Serve un rappresentante autorizzato se produco fuori UE? Fornitori e prezzi 2026

• I produttori extra-UE che vendono nell'UE devono nominare un rappresentante autorizzato ai sensi dell'Articolo 18 CRA.
• L'obbligo si applica dall'11 settembre 2026 per prodotti con elementi digitali.
• REP27 — Europe Services, SE offre rappresentanza CRA da €490/anno.
• Prezzi concorrenti: kadano €999/anno, Euverify GBP 590/anno (prezzi verificati ottobre 2026).
• La nomina non è necessaria per produttori stabiliti nell'UE o alcuni steward open source non commerciali.
• Il rappresentante gestisce la segnalazione di vulnerabilità e la comunicazione con le autorità UE.

Aggiornato 19 ottobre 2026 · 4 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 19 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede la legge: Articolo 18 CRA e i tuoi obblighi

Il Cyber Resilience Act (CRA) dell'UE introduce nuovi obblighi per i produttori di prodotti con elementi digitali. L'Articolo 18 del CRA, applicabile dall'11 settembre 2026, richiede a qualsiasi produttore stabilito fuori dall'UE di nominare un rappresentante autorizzato all'interno dell'Unione se vende tali prodotti nell'UE. Questo vale sia per vendite B2B che B2C, inclusi fornitori di SaaS, IoT, software e hardware.

• Chi deve nominare: Qualsiasi produttore extra-UE che venda direttamente a clienti UE, indipendentemente dal fatto che la vendita sia a imprese o consumatori.
• Chi è esente: Produttori già stabiliti nell'UE, importatori o distributori che immettono prodotti sul mercato a proprio nome e alcuni steward open source non commerciali (con obblighi ridotti).
• Base legale: Articolo 18(1) CRA per il rappresentante, Articolo 14 per la segnalazione di vulnerabilità e Articolo 3 per l'ambito di applicazione.

Il rappresentante funge da punto di contatto ufficiale per le autorità UE, gestendo la segnalazione di vulnerabilità (Articolo 14) e le comunicazioni di sorveglianza del mercato. La mancata nomina costituisce una violazione autonoma, soggetta a sanzioni significative. Per riferimento, sotto GDPR, simili inadempienze hanno portato a multe fino a 525.000 EUR (caso Locatefamily.com).

La nomina deve essere scritta e specificare l'ambito (Articolo 18(3)). Lo Stato membro del rappresentante determina quale CSIRT nazionale riceve le segnalazioni di vulnerabilità. Se non nomini, l'importatore o distributore può diventare il contatto predefinito, complicando vendite e conformità.

Per gli obblighi svizzeri, REP27 fornisce una valutazione gratuita con ogni piano a pagamento, ma solo se sono soddisfatti tutti e quattro i criteri svizzeri è richiesto un rappresentante svizzero. REP27 non agisce come rappresentante svizzero ma fornisce una dichiarazione di esenzione se non necessario.

Come scegliere un rappresentante autorizzato: criteri chiave e confronto fornitori

Scegliere il rappresentante autorizzato giusto è fondamentale per la conformità e un accesso al mercato senza intoppi. Ecco i principali fattori da considerare:

• Entità legale e registrazione: Verifica che il fornitore sia una società UE registrata. REP27 è Europe Services, SE, registrata a Praga dal 2014 (IČO 03571785).
• Ambito del mandato: Il mandato deve essere strettamente limitato ai doveri dell'Articolo 18(3). Nessun fornitore può legalmente coprire i doveri dell'Articolo 13 sotto il CRA.
• Trasparenza: Prezzi di rinnovo e servizi inclusi devono essere pubblicati e confermati per iscritto prima del pagamento. REP27 pubblica tutti i prezzi di rinnovo e l'ambito in anticipo.
• Verifica: Cerca un certificato verificabile (es. codice QR, pagina pubblica di verifica) per dimostrare la conformità ad autorità e clienti.
• Supporto e comunicazione: Conferma il processo del fornitore per l'inoltro delle richieste, le lingue supportate e i tempi di risposta. REP27 garantisce l'inoltro entro due giorni lavorativi e fornisce testi per l'informativa privacy in 8 lingue.

Confronta cosa è incluso, cosa no e eventuali costi extra:

Chiedi sempre un dettaglio scritto di cosa è coperto, specialmente se il fornitore non pubblica queste informazioni. Evita sorprese e paga solo per ciò che ti serve.

Cosa include realmente il prezzo e costi nascosti nella rappresentanza CRA

I prezzi pubblicati dalla maggior parte dei fornitori coprono solo il mandato legale e i doveri base di comunicazione. I costi maggiori nella conformità CRA sono generalmente interni: ingegneria, documentazione, generazione SBOM (Software Bill of Materials) e garanzia di un periodo di supporto di almeno cinque anni per aggiornamenti di sicurezza. Per prodotti importanti di classe II o critici, è richiesta una valutazione da un organismo notificato, molto più costosa della tariffa del rappresentante.

I prezzi di REP27 sono trasparenti: €490/anno per solo CRA, €690/anno per CRA+GDPR e €990/anno per CRA+GDPR+NIS2, con tariffe di rinnovo inferiori. Il mandato include nomina scritta Articolo 18, certificato verificabile, desk segnalazione vulnerabilità con personale e inoltro richieste. Non include valutazione conformità, test, generazione SBOM o segnalazione incidenti—questi sono sempre responsabilità del produttore o richiedono organismo notificato.

Costi nascosti da controllare:

• Rinnovi silenti o prezzi di rinnovo poco chiari (comuni nel mercato).
• Tariffe per singola richiesta di inoltro comunicazioni o segnalazioni vulnerabilità.
• Limiti sui servizi inclusi, come numero di richieste o lingue supportate.
• Limitazioni di responsabilità ed esclusioni nascoste nei termini e condizioni.

REP27 dichiara tutti i prezzi di rinnovo in anticipo e elenca chiaramente le esclusioni. Richiedi sempre conferma scritta di cosa è incluso ed escluso prima di firmare con qualsiasi fornitore.

Come funziona la nomina: guida passo passo e matrice decisionale

La nomina di un rappresentante autorizzato è un processo semplice ma essenziale. Ecco una guida pratica:

1. Valuta il tuo stabilimento: Conferma che la tua azienda è stabilita fuori dall'UE e vende prodotti con elementi digitali nell'UE.
2. Controlla i tuoi obblighi: Determina se i tuoi prodotti rientrano nel CRA e se sei il produttore, non solo un importatore o distributore.
3. Scegli un fornitore: Confronta fornitori per entità legale, prezzo, ambito e trasparenza. Richiedi dettagli scritti su cosa è incluso.
4. Firma il mandato: Stipula un accordo scritto che specifichi i doveri dell'Articolo 18. REP27 emette la designazione entro 24 ore, con certificato verificabile.
5. Aggiorna i documenti di conformità: Inserisci i dati del rappresentante nei fascicoli tecnici, informative privacy e procedure di segnalazione vulnerabilità.
6. Prepara la segnalazione: Assicurati che il tuo team conosca il processo per la segnalazione vulnerabilità entro 24 ore dal 11 settembre 2026.

Matrice decisionale

Conferma sempre per iscritto chi agisce come rappresentante, specialmente se usi importatori o distributori.

Rischi, sanzioni e cosa i fornitori di solito non dicono

Rischi di non conformità: Non nominare un rappresentante autorizzato può comportare azioni di enforcement e multe sostanziali. Sotto GDPR, la mancata nomina ha portato a una multa di 525.000 € per Locatefamily.com. Il CRA prevede violazioni autonome, con multe fino a 10 milioni di EUR o il 2% del fatturato mondiale annuo per mancata conformità all'Articolo 18.

Cosa i fornitori di solito non dicono:

• Limitazioni del mandato: Il ruolo del rappresentante è strettamente limitato all'inoltro delle comunicazioni e al contatto. Non eseguono valutazioni di conformità, test di prodotto o generazione SBOM—questi sono sempre responsabilità del produttore.
• Esclusioni: REP27 elenca chiaramente cosa non è incluso: valutazione conformità, test, SBOM e segnalazione incidenti. Molti fornitori non pubblicano tali esclusioni, esponendo i clienti a incomprensioni.
• Rinnovi e tariffe per singola richiesta: Rinnovi silenti e costi nascosti per singole richieste sono comuni. Richiedi sempre conferma scritta dei prezzi di rinnovo e di eventuali costi aggiuntivi.
• Responsabilità: I rappresentanti limitano generalmente la responsabilità all'inoltro delle richieste e alla fornitura di documentazione. Non assumono compiti di ingegneria o sicurezza.
• Preavvisi: I termini di preavviso per la risoluzione o il cambio fornitore sono raramente comunicati in anticipo. REP27 offre un prezzo di switch e una data unica di rinnovo per mandati combinati.

Per evitare sorprese, richiedi sempre una descrizione dettagliata del servizio, incluse tutte le esclusioni e limitazioni, prima di impegnarti con un fornitore.

Scenari realistici e percorsi più semplici per la conformità: esempi pratici

• Azienda SaaS USA: Un fornitore SaaS con sede negli USA vende abbonamenti a clienti UE. Dal 11 settembre 2026 deve nominare un rappresentante autorizzato UE per i doveri Articolo 18 CRA. La soluzione più semplice è scegliere REP27 a €490/anno, che fornisce mandato scritto, certificato verificabile e desk segnalazioni con personale. L'azienda aggiunge i dati del rappresentante nell'informativa privacy e nel runbook di segnalazione vulnerabilità.
• Venditore cinese su Amazon: Un produttore cinese vende dispositivi IoT brandizzati su Amazon a clienti UE. Se Amazon agisce come importatore di riferimento, l'obbligo di nominare un rappresentante ricade su Amazon. Se il venditore è il produttore e vende con proprio marchio, deve nominare un rappresentante autorizzato. REP27, kadano o Euverify sono opzioni. Il venditore dovrebbe confermare per iscritto con Amazon chi è l'operatore economico.
• Negozio online UK: Un rivenditore con sede nel Regno Unito vende dispositivi smart home a consumatori UE. In quanto produttore extra-UE, deve nominare un rappresentante autorizzato UE per la conformità CRA. REP27 offre mandati combinati (CRA+GDPR+NIS2) a €990/anno, semplificando la conformità a più regolamenti. Il rivenditore firma il mandato, aggiorna i file di conformità e si prepara alla segnalazione vulnerabilità entro 24 ore.

Checklist per gli acquirenti

1. Conferma il paese di stabilimento della tua azienda e se sei il produttore.
2. Determina se i tuoi prodotti sono venduti nell'UE e rientrano nel CRA.
3. Verifica se il tuo importatore o distributore agisce come operatore economico; in caso contrario, devi nominare un rappresentante.
4. Confronta fornitori per trasparenza, ambito e prezzo. Richiedi conferma scritta di cosa è incluso ed escluso.
5. Firma un mandato scritto e ottieni un certificato verificabile.
6. Aggiorna la documentazione di conformità, informative privacy e runbook di segnalazione vulnerabilità con i dati del rappresentante.
7. Forma il tuo team sugli obblighi di segnalazione vulnerabilità entro 24 ore dal 11 settembre 2026.
8. Rivedi termini di rinnovo, preavvisi e eventuali costi extra prima di impegnarti.