Cyber Resilience Actin valtuutettu edustaja: velvollisuudet, hinnat ja valinta (2026)

• Velvollisuus EU:n ulkopuolisille valmistajille, jotka myyvät EU:ssa (artikla 18 CRA)
• Julkaistut hinnat: 490 € – 999 €/vuosi (lokakuu 2026)
• Edustaja hoitaa viranomaisyhteydet, dokumentaation ja ilmoitukset
• Ei sisällä arviointeja, testejä tai SBOM:ia, vain valtuutus ja viestien välitys
• Toimittajavertailu läpinäkyvine hintoineen: REP27, Kadano, Euverify
• Sakot jopa 10 miljoonaa € tai 2 % maailmanlaajuisesta liikevaihdosta

Päivitetty 23 October 2026 · 8 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 23 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lain vaatimukset: CRA-edustajan velvollisuus (artikla 18)

Cyber Resilience Act (CRA) asettaa uuden velvollisuuden kaikille digitaalisia elementtejä sisältävien tuotteiden valmistajille, jotka eivät ole sijoittautuneet Euroopan unioniin mutta aikovat saattaa tuotteensa EU-markkinoille. Artiklan 18 mukaan näiden valmistajien on nimettävä valtuutettu edustaja kirjallisella valtuutuksella. Edustaja toimii ainoana yhteyspisteenä EU:n ulkopuolisen valmistajan ja eurooppalaisten valvontaviranomaisten välillä, ja hänen vastuunsa ovat tarkasti määritellyt:

• Säilyttää EU-vaatimustenmukaisuusvakuutus ja tekninen dokumentaatio vähintään 10 vuotta markkinoille saattamisen jälkeen tai koko tuen ajan, jos se on pidempi.
• Toimittaa pyydettäessä tietoja ja dokumentaatiota valvontaviranomaisille osoittaen tuotteen vaatimustenmukaisuuden.
• Tehdä yhteistyötä viranomaisten kanssa digitaalisiin tuotteisiin liittyvien riskien poistamiseksi valtuutuksen piiriin kuuluvissa tuotteissa.

Laki koskee kaikkia valmistajia riippumatta alkuperämaasta, jos tuotteet on tarkoitettu EU-markkinoille (lähde). Velvollisuutta ei ole tuojilla, jakelijoilla tai markkinapaikoilla, jotka eivät toimi valmistajina. Edustajan nimeämättä jättäminen voi johtaa jopa 10 miljoonan euron sakkoihin tai 2 %:iin maailmanlaajuisesta liikevaihdosta sekä markkinoille saattamisen estämiseen.

Nimeäminen ei ole pelkkä muodollisuus: viranomaiset voivat milloin tahansa pyytää teknistä dokumentaatiota ja vaatimustenmukaisuusvakuutusta edustajan kautta. Turvallisuusongelmien sattuessa edustajan on pystyttävä vastaamaan nopeasti viranomaisten pyyntöihin.

Miten valita CRA-edustaja: kriteerit, vertailu ja erot

Valtuutetun edustajan valinta CRA:lle on strateginen päätös, joka vaikuttaa sekä vaatimustenmukaisuuteen että viranomaispyyntöjen tehokkaaseen hallintaan. Tässä tärkeimmät arviointikriteerit:

• Selkeä valtuutus: Valtuutuksen tulee rajoittua artiklan 18 vastuisiin ilman laittomia laajennuksia (esim. arvioinnit tai testit, jotka lain mukaan kuuluvat muille tahoille).
• Läpinäkyvä hinta: Varmista, että hinta on julkinen ja uusintahinta ilmoitetaan etukäteen, jotta ei tule yllätyksiä tulevina vuosina.
• Varmennettava todistus: Suosi toimittajia, jotka tarjoavat julkisen ja varmennettavan todistuksen (esim. QR-koodi) valtuutuksen todistamiseksi tarkastuksissa.
• Viestien välitys: Kysy, miten viranomaispyynnöt käsitellään, millä kielillä ja kuinka nopeasti vastataan.
• Poissulkemiset ja rajat: Vakava toimittaja listaa selkeästi, mitä palvelu sisältää ja mitä ei, välttäen epäselvyyksiä arvioinneista, testeistä, SBOM:ista tai teknisestä tuesta.

Vertailutaulukko sisällöistä ja lisämaksuista:

Arvioi myös lisäpalveluiden, kuten tuoteluettelon tarkistuksen (hyödyllinen monille tuotteille) ja mahdollisuuden kattaa useita säädöksiä (esim. GDPR, GPSR) yhdellä toimittajalla, saatavuutta.

Mitä hinta todella sisältää: näkyvät ja piilokustannukset

Toimittajien ilmoittama hinta kattaa ainoastaan kirjallisen valtuutuksen edustajuuteen ja viranomaispyyntöjen hallinnan. Se ei sisällä:

• Vaatimustenmukaisuuden arviointeja (näitä tekevät ilmoitetut laitokset, ei edustaja)
• Turvallisuustestejä, SBOMin laatimista tai teknistä tukea
• Teknisen dokumentaation laatimista tai tarkistusta
• Oikeudellista neuvontaa tai koulutusta (paitsi erikoistarjouksissa kuten Comply.Land)

Sisältötaulukko:

Varo piilokustannuksia: jotkut toimittajat eivät ilmoita uusintahintaa tai veloittavat lisämaksuja ylimääräisistä pyynnöistä, toimittajan vaihdosta tai valtuutuksen ulkopuolisista palveluista. Pyydä aina kirjallinen tarjous, jossa on uusintahinta ja irtisanomisehdot.

Muista, että edustajan kustannus on vain pieni osa CRA-vaatimustenmukaisuutta: suuremmat kulut liittyvät teknisiin päivityksiin, dokumentaation laatimiseen ja korkeamman luokan tuotteissa ilmoitettujen laitosten sertifiointiin.

Piilokustannukset ja kysyttävää ennen sopimusta

Ennen sopimuksen allekirjoittamista toimittajan kanssa on tärkeää selvittää seuraavat asiat yllätyksien välttämiseksi:

• Uusintahinta: Sen tulee näkyä selkeästi sopimuksessa tai kirjallisessa tarjouksessa, ei pelkästään verkkosivulla.
• Lisämaksut ylimääräisistä pyynnöistä: Tarkista, veloitetaanko lisämaksuja esimerkiksi kiireellisistä pyynnöistä, työajan ulkopuolisista asioista tai toimittajan vaihdosta.
• Valtuutuksen laajuus: Valtuutuksen tulee kattaa vain artikla 18; arviointeja, testejä tai muita palveluita sisältävät tarjoukset ovat lainvastaisia.
• Varmennettava todistus: Julkinen todistus (esim. QR-koodi) on hyödyllinen auditoinneissa ja viranomaispyynnöissä.
• Vastausaika: Kysy, kuinka nopeasti pyynnöt välitetään ja onko palvelu käytettävissä myös pyhäpäivinä ja työajan ulkopuolella.

Päätöstaulukko:

Pyydä aina kirjallinen lista siitä, mitä palvelu sisältää, mitä ei ja mahdollisista lisämaksuista. Läpinäkyvä toimittaja antaa nämä tiedot ilman epäröintiä.

Nimeämismenettely: vaihe vaiheelta ja käytännön tarkistuslista

CRA-edustajan nimeäminen noudattaa selkeää prosessia, jonka voi aloittaa hyvissä ajoin ennen seuraamusten voimaantuloa (joulukuu 2027):

1. Tarkista asemasi: Oletko EU:n ulkopuolinen valmistaja, joka myy digitaalisia tuotteita Euroopassa? Jos kyllä, jatka.
2. Tunnista kattavat tuotteet: Listaa kaikki EU-markkinoille tarkoitetut digitaaliset tuotteet ja varmista, että ne kuuluvat CRA:n piiriin.
3. Valmistele dokumentaatio: Laadi EU-vaatimustenmukaisuusvakuutus ja lain vaatima tekninen dokumentaatio.
4. Valitse toimittaja: Valitse julkisen hinnan ja läpinäkyvän valtuutuksen tarjoajista (katso yllä oleva taulukko).
5. Pyydä valtuutus: Täytä verkkolomake tai lähetä kirjallinen pyyntö. Saat allekirjoitetun valtuutuksen (usein eIDAS-sähköisellä allekirjoituksella).
6. Rekisteröi edustaja: Kirjaa edustajan tiedot sisäisiin käytäntöihin, runbookiin ja tekniseen dokumentaatioon.
7. Toiminnallinen hallinta: Viranomaispyynnön tullessa edustaja vastaanottaa ja välittää viestin määräajassa (esim. REP27: 2 arkipäivää).

Tarkistuslista tänään:

1. Tarkista oikeudellinen asemasi ja markkinat
2. Kokoa ja päivitä tekninen dokumentaatio
3. Pyydä tarjouksia useilta toimittajilta
4. Vertaa sisällöt, poissulkemiset ja uusintahinnat
5. Allekirjoita valtuutus ja päivitä sisäiset prosessit

Riskit, sakot ja seuraukset ilman edustajaa

Valtuutetun edustajan nimeämättä jättäminen aiheuttaa merkittäviä riskejä:

• Sakot: Jopa 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta, riippuen kumpi on suurempi (lähde).
• Markkinoille saattamisen esto: Tuotteet voidaan poistaa EU-markkinoilta tai jäädyttää tullissa.
• Viiveet ja tehottomuus: Ilman selkeää yhteyspistettä viranomaispyynnöt voivat kohdistua jakelijoihin, asiakkaisiin tai maahantuojiin, aiheuttaen viiveitä ja mainehaittoja.
• Ongelmia turvallisuuspoikkeamissa: Haavoittuvuuksien tai turvallisuusongelmien ilmetessä edustajan puute voi hidastaa vastetta ja pahentaa oikeudellisia ja kaupallisia seurauksia.

Päätöstaulukko:

Edustajan ajoissa nimeäminen vähentää sakkojen riskiä ja takaa viranomaispyyntöjen nopean käsittelyn, mikä on ratkaisevaa turvallisuuspoikkeamien yhteydessä, joissa ilmoitusaika voi olla esimerkiksi 24 tuntia hyväksikäytetyistä haavoittuvuuksista.

Mitä toimittajat yleensä eivät kerro: rajat, poissulkemiset, riskit

Monet toimittajat eivät korosta seuraavia tärkeitä seikkoja CRA-edustajapalveluissa:

• Arvioinnit ja testit eivät kuulu palveluun: Mikään edustaja ei voi suorittaa vaatimustenmukaisuuden arviointeja, turvallisuustestejä tai SBOMin laatimista: nämä ovat erillisiä, usein kalliimpia tehtäviä, jotka kuuluvat ilmoitetuille laitoksille tai valmistajalle.
• Valtuutus on lain mukaan rajattu: Valtuutuksen tulee kattaa vain artikla 18; kaikki laajennukset (esim. artikla 13 velvoitteiden hallinta) ovat lainvastaisia.
• Uusintahinnat eivät aina ole läpinäkyviä: Jotkut toimittajat eivät julkaise uusintahintoja tai veloittavat lisämaksuja toimittajan vaihdosta tai ylimääräisistä pyynnöistä.
• Vastuu on rajattu: Edustaja vastaa vain viestien välityksestä ja dokumenttien hallinnasta, ei teknisestä vaatimustenmukaisuudesta tai tuoteturvallisuudesta.
• Vastausajat ja kielituki: Kaikki toimittajat eivät kerro vastausaikoja tai tukemia kieliä, mikä on keskeistä viranomaispyyntöjen tehokkaassa käsittelyssä.

Pyydä aina kirjallinen lista poissulkemisista ja palveluehdoista, jotta vältät väärinkäsitykset ja vaatimustenmukaisuusriskit.

Käytännön esimerkit: kolme todellista tapausta ja helpoin ratkaisu

• Yhdysvaltalainen SaaS: Yhdysvaltalainen yritys tarjoaa pilvipohjaista ohjelmistoa EU-asiakkaille. Sen on nimettävä CRA-edustaja, valmisteltava tekninen dokumentaatio ja vaatimustenmukaisuusvakuutus. Se voi valita toimittajan, jolla on läpinäkyvä valtuutus ja kiinteä hinta (esim. REP27 tai Euverify). Arviointia ei tarvita, jos tuote on perusluokkaa ja harmonisoituja standardeja sovelletaan.
• Kiinalainen Amazon-myyjä: Kiinalainen valmistaja myy IoT-laitteita Amazonissa EU-asiakkaille. Sen on nimettävä CRA-edustaja, vaikka markkinapaikka hoitaa logistiikan. Edustaja tulee mainita teknisessä dokumentaatiossa ja tuotepolitiikassa. Markkinapaikka ei kata tätä velvollisuutta.
• Brittiläinen verkkokauppa: Britannialainen verkkokauppa myy älylaitteita EU:ssa. Brexitin jälkeen se on EU:n ulkopuolinen ja sen on nimettävä CRA-edustaja, valmisteltava dokumentaatio ja valittava varmennettava valtuutus. Jos myy myös markkinapaikalla, vastuu valmistajana säilyy.

Kaikissa näissä tapauksissa helpoin ratkaisu on valita toimittaja, jolla on julkaistu hinta, kirjallinen valtuutus ja nopea nimeämisprosessi (esim. REP27: nimeäminen 24 tunnissa, QR-todistus, kiinteä hinta).