Rappresentante Autorizzato Cyber Resilience Act: Obblighi, Prezzi e Scelta (2026)

• Obbligo per produttori extra-UE che vendono nell’UE (art. 18 CRA)
• Prezzi pubblicati: da €490 a €999/anno (ottobre 2026)
• Il rappresentante gestisce rapporti, documentazione e notifiche autorità
• Non include assessment, test o SBOM: solo mandato e forwarding
• Confronto fornitori con prezzi trasparenti: REP27, Kadano, Euverify
• Multe fino a €10 milioni o 2% del fatturato globale

Aggiornato 22 ottobre 2026 · 8 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 22 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede la legge: obbligo rappresentante CRA (art. 18)

Il Cyber Resilience Act (CRA) introduce un nuovo obbligo per tutti i produttori di prodotti con elementi digitali che non sono stabiliti nell’Unione Europea ma intendono immettere tali prodotti nel mercato UE. Secondo l’articolo 18, questi produttori devono nominare un rappresentante autorizzato tramite mandato scritto. Il rappresentante agisce come punto di contatto unico tra il produttore extra-UE e le autorità di sorveglianza europee, con responsabilità precise:

• Mantenere la dichiarazione UE di conformità e la documentazione tecnica per almeno 10 anni dopo la commercializzazione o per tutto il periodo di supporto dichiarato, se superiore.
• Fornire informazioni e documentazione alle autorità di sorveglianza su richiesta, dimostrando la conformità del prodotto.
• Collaborare con le autorità per eliminare rischi associati ai prodotti digitali coperti dal mandato.

La legge si applica a tutti i produttori, indipendentemente dal Paese di origine, se i prodotti sono destinati al mercato UE (fonte). Non sono soggetti all’obbligo gli importatori, i distributori e i marketplace che non agiscono come produttori. La mancata nomina del rappresentante può comportare multe fino a €10 milioni o il 2% del fatturato globale, oltre al blocco della commercializzazione.

La nomina non è solo una formalità: le autorità possono richiedere in qualsiasi momento la documentazione tecnica e la dichiarazione di conformità tramite il rappresentante. In caso di incidenti di sicurezza, il rappresentante deve essere in grado di rispondere tempestivamente alle richieste delle autorità competenti.

Come scegliere il rappresentante CRA: criteri, confronto e differenze

La scelta del rappresentante autorizzato per il CRA è strategica, sia per la conformità che per la gestione efficiente delle richieste delle autorità. Ecco i principali criteri da valutare:

• Chiarezza del mandato: Il mandato deve essere limitato alle responsabilità previste dall’art. 18, senza estensioni non consentite (ad esempio, assessment o test che la legge assegna ad altri soggetti).
• Prezzo trasparente: Verifica che il prezzo sia pubblicato e che il rinnovo sia dichiarato in anticipo, evitando sorprese negli anni successivi.
• Certificato verificabile: Preferisci provider che offrono un certificato pubblico e verificabile (es. QR code) per dimostrare la nomina in caso di controlli o audit.
• Processo di forwarding: Chiedi come vengono gestite le richieste delle autorità, in quali lingue e con quali tempi di risposta.
• Esclusioni e limiti: Un provider serio elenca chiaramente cosa è incluso e cosa no, evitando ambiguità su assessment, test, SBOM o supporto tecnico.

Tabella comparativa inclusioni/extra fee:

Valuta anche la presenza di servizi aggiuntivi come screening del catalogo prodotti (utile per chi ha molte referenze) e la possibilità di coprire più normative (es. GDPR, GPSR) con un unico provider.

Cosa include davvero il prezzo: costi visibili e nascosti

Il prezzo pubblicato dai provider copre esclusivamente il mandato scritto di rappresentanza e la gestione delle richieste delle autorità di sorveglianza. Non sono inclusi:

• Assessment di conformità (compito degli organismi notificati, non del rappresentante)
• Test di sicurezza, generazione SBOM o supporto tecnico
• Redazione o revisione della documentazione tecnica
• Consulenza legale o formazione (salvo offerte specifiche come Comply.Land)

Tabella inclusioni:

Attenzione ai costi nascosti: alcuni provider non pubblicano il prezzo di rinnovo o applicano fee per richieste extra, cambio provider o servizi fuori mandato. Chiedi sempre un’offerta scritta che includa il prezzo di rinnovo e le condizioni di recesso.

Infine, considera che il costo del rappresentante è solo una piccola parte della compliance CRA: le spese maggiori sono legate all’adeguamento tecnico, alla generazione della documentazione e, per i prodotti di classe superiore, alla certificazione da parte di organismi notificati.

Costi nascosti e cosa chiedere prima di firmare

Prima di sottoscrivere un mandato con un provider, è fondamentale chiarire alcuni aspetti per evitare sorprese:

• Prezzo di rinnovo: Chiedi che sia chiaramente indicato nel contratto o nell’offerta scritta, non solo sul sito.
• Fee per richieste extra: Verifica se ci sono costi aggiuntivi per la gestione di richieste fuori orario, urgenze o cambi di provider.
• Ambito del mandato: Il mandato deve coprire solo l’art. 18; offerte che includono assessment, test o altri servizi sono in conflitto con la normativa.
• Certificato verificabile: Un certificato pubblico (es. QR code) è utile per dimostrare la nomina in caso di audit o richiesta delle autorità.
• Tempi di risposta: Chiedi quali sono i tempi di forwarding delle richieste e se il servizio è attivo anche durante festività e fuori orario.

Tabella decisionale:

Chiedi sempre una lista scritta di ciò che è incluso, escluso e delle eventuali fee extra. Un provider trasparente ti fornirà queste informazioni senza esitazioni.

Come funziona la nomina: step by step e checklist pratica

La nomina del rappresentante CRA segue una procedura chiara, che puoi avviare anche con largo anticipo rispetto all’entrata in vigore delle sanzioni (dicembre 2027):

1. Verifica la tua posizione: Sei un produttore extra-UE che vende prodotti digitali in Europa? Se sì, prosegui.
2. Identifica i prodotti coperti: Mappa tutti i prodotti digitali destinati al mercato UE e verifica che rientrino nel perimetro del CRA.
3. Prepara la documentazione: Prepara la dichiarazione UE di conformità e la documentazione tecnica richiesta dalla normativa.
4. Seleziona il provider: Scegli tra i fornitori con prezzo pubblicato e mandato trasparente (vedi tabella sopra).
5. Richiedi il mandato: Compila il modulo online o invia richiesta scritta. Ricevi il mandato firmato (spesso con firma elettronica eIDAS).
6. Registra il rappresentante: Inserisci i dati del rappresentante nelle tue policy interne, runbook e documentazione tecnica.
7. Gestione operativa: In caso di richiesta delle autorità, il rappresentante riceve e inoltra la comunicazione entro i tempi previsti (es. 2 giorni lavorativi per REP27).

Checklist per oggi:

1. Verifica la tua posizione giuridica e i mercati serviti
2. Raccogli e aggiorna la documentazione tecnica
3. Richiedi preventivi a più provider
4. Confronta inclusioni, esclusioni e prezzi di rinnovo
5. Firma il mandato e aggiorna le tue procedure interne

Rischi, multe e cosa succede senza rappresentante

La mancata nomina del rappresentante autorizzato comporta rischi significativi:

• Multe: Fino a €10 milioni o il 2% del fatturato globale, a seconda di quale importo sia superiore (fonte).
• Blocco della commercializzazione: I prodotti possono essere ritirati dal mercato UE o bloccati in dogana.
• Ritardi e inefficienze: Senza un punto di contatto chiaro, le richieste delle autorità possono arrivare a distributori, clienti o importatori, causando ritardi e danni reputazionali.
• Complicazioni in caso di incidenti: In caso di vulnerabilità o incidenti di sicurezza, la mancanza di un rappresentante può rallentare la risposta e aggravare le conseguenze legali e commerciali.

Scenario decisionale:

La nomina tempestiva del rappresentante riduce il rischio di sanzioni e garantisce una gestione rapida delle richieste delle autorità, fondamentale in caso di incidenti di sicurezza con scadenze strette (es. 24 ore per la notifica di vulnerabilità sfruttate).

Cosa i provider solitamente non dicono: limiti, esclusioni, rischi

Molti provider non evidenziano alcuni aspetti chiave del servizio di rappresentanza CRA:

• Assessment e test esclusi: Nessun rappresentante può svolgere assessment di conformità, test di sicurezza o generare SBOM: sono compiti separati, spesso molto più costosi, che spettano a organismi notificati o al produttore.
• Mandato limitato per legge: Il mandato deve coprire solo l’art. 18; ogni estensione (es. gestione di obblighi art. 13) è vietata dalla normativa stessa.
• Prezzo di rinnovo non sempre trasparente: Alcuni provider non pubblicano il prezzo di rinnovo o applicano fee per cambio provider o richieste extra.
• Responsabilità limitata: Il rappresentante è responsabile solo del forwarding e della detenzione documenti, non della conformità tecnica o della sicurezza del prodotto.
• Tempi di risposta e lingue: Non tutti i provider specificano i tempi di risposta o le lingue supportate: un dettaglio fondamentale per la gestione efficace delle richieste delle autorità.

Chiedi sempre una lista scritta delle esclusioni e delle condizioni di servizio, per evitare incomprensioni e rischi di non conformità.

Scenari pratici: tre esempi reali e la soluzione più semplice

• SaaS USA: Una società statunitense offre software in cloud a clienti UE. Deve nominare un rappresentante CRA, preparare la documentazione tecnica e la dichiarazione di conformità. Può scegliere un provider con mandato trasparente e prezzo fisso (es. REP27 o Euverify). Non serve assessment se il prodotto è di classe base e si applicano standard armonizzati.
• Venditore Amazon Cina: Un produttore cinese vende dispositivi IoT su Amazon a clienti UE. Deve nominare rappresentante CRA, anche se il marketplace gestisce la logistica. Il rappresentante va indicato nella documentazione tecnica e nelle policy di prodotto. Il marketplace non copre questo obbligo.
• Shop online UK: Un negozio online britannico vende hardware smart in UE. Dopo la Brexit, è considerato extra-UE e deve nominare rappresentante CRA, preparare la documentazione e scegliere un provider con mandato verificabile. Se vende anche su marketplace, resta responsabile come produttore.

In tutti questi casi, la soluzione più semplice è scegliere un provider con prezzo pubblicato, mandato scritto e processo di nomina rapido (es. REP27: designazione in 24 ore, certificato QR, prezzo fisso).