サイバー・レジリエンス法の認定代理人費用：2026年の提供者と価格一覧

• CRA第18条：EU外製造者の代理人義務
• 2026年検証済み価格：年間490 €～999 €
• REP27：初年度490 €、更新440 €、追加料金なし
• サービス内容は異なる：適合性評価やテストは含まれない
• 違反時の罰金は最大1500万€または売上高の2.5％（CRA第64条）
• 全ての事業者が代理人を必要とするわけではない：輸入業者、流通業者、EU製造者は不要

更新済み 25 October 2026 · 7 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、25 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

サイバー・レジリエンス法の規定（条文付き）

サイバー・レジリエンス法（CRA）は、デジタル要素を含む製品のサイバーセキュリティに関するEUの主要規則です。EU外の製造者が欧州市場に製品を提供する場合、EU内に認定代理人を指名する義務があります。この義務はCRA第18条に基づきます（出典）。

• 第18条：EU外の製造者は、当局や市場監視機関と代理で連絡を取る代理人を指名しなければなりません。
• 第13条・14条：脆弱性やセキュリティインシデントの安全要件と報告義務を規定。2026年9月11日以降、活発に悪用される問題を知った後24時間以内に報告が必要です（出典）。
• 第64条：違反には最大1500万€または世界年間売上高の2.5％の罰金が科されます（出典）。
• 第71条：規則は2024年12月10日に施行。報告義務は2026年9月11日から、完全適用は2027年12月11日からです（出典）。

この義務はEU外の製造者のみに適用されます。輸入業者や流通業者は製造者としての役割を持つ場合のみ対象です（例：リブランドや自社販売）。商用目的のないオープンソースプロジェクトは簡易的な規制対象です。

代理人の役割は限定的で、当局との窓口として機能し、製品の技術的責任は負いません。適合性評価や安全アップデート、技術文書は製造者の責任です。

適切な提供者の選び方

CRA代理人の選定は透明性、価格体系、証明可能性を重視すべきです。多くの提供者は価格を公開しておらず比較が困難です。REP27は価格体系が明確で、含まれるサービスと除外項目がはっきりしています（出典）。

• 価格体系：公開価格と更新費用を確認。REP27は初年度490 €、更新440 €で公開済み。
• サービス範囲：代理人は法律上、第18条の業務のみを行います。技術的検査や適合性評価を謳う提供者は法的範囲を超えています。
• 証明可能性：QRコードや公開検証ページによる委任証明が重要。REP27はこれを提供。
• 解約条件と追加費用：隠れた料金、解約条件、個別請求の有無を確認。REP27は追加料金なし、他は要問い合わせ。

提供者が法人登記されているか、委任発行が迅速かつ検証可能かも確認してください。REP27は24時間以内に発行します。

価格に本当に含まれるもの

CRA代理人の価格は第18条の委任業務のみを含みます。代理人は当局や市場監視機関の正式な連絡窓口として機能します。製品の技術的責任、適合性評価、SBOM作成、セキュリティテストは含まれず、別途手配が必要です（出典）。

• REP27：委任書、書面注文、検証可能な証明書、当局対応窓口、追加料金なし。適合性評価、テスト、SBOMは除外。
• kadano / Euverify：詳細は不明。契約前に書面で確認推奨。

代理人はCRAの技術的要件の実施責任は負いません。多くの提供者、特にREP27は技術相談、適合性評価、製品テストは含まれないと明示しています。必要な場合は専門の検査機関やセキュリティ企業に依頼してください。

代理人の役割は限定的で、当局からの問い合わせが滞らず迅速に対応できるようにすることが主目的です。検証可能な委任書があれば、法的に安全な連絡が可能です。

CRAコンプライアンスの隠れた費用と実費

CRAコンプライアンスの主な費用は代理人ではなく、法的要件を満たすための内部・外部対策にかかります。代理人委任費用は年間490 €～999 €と予算の中で最も小さい項目です（出典）。

• 適合性評価：重要なクラスI製品は調和規格の遵守で十分。クラスIIや重要製品は指定機関による外部評価が必須。費用は数千ユーロ、数ヶ月かかります。
• セキュリティアップデート：製造者は最低5年間のアップデート提供義務があります。費用は代理人費用を上回ることが多く、長期計画が必要です。
• 内部リソース：文書作成、SBOM作成、報告チャネル設置に追加工数が発生します。
• 隠れた費用：一部提供者は当局問い合わせ対応や緊急対応、委任変更に追加料金を請求する場合があります。REP27はこれらを含みませんが、他は要確認です。

代理人の委任は必須ですが、CRA完全遵守には技術的・運用的対策が不可欠で、最大のコストとリスクはそちらにあります。

代理人委任の流れ：ステップバイステップ

1. 自社が第18条の対象か確認：デジタル要素を持つ製品の製造者でEU外に拠点があるか？
2. 提供者を比較：公開価格、更新費用、サービス範囲を確認。証明可能な委任と明確な除外項目を重視。
3. 委任を注文：REP27はオンライン注文で24時間以内に発行。他は問い合わせ。
4. 委任書を受領・記録：技術文書や製品記録に保管。必要時に当局や市場監視機関に提示。
5. 代理人情報を公開：技術文書やウェブサイトに代理人連絡先を記載。
6. 報告チャネルを設置：脆弱性やインシデントを代理人に速やかに報告できる体制を構築。REP27は当局問い合わせを2営業日以内に製造者に転送。
7. 定期的な確認：委任の有効性と連絡先の最新性を年1回チェック。

体系的な手順で遅延や罰金リスクを最小化。チェックリストを活用し法的要件を確実に満たしましょう。

違反時のリスクと罰金

第18条の代理人義務違反は独立した行政違反です。第64条により最大1500万€または世界年間売上高の2.5％の罰金が科されます（出典）。

• 代理人不在：当局問い合わせが宙に浮き、市場監視が販売停止措置を取る可能性。
• 責任不明瞭：検証可能な委任がないと当局との連絡が遅延し、脆弱性報告の24時間期限を超過する恐れ。
• 契約の落とし穴：不透明な更新価格や追加料金が予期せぬコストに。明確な書面契約が必須。
• 技術的怠慢：代理人委任だけでは技術的欠陥やアップデート未実施、文書不足による罰金を防げません。

信頼できる代理人はコンプライアンスの第一歩ですが、製造者の技術的・組織的義務を代替しません。最大のリスクは報告義務への準備不足と提供者選定の不透明さにあります。

提供者があまり言わないこと

• 限定的なサービス範囲：CRA代理人の委任は第18条の正式代理のみ。技術相談、適合性評価、製品テスト、SBOM作成は含まれません。
• 製品欠陥の責任なし：代理人は製品の技術的欠陥や脆弱性に責任を負いません。責任は常に製造者にあります。
• 更新価格と解約条件：多くの提供者は更新価格や解約条件を公開しません。REP27は更新440 €、追加料金なしで公開済み。
• 個別請求料金：一部提供者は当局問い合わせ対応、緊急対応、委任変更に料金を請求。REP27はこれらを含みませんが、他は問い合わせが必要。
• 技術支援なし：代理人は安全アップデート実装、SBOM作成、ペネトレーションテスト実施を行いません。

提供者選定は価格だけでなく、サービスの透明性と除外項目を重視してください。委任に含まれる内容を必ず確認しましょう。

判断マトリックス：CRA代理人は必要？

義務は自社名またはブランド名でEU市場に製品を投入する製造者のみに適用。輸入業者、流通業者、純粋なマーケットプレイス業者は製造者としての役割がなければ対象外です。

購入者向けチェックリスト（即実行可能）

1. 製品がCRA対象か確認（デジタル要素あり、EUで販売）。
2. 製造者に該当するか確認（OEM/ホワイトラベル含む）。
3. 提供者の価格とサービスを比較。更新費用や除外項目を文書で確認。
4. 代理人委任を注文し、製品記録に保存。
5. 技術文書やウェブサイトに代理人連絡先を掲載。
6. 脆弱性・インシデント報告チャネルを設置。
7. 安全アップデート（最低5年）と技術文書のリソースを確保。
8. 報告期限（例：脆弱性24時間）を守る内部プロセスを整備。
9. 年1回、委任の有効性と連絡先の最新性を確認。

このチェックリストで法的要件を体系的かつ確実に満たせます。

3つの実例：誰が何を必要とするか？

• 米国SaaS企業：米国の企業がクラウドソフトをEU顧客に直接販売。EU拠点なしのため、第18条に基づくCRA代理人が必須。REP27で年間490 €から。技術対応（SBOM、アップデート、報告チャネル）は製造者側の責任。
• 中国のAmazon販売者：中国企業がAmazonで自社スマートホーム製品をEUに販売。製造者として代理人義務あり。オンラインで委任注文可能、費用はREP27で490 €から。輸入業者やAmazon自体は代理人不要。
• 英国のオンラインショップ：英国拠点がアジア製品を輸入し自社名でEU販売。製造者として第18条代理人が必要。適合性評価やアップデートも製造者が実施。

いずれも代理人委任はコンプライアンスの一部であり、技術的・組織的対応は製造者の責任です。