Representante Autorizado do Cyber Resilience Act para Fabricantes Não-UE: Provedores e Preços (2026)

• O Artigo 18 do CRA exige que fabricantes fora da UE nomeiem um representante autorizado na UE.
• REP27 — Europe Services, SE: €490/ano (renovação €440), preço publicado, escopo claro.
• Kadano: €999/ano, preço verificado, sediada na Áustria.
• Euverify: £590/ano, preço verificado, sediada na Irlanda.
• O serviço não inclui avaliação de conformidade nem consultoria jurídica.
• Não é necessário para fabricantes baseados na UE ou importadores que colocam produtos em seu próprio nome.

Atualizado 16 October 2026 · 7 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 16 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O Que a Lei Exige: Artigo 18 do CRA

O Cyber Resilience Act (CRA), Regulamento (UE) 2024/2847, é uma lei marco da UE que impõe requisitos obrigatórios de cibersegurança a todos os produtos com elementos digitais — hardware ou software — colocados no mercado da UE. O Artigo 18 do CRA exige especificamente que qualquer fabricante estabelecido fora da UE nomeie um representante autorizado estabelecido dentro da UE. Esse representante atua como ponto de contato oficial para as autoridades de vigilância do mercado da UE, detém a declaração de conformidade e documentação técnica, e é responsável por encaminhar solicitações regulatórias ao fabricante.

A lei aplica-se a uma ampla gama de produtos, incluindo dispositivos incorporados, software, SaaS, IoT e componentes vendidos separadamente. O papel do representante é estritamente definido: ele não assume a responsabilidade legal do fabricante, nem fornece aconselhamento técnico ou jurídico. Sua função principal é garantir que as autoridades possam contatar o fabricante rápida e eficientemente, especialmente em caso de vulnerabilidade ou incidente.

• Artigo 14 introduz uma obrigação de reporte em 24 horas para vulnerabilidades ativamente exploradas, a partir de 11 de setembro de 2026. Os fabricantes devem notificar a ENISA (Agência da UE para Cibersegurança) via plataforma única, com notificação completa em 72 horas e relatório final em 14 dias.
• Artigo 71(2) define as datas de aplicação: obrigações de reporte a partir de 11 de setembro de 2026, obrigações completas (incluindo marcação do produto e avaliação de conformidade) a partir de 11 de dezembro de 2027.
• O não cumprimento do Artigo 18 (falha em nomear representante) está sujeito a multas de até €10 milhões ou 2% do faturamento global (Artigo 69(1)), enquanto violações de requisitos essenciais podem alcançar €15 milhões ou 2,5% (Artigo 69(2)).

Importante: se um fabricante fora da UE não nomear um representante, o importador ou distribuidor pode se tornar responsável por padrão, o que pode causar interrupções comerciais ou atrasos na aquisição.

Como Escolher um Representante Autorizado CRA

Escolher o representante autorizado CRA correto é uma decisão crítica para a conformidade. O mercado é novo, e os provedores diferem em transparência, escopo e termos de renovação. Veja como fazer uma escolha informada:

• Entidade Legal: Verifique se o provedor é uma empresa registrada na UE com identidade legal clara. Por exemplo, REP27 é Europe Services, SE, registrada em Praga desde 2014 (IČO 03571785).
• Preço Publicado e Termos de Renovação: Exija um provedor que publique preços do primeiro ano e de renovação. REP27 lista €490/ano (renovação €440), com descontos para pacotes. Muitos provedores não publicam preços de renovação, o que pode gerar custos inesperados.
• Escopo do Mandato: O mandato deve ser limitado ao Artigo 18(3). Provedores não devem alegar cobrir deveres legais adicionais (como Artigo 13), pois não é permitido pelo CRA.
• Verificação do Certificado: Procure um provedor que ofereça certificado verificável, como código QR conferível em página pública. Isso é essencial para compras e auditorias regulatórias.
• Tratamento de Solicitações: Entenda como o provedor encaminha pedidos das autoridades — idiomas suportados, tempos de resposta e se há taxas por solicitação.

Abaixo, comparação do que está incluído, não incluído ou pode gerar taxas extras para cada provedor:

Sempre solicite um contrato modelo e peça todas as exclusões e condições de renovação por escrito antes de decidir.

O Que o Preço Realmente Inclui

A maioria dos preços publicados para representante autorizado CRA cobre apenas o mandato básico do Artigo 18. Isso normalmente significa:

• Uma carta de nomeação assinada (mandato) com a entidade legal do representante na UE
• Um certificado verificável (às vezes com código QR ou registro público)
• Encaminhamento de solicitações das autoridades da UE ao fabricante
• Opcional: central de solicitações ou canal de suporte para dúvidas regulatórias, às vezes em múltiplos idiomas

O que não está incluído:

• Consultoria jurídica ou representação em tribunal
• Avaliação de conformidade, testes de segurança ou geração de SBOM
• Resposta a incidentes ou remediação técnica
• Elaboração ou revisão de documentação técnica

A taxa publicada da REP27 é €490/ano para o mandato CRA, com renovação a €440/ano. Opções combinadas estão disponíveis: €690/ano para representação CRA e GDPR Artigo 27, €990/ano para CRA, GDPR e NIS2, e mais €200 para pessoa responsável GPSR Artigo 16. Todos os preços são excluindo IVA e faturados anualmente antecipadamente. Para clientes fora da UE, o IVA tcheco não se aplica; para clientes da UE com número válido de IVA, aplica-se o mecanismo de autoliquidação.

Kadano cobra €999/ano para o mandato padrão ou Importante, Classe I (detalhes sob consulta). Euverify cobra £590/ano apenas para representação CRA (inclusões sob consulta). Nenhum dos dois publica detalhes de inclusões ou termos de renovação em seus sites em outubro de 2026.

Resumo: a taxa do representante é geralmente a menor parte dos custos de conformidade CRA. A maior parte dos gastos vem da engenharia interna, documentação e, para produtos de maior risco, avaliações por organismos notificados.

Custos Ocultos e Exclusões

Embora o preço publicado para representante autorizado CRA seja direto, compradores devem estar cientes de vários custos ocultos ou excluídos que podem impactar significativamente os gastos totais de conformidade:

• Avaliação de Conformidade: Para produtos Importantes Classe II e Críticos, avaliação por organismo notificado é obrigatória e pode custar milhares de euros, com prazos de meses. Isso não está incluído na taxa de nenhum representante.
• Engenharia Interna: O custo de preparar documentação técnica, SBOMs e compromissos de período de suporte é do fabricante. Para produtos padrão, esses custos são majoritariamente internos.
• Consultoria Jurídica e Serviços DPO: Nenhum provedor deste guia oferece consultoria jurídica, serviços de DPO ou avaliações de conformidade como parte do pacote de representante CRA. REP27 exclui explicitamente esses serviços.
• Taxas por Solicitação: Alguns provedores podem cobrar taxas adicionais para encaminhamento ou tratamento de pedidos das autoridades, embora REP27 não publique tais taxas. Sempre confirme por escrito.
• Aumentos no Preço de Renovação: Muitos provedores não publicam preços de renovação, o que pode levar a aumentos inesperados. REP27 é transparente quanto a preços de renovação.
• Períodos de Aviso e Cancelamento: Verifique o contrato quanto a períodos de aviso e termos de cancelamento. Renovações silenciosas e preços baixos no primeiro ano são comuns no mercado.

Tabela de Exclusões:

Em resumo, sempre esclareça o que está e não está incluído, e orce os custos substanciais de engenharia, documentação e, se necessário, avaliação por organismo notificado.

Como Funciona a Nomeação: Passo a Passo

Nomear um representante autorizado CRA é um processo estruturado. Veja como normalmente funciona, com dicas práticas para cada etapa:

1. Determinar Aplicabilidade: Confirme que seu produto está no escopo (qualquer produto com elementos digitais, hardware ou software, vendido na UE).
2. Verificar Estabelecimento: Se sua empresa não está estabelecida na UE, deve nomear um representante.
3. Pesquisar Provedores: Compare entidades legais, preços publicados, termos de renovação e escopo de serviço. Peça contratos modelo e esclareça exclusões.
4. Assinar o Mandato: Celebre acordo escrito (mandato) com o provedor escolhido. Garanta que o mandato seja limitado às obrigações do Artigo 18.
5. Receber Documentação: Obtenha a carta de designação assinada e certificado verificável. REP27 oferece assinaturas eletrônicas eIDAS e código QR para verificação pública.
6. Atualizar Ficheiros Técnicos: Liste os dados do representante na documentação técnica, declarações de conformidade e, quando aplicável, nas etiquetas do produto.
7. Preparar para Reporte: Configure um manual de procedimentos para reporte de vulnerabilidades (Artigo 14), incluindo quem pode declarar incidente, quem tem acesso à plataforma e modelos para alertas e notificações.
8. Pacotes Combinados se Necessário: Se precisar de representação para GDPR Artigo 27, NIS2 ou GPSR, considere pacotes combinados para economia e simplicidade administrativa.

Matriz de Decisão:

Riscos e Multas

Os riscos do não cumprimento do CRA são substanciais, financeiros e operacionais. A lei prevê multas significativas e outras consequências:

• Falha na Nomeação: Não nomear representante autorizado quando exigido pode resultar em multas de até €10 milhões ou 2% do faturamento global (Artigo 69(1)).
• Violação de Requisitos Essenciais: Multas por violações de requisitos essenciais ou obrigações do fabricante podem alcançar €15 milhões ou 2,5% do faturamento global (Artigo 69(2)).
• Reporte Atrasado: Perder o prazo de 24 horas para reporte de vulnerabilidades exploradas (Artigo 14) pode desencadear ações de fiscalização, recolhimento de mercado e danos reputacionais.
• Atrasos em Aquisições: Falta de representante pode atrasar ciclos de vendas, pois equipes de compras costumam exigir prova de representação na UE antes da compra.
• Perda de Controle: Se não nomear representante, importador ou distribuidor pode ser contato padrão, levando a perda de controle sobre reporte de incidentes e interações regulatórias.
• Falhas Silenciosas: Gerenciar múltiplos mandatos com datas de renovação diferentes aumenta risco de lapsos acidentais, causando não conformidade.

REP27 destaca que o principal valor do mandato é o que ele previne: tempo perdido em incidentes, atrasos em pedidos de documentação, bloqueios em compras e lapsos acidentais na cobertura. Esses riscos operacionais são tão significativos quanto as penalidades financeiras.

O Que os Provedores Geralmente Não Dizem

Muitos provedores no mercado de representação CRA não divulgam claramente detalhes contratuais e operacionais importantes. Compradores devem estar atentos ao seguinte:

• Preços de Renovação: Alguns oferecem preços baixos no primeiro ano, mas não publicam taxas de renovação, que podem aumentar inesperadamente. REP27 é um dos poucos a informar preços de renovação antecipadamente.
• Períodos de Aviso: Renovações silenciosas e longos prazos para cancelamento são comuns. Sempre peça esses termos por escrito.
• Ampliação do Escopo: Alguns podem alegar cobrir deveres além do Artigo 18, como Artigo 13, o que não é permitido pelo CRA. Garanta que o mandato seja limitado ao que a lei permite.
• Taxas por Solicitação: Cobranças adicionais para tratar ou encaminhar pedidos das autoridades podem existir, embora REP27 não liste nenhuma. Sempre esclareça antes.
• Limites de Responsabilidade: Provedores raramente divulgam limites de responsabilidade ou exclusões para danos. Isso pode ser crítico em disputas.
• Exclusões: Nenhum provedor cobre avaliação de conformidade, testes de segurança, geração de SBOM ou consultoria jurídica. Essas são sempre responsabilidade do fabricante.

Em resumo, exija divulgação completa por escrito de preços de renovação, períodos de aviso, taxas por solicitação e termos de responsabilidade antes de assinar qualquer contrato.

Matriz de Decisão: Preciso de Representante Autorizado CRA?

Use esta matriz para determinar se precisa de representante autorizado CRA com base no seu modelo de negócio e presença no mercado:

Esta matriz cobre a maioria dos cenários práticos para fabricantes e vendedores. Em caso de dúvida, consulte a lei ou especialista para seu produto e modelo de vendas específicos.

Checklist: Passos para Conformidade CRA

Siga este checklist para garantir que cumpra suas obrigações CRA de forma eficiente:

1. Determine se seu produto está no escopo do CRA (hardware/software com elementos digitais).
2. Verifique se está estabelecido fora da UE.
3. Identifique se vende diretamente para clientes da UE ou via marketplaces (Amazon, Etsy, eBay).
4. Pesquise e compare provedores de representante CRA quanto a entidade legal, preço e escopo.
5. Solicite contratos modelo e esclareça todas exclusões e termos de renovação por escrito.
6. Assine o mandato do Artigo 18 com o provedor escolhido.
7. Receba e verifique sua carta de designação e certificado (preferencialmente com verificação pública).
8. Atualize sua documentação técnica e declarações de produto para incluir o representante.
9. Prepare seu manual de reporte de vulnerabilidades (obrigações do Artigo 14 a partir de setembro de 2026).
10. Orce engenharia interna, documentação e, se aplicável, avaliação por organismo notificado.
11. Revise compromissos de período de suporte (mínimo cinco anos de atualizações de segurança).
12. Monitore datas de renovação e prazos de aviso para evitar lapsos silenciosos.

Cenários Realistas

• Fornecedor SaaS dos EUA: Vende produto baseado em nuvem para clientes da UE. Deve nomear representante CRA e configurar canal de reporte de vulnerabilidades em 24 horas. REP27 oferece preço publicado, nomeação rápida e certificado verificável. O fornecedor deve também preparar documentação técnica e manual de reporte, mas avaliação de conformidade provavelmente será autodeclarada, salvo se produto for Importante Classe II ou Crítico.
• Vendedor chinês na Amazon: Envia dispositivos IoT de marca para a UE. Precisa de representante CRA para acesso ao mercado, pois Amazon e alfândega da UE podem exigir prova de representação. O vendedor deve garantir conformidade, nomear representante (ex.: REP27, Kadano ou Euverify) e atualizar documentação do produto. Se vender sob sua própria marca, a obrigação aplica; se o importador reembalar, o importador assume responsabilidade.
• Varejista online do Reino Unido: Vende dispositivos conectados B2B para empresas da UE. Precisa de representante CRA a menos que importador baseado na UE assuma obrigações. O varejista deve esclarecer com parceiros quem é responsável, nomear representante se necessário e preparar-se para reporte de vulnerabilidades a partir de setembro de 2026.

Esses cenários ilustram a aplicação prática da lei e os passos necessários para conformidade, independentemente do tamanho ou setor da empresa.