サイバー・レジリエンス法（CRA）認定代理人サービスの比較：2026年版

• CRA第18条は非EU製造業者にEU内の認定代理人の任命を義務付けています。
• REP27 — Europe Services, SE：€490/年、更新€440、明確な範囲と除外事項。
• Euverify：GBP 590/年、価格検証済み、内容詳細は非公開。
• kadano：€999/年、価格検証済み、内容詳細は非公開。
• 適合評価、テスト、法的助言はどのプロバイダーも含みません。
• 任命は迅速（REP27は24時間以内）、更新条件は異なります。

更新済み 18 October 2026 · 5 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、18 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

サイバー・レジリエンス法の要求事項（第18条、第14条）

サイバー・レジリエンス法（CRA、規則（EU）2024/2847）は、EUで販売されるデジタル要素を含む製品の製造業者に厳格な義務を課します。EU外に拠点を置く製造業者は、第18条に基づきEU内に認定代理人を任命する必要があります。これは非EU製造業者にとって必須であり、代理人は市場監視当局の法的な連絡窓口となり、第14条に基づく脆弱性報告の調整を行います。

第14条では、製品のセキュリティに影響を及ぼす積極的に悪用されている脆弱性や重大インシデントを認知してから24時間以内に当局へ通知することが義務付けられています。代理人はこれらの通知を受け取り転送する責任があり、規制上の期限を守るために重要な役割を果たします。報告期限は厳格で、早期警告が24時間以内、完全通知が72時間以内、最終報告が14日以内です。受領者は代理人、輸入者、または販売業者の所在地によって決定され、代理人がいない場合は手続きの管理が困難となり遅延や強制措置のリスクがあります。

代理人の委任範囲に何が含まれ、何が除外されるかを理解することが重要です。REP27、kadano、Euverifyを含むいかなるプロバイダーも、技術的評価、SBOM（ソフトウェア部品表）作成、製品テストを代理人サービスに含めていません。これらは別途、技術またはセキュリティ専門企業が対応する高額なコンプライアンスステップです。代理人の役割は純粋に管理的・法的であり、委任状の保持、リクエストの転送、報告チャネルの開設と検証可能性の確保に限定されます。

含まれるもの／含まれないもの／追加料金表

CRA認定代理人の選び方

非EU製造業者にとって、適切なCRA認定代理人の選択は重要なコンプライアンスステップです。選択したプロバイダーはEU当局との公式な連絡窓口となり、その信頼性がスムーズな対応と高額な遅延リスクの差を生みます。主な検討ポイントは以下の通りです：

• 法的実体：プロバイダーがEU内で登録された法人であることを確認してください。例えば、REP27はプラハを拠点とし、2014年からチェコ商業登記簿に登録されています。これにより委任状が有効かつ執行可能となります。
• 委任範囲：委任は第18条の義務に限定されるべきです。第13条の義務までカバーすると主張するプロバイダーは第18条第2項の範囲を超えており、非準拠の可能性があります。
• 価格の透明性：契約前に必ず更新価格を文書で確認してください。本比較で更新価格を明示しているのはREP27のみです。
• 検証方法：委任状の検証方法を確認してください。REP27はQRコード付きの証明書を提供し公開検証が可能ですが、他社は明示していません。
• 言語と対応時間：リクエスト受付窓口の対応言語と営業時間を確認してください。REP27は8言語対応で24時間365日稼働しています。
• 除外事項：法的助言、技術評価、SBOM作成など含まれないサービスを明示しているプロバイダーを選びましょう。これにより誤解や予期せぬ費用を防げます。

判断マトリクス

価格に含まれる内容の詳細

購入内容を正確に理解することが重要です。本比較の全プロバイダーは書面による第18条委任状を提供し、これは法的に必要な最低限の要件です。ただし、含まれる内容の範囲と透明性は大きく異なります。REP27は、署名済みの指名書（eIDAS電子署名付き）、QRコードと公開検証可能な証明書、8言語のプライバシー通知文言、当局およびデータ主体からのリクエストを2営業日以内に転送する受付窓口、第30条記録の保管、24時間365日の報告チャネルを明示しています。これによりCRAの厳格な報告期限を確実に守れます。

Euverifyとkadanoは価格を公開していますが、24時間受付窓口、多言語対応、公開検証証明書の有無などの詳細は公開ページに記載されていません。彼らの公開範囲は第18条委任状の提供に限定されています。適合評価、SBOM作成、脆弱性テストなどの技術サービスはどのプロバイダーも含みません。これらは常に外部の技術機関や認証機関と別途契約が必要です。

REP27は唯一、更新価格（€440/年）を公開し、複数委任状（例：GDPR第27条、GPSR第16条、NIS2）をまとめて提供するバンドルオプションも用意しています。この透明性により予算計画が立てやすく、更新時の予期せぬコスト増を防げます。他社は更新価格やバンドルの公開情報がありません。

必ず含まれる内容、含まれない内容、追加料金の有無を詳細に確認し、明確な書面での見積もりを得てください。これが隠れたコストから身を守る最善策です。

隠れたコストとプロバイダーが通常言わないこと

公開価格は認定代理人の法的委任状と管理的リクエスト転送のみをカバーしています。CRA対応で最も高額かつリソースを要する部分はどのプロバイダーの料金にも含まれていません。具体的には：

• 適合評価：重要なクラスIIおよびクリティカル製品には認証機関の評価が必須で、数千ユーロの費用と数ヶ月のリードタイムがかかります。代理人料金には含まれません。
• SBOM作成：ソフトウェア部品表は自社のビルドパイプラインや技術チームで作成する必要があります。代理人は提供しません。
• 脆弱性テスト：セキュリティテストは専門企業の領域であり、代理人の範囲外です。
• サポート期間：CRAは製品の最低5年間のセキュリティアップデートを要求します。このサポートの予算とリソース確保は新規参入者が見落としがちな隠れたコストです。
• 更新価格：多くのプロバイダーは更新価格を公開せず、初年度後に予期せぬ値上げが起こる可能性があります。REP27のみが更新価格を明示しています。
• 除外事項と責任：代理人は法的助言を提供せず、技術的質問に答えず、コンプライアンスの責任を負いません。GDPR第27条第5項（CRAにも類推適用）により、代理人の指定は企業に対する措置を妨げません。

除外事項を必ず文書で確認してください。除外が曖昧、更新条件が不明確なプロバイダーは要注意です。REP27が最も多く見た失敗例は、更新プロセスが不明瞭で複数プロバイダーの更新日が異なり、委任状が知らぬ間に失効するケースです。

任命の流れ：ステップバイステップ

CRA認定代理人の任命は以下の手順で簡単に行えます：

1. 適用性の確認：EU外の製造業者でEU向けにデジタル要素を含む製品を販売しているか確認し、CRAの対象か判断します。
2. プロバイダーの調査：法的実体、公開価格、更新条件、サービス範囲を比較し、本ガイドの含む・含まない表を参考にします。
3. 書面による見積もり依頼：委任状、更新価格、除外事項の確認をプロバイダーに依頼します。
4. 委任状の署名：第18条委任状に署名します（REP27はeIDAS電子署名を24時間以内に発行）。指名書と検証可能な証明書を受け取ります。
5. 書類の更新：技術文書、パッケージ、ユーザー説明書に代理人情報をCRAの要件に従い追加します。
6. 内部プロセスの整備：24時間・72時間報告の社内手順を準備し、インシデント宣言者の設定、通知テンプレートの事前作成、ENISAプラットフォームアクセス権を最低2名に付与します。
7. 技術的コンプライアンスの予算確保：必要に応じ適合評価、SBOM作成、5年間のセキュリティアップデートの計画を立てます。
8. 毎年の更新：更新日を管理し、委任状の失効を防ぎます。REP27は複数委任状の一括請求と単一更新日を提供しています。

購入者向けチェックリスト

1. 非EU製造業者としてEU向けデジタル製品を販売していますか？
2. 製品のクラス（デフォルト、重要クラスI/II、クリティカル）を特定していますか？
3. 更新価格と除外事項を含む書面による見積もりを取得していますか？
4. プロバイダーはEU内の登録法人ですか？
5. すべての文書とパッケージを更新済みですか？
6. 社内の報告・サポート体制は整っていますか？
7. 技術的コンプライアンスと継続的サポートの予算を確保していますか？

リスク、罰金、現実的なシナリオ

CRA認定代理人を任命しない場合、重大な結果を招く可能性があります。CRAは委任状未取得に対する固定罰金を明示していませんが、非準拠はEU市場での製品の販売停止、撤去命令、評判の損失を引き起こすことがあります。最もコストがかかるのは技術的対応（認証機関評価、SBOM、セキュリティアップデート）であり、代理人費用はそれに比べれば小額です。代理人の役割は遅延を防ぎ、市場監視と脆弱性報告のための直接かつ検証可能な窓口を確保することです。

プロバイダーが通常言わないこと

• 委任状の失効はよくある失敗例です。複数プロバイダー利用時は更新日を合わせましょう。
• 初年度の低価格を提示し更新価格を公開しないプロバイダーがあります。必ず文書で確認してください。
• 第18条委任状が第13条義務をカバーすると主張するのは認められていません。
• 代理人は技術的質問に答えず、コンプライアンス責任も負いません。

シナリオ例

• 米国のSaaS企業：EU販売にCRA第18条とGDPR第27条の代理人が必要。REP27は両方をバンドルで提供（€690/年）、請求書と更新日が一本化。技術的評価とセキュリティアップデートは自社対応。
• 中国のAmazon販売者：EUでIoT製品を販売するためCRA代理人が必須。最安値はREP27（€490/年）。SBOM作成と5年間のサポートは自社で準備。
• 英国のオンラインショップ：EU向けスマートデバイス販売にCRA代理人が必要。Euverify（GBP 590/年）とkadano（€999/年）が選択肢だが、更新価格を公開しているのはREP27のみ。技術対応は別途手配。