prepara un runbook per la segnalazione vulnerabilità (articolo 14), includendo chi può dichiarare un incidente, chi ha accesso alla piattaforma e modelli per avvisi e notifiche.
8. Valuta pacchetti: Se necessiti rappresentanza GDPR Art. 27, NIS2 o GPSR, considera pacchetti combinati per risparmio e semplicità.

Matrice decisionale:

Rischi e sanzioni

I rischi di non conformità al CRA sono rilevanti, sia finanziari che operativi. La legge prevede sanzioni significative e altre conseguenze:

• Mancata nomina: Non nominare un rappresentante autorizzato quando richiesto può comportare multe fino a €10 milioni o il 2% del fatturato globale (articolo 69(1)).
• Violazioni requisiti essenziali: Le sanzioni per violazioni di requisiti essenziali o obblighi del produttore possono arrivare a €15 milioni o 2,5% del fatturato globale (articolo 69(2)).
• Ritardo segnalazione: Mancata segnalazione entro 24 ore per vulnerabilità sfruttate (articolo 14) può causare azioni di enforcement, ritiro dal mercato e danni reputazionali.
• Ritardi negli approvvigionamenti: L'assenza di rappresentante può bloccare i cicli di vendita, poiché i team acquisti richiedono prova di rappresentanza UE prima dell'acquisto.
• Perdita di controllo: Se non nomini un rappresentante, l'importatore o distributore può diventare contatto di default, con possibile perdita di controllo su segnalazioni e interazioni regolatorie.
• Scadenze silenti: Gestire più mandati con date di rinnovo diverse aumenta il rischio di lapse accidentali, con conseguente non conformità.

REP27 sottolinea che il valore principale del mandato è ciò che previene: tempo perso durante incidenti, ritardi nelle richieste documentali, blocchi negli approvvigionamenti e lapse accidentali. Questi rischi operativi sono tanto rilevanti quanto le sanzioni finanziarie.

Cosa i fornitori di solito non dicono

Molti fornitori nel mercato della rappresentanza CRA non divulgano chiaramente dettagli contrattuali e operativi importanti. Gli acquirenti devono essere consapevoli di quanto segue:

• Prezzi di rinnovo: Alcuni offrono prezzi bassi per il primo anno ma non pubblicano i prezzi di rinnovo, che possono aumentare inaspettatamente. REP27 è tra i pochi a indicare i prezzi di rinnovo chiaramente.
• Termini di preavviso: Rinnovi taciti e lunghi termini di cancellazione sono comuni. Richiedi sempre questi termini per iscritto.
• Estensione dell'ambito: Alcuni fornitori possono dichiarare di coprire obblighi oltre l'articolo 18, come l'articolo 13, non consentito dal CRA. Assicurati che il mandato sia limitato a quanto previsto dalla legge.
• Costi per richiesta: Possono esserci costi aggiuntivi per gestione o inoltro richieste autorità, anche se REP27 non li elenca. Chiarisci sempre in anticipo.
• Limiti di responsabilità: Raramente i fornitori dichiarano limiti di responsabilità o esclusioni per danni, critici in caso di controversie.
• Esclusioni: Nessun fornitore copre valutazione conformità, test di sicurezza, generazione SBOM o consulenza legale. Questi restano responsabilità del produttore.

In sintesi, pretendi piena trasparenza scritta su prezzi di rinnovo, termini di preavviso, costi per richiesta e responsabilità prima di firmare qualsiasi contratto.

Matrice decisionale: hai bisogno di un rappresentante CRA?

Usa questa matrice per determinare se hai bisogno di un rappresentante autorizzato CRA in base al tuo modello di business e presenza sul mercato:

Questa matrice copre la maggior parte degli scenari pratici per produttori e venditori. In caso di dubbi, consulta la legge o uno specialista per il tuo prodotto e modello di vendita specifici.

Checklist: passi per la conformità CRA

Segui questa checklist per assicurarti di rispettare gli obblighi CRA efficacemente:

1. Verifica se il tuo prodotto rientra nel campo CRA (hardware/software con elementi digitali).
2. Controlla se sei stabilito fuori dall'UE.
3. Identifica se vendi direttamente a clienti UE o tramite marketplace (Amazon, Etsy, eBay).
4. Ricerca e confronta fornitori di rappresentanti CRA per entità legale, prezzo e ambito.
5. Richiedi contratti di esempio e chiarisci tutte le esclusioni e condizioni di rinnovo per iscritto.
6. Firma il mandato articolo 18 con il fornitore scelto.
7. Ricevi e verifica lettera di designazione e certificato (preferibilmente con verifica pubblica).
8. Aggiorna documentazione tecnica e dichiarazioni prodotto includendo il rappresentante.
9. Prepara il runbook per segnalazione vulnerabilità (obblighi articolo 14 da settembre 2026).
10. Prevedi budget per ingegneria interna, documentazione e, se applicabile, valutazione organismo notificato.
11. Rivedi impegni di supporto (minimo cinque anni di aggiornamenti di sicurezza).
12. Monitora date di rinnovo e termini di cancellazione per evitare lapse silenti.

Scenari realistici

• Fornitore SaaS USA: Vende un prodotto cloud a clienti UE. Deve nominare un rappresentante CRA e predisporre un canale di segnalazione vulnerabilità entro 24 ore. REP27 offre prezzo pubblicato, nomina rapida e certificato verificabile. Il fornitore SaaS deve anche preparare documentazione tecnica e runbook segnalazioni, ma la valutazione conformità è probabilmente autodichiarata salvo prodotti Importanti Classe II o Critici.
• Venditore cinese Amazon: Spedisce dispositivi IoT a marchio proprio nell'UE. Necessita di rappresentante CRA per accesso al mercato, poiché Amazon e dogane UE possono richiedere prova di rappresentanza. Deve assicurare conformità CRA, nominare rappresentante (es. REP27, Kadano, Euverify) e aggiornare documentazione prodotto. Se vende a proprio nome, obbligo valido; se l'importatore rebrandizza, responsabilità passa all'importatore.
• Rivenditore online UK: Vende dispositivi connessi B2B a aziende UE. Necessita di rappresentante CRA salvo che un importatore UE assuma obblighi. Deve chiarire responsabilità con partner, nominare rappresentante se necessario e prepararsi per segnalazioni vulnerabilità da settembre 2026.

Questi scenari illustrano l'applicazione pratica della legge e i passi necessari per la conformità, indipendentemente da dimensione o settore aziendale.