Tarvitsenko valtuutetun edustajan, jos valmistan EU:n ulkopuolella? Tarjoajat & hinnat 2026

• EU:n ulkopuolisten valmistajien, jotka myyvät EU:ssa, on nimettävä valtuutettu edustaja CRA:n 18 artiklan mukaisesti.
• Velvollisuus koskee 11.9.2026 alkaen digitaalisia elementtejä sisältäviä tuotteita.
• REP27 — Europe Services, SE tarjoaa CRA-edustusta alkaen 490 €/vuosi.
• Kilpailijoiden hinnat: kadano 999 €/vuosi, Euverify 590 GBP/vuosi (hinnat tarkistettu lokakuussa 2026).
• Nimeämistä ei tarvita EU:ssa sijaitseville valmistajille tai joillekin ei-kaupallisille avoimen lähdekoodin ylläpitäjille.
• Edustaja hoitaa haavoittuvuuksien raportoinnin ja yhteydenpidon EU-viranomaisiin.

Päivitetty 19 October 2026 · 4 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 19 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lain vaatimukset: CRA:n 18 artikla ja velvollisuutesi

EU:n Cyber Resilience Act (CRA) asettaa uusia velvoitteita digitaalisia elementtejä sisältävien tuotteiden valmistajille. CRA:n 18 artikla, joka tulee voimaan 11. syyskuuta 2026, edellyttää, että EU:n ulkopuolella sijaitseva valmistaja nimeää valtuutetun edustajan unionin alueella, jos se myy tällaisia tuotteita EU:ssa. Tämä koskee sekä B2B- että B2C-myyntiä, mukaan lukien SaaS-, IoT-, ohjelmisto- ja laitevalmistajat.

• Kuka nimettävä: Kaikki EU:n ulkopuoliset valmistajat, jotka myyvät suoraan EU-asiakkaille, riippumatta siitä, onko myynti yrityksille vai kuluttajille.
• Ketkä ovat vapautettuja: EU:ssa jo toimivat valmistajat, maahantuojat tai jakelijat, jotka asettavat tuotteet markkinoille omalla nimellään, sekä jotkut ei-kaupalliset avoimen lähdekoodin ylläpitäjät (joilla on vähennetyt velvoitteet).
• Oikeusperusta: CRA:n 18 artikla (1) edustajalle, 14 artikla haavoittuvuuksien raportoinnille ja 3 artikla soveltamisalalle.

Edustaja toimii virallisena yhteyspisteenä EU-viranomaisille, hoitaa haavoittuvuuksien raportoinnin (14 artikla) ja markkinavalvonnan yhteydenpidon. Nimittämättä jättäminen on itsenäinen rikkomus, josta voi seurata merkittäviä sakkoja. GDPR:n yhteydessä vastaava laiminlyönti johti jopa 525 000 euron sakkoihin (Locatefamily.com-tapaus).

Nimeäminen on tehtävä kirjallisesti ja siinä on määriteltävä toimivallan laajuus (18 artikla 3 kohta). Edustajan jäsenvaltio määrittää, mikä kansallinen CSIRT (tietoturvapoikkeamien käsittelyryhmä) vastaanottaa haavoittuvuuksien raportit. Jos et nimeä edustajaa, maahantuoja tai jakelija voi toimia oletusyhteyshenkilönä, mikä voi hankaloittaa myyntiä ja vaatimustenmukaisuutta.

Sveitsin velvoitteiden osalta REP27 tarjoaa ilmaisen arvion jokaisen maksetun suunnitelman yhteydessä, mutta sveitsiläinen edustaja tarvitaan vain, jos kaikki neljä sveitsiläistä kriteeriä täyttyvät. REP27 ei toimi sveitsiläisenä edustajana, mutta antaa vapautuslausuman, jos edustajaa ei tarvita.

Kuinka valita valtuutettu edustaja: keskeiset kriteerit ja tarjoajavertailu

Oikean valtuutetun edustajan valinta on ratkaisevaa vaatimustenmukaisuuden ja sujuvan markkinoille pääsyn kannalta. Tässä tärkeimmät huomioitavat seikat:

• Oikeushenkilö ja rekisteröinti: Varmista, että tarjoaja on rekisteröity EU-yritys. REP27 on Europe Services, SE, rekisteröity Prahassa vuodesta 2014 (Y-tunnus 03571785).
• Toimivallan laajuus: Valtuutuksen tulee rajoittua tiukasti 18 artiklan 3 kohtaan. Kukaan tarjoaja ei voi laillisesti kattaa CRA:n 13 artiklan velvoitteita.
• Läpinäkyvyys: Uusintahinnat ja sisältyvät palvelut tulee julkaista ja vahvistaa kirjallisesti ennen maksua. REP27 julkaisee kaikki uusintahinnat ja toimivallan etukäteen.
• Varmennus: Etsi varmennettava todistus (esim. QR-koodi, julkinen vahvistussivu) osoittamaan vaatimustenmukaisuus viranomaisille ja asiakkaille.
• Tuki ja viestintä: Varmista tarjoajan prosessi pyyntöjen välittämiseen, tuetut kielet ja vastausajat. REP27 takaa välityksen kahden työpäivän sisällä ja tarjoaa tietosuojaselosteen 8 kielellä.

Vertaa, mitä sisältyy, mitä ei ja mahdolliset lisämaksut:

Pyydä aina kirjallinen erittely siitä, mitä katetaan, erityisesti jos tarjoaja ei julkaise tätä tietoa. Näin vältät yllätykset ja maksat vain tarpeellisesta.

Mitä hinta todella sisältää & piilokustannukset CRA-edustuksessa

Useimpien tarjoajien julkaistut hinnat kattavat vain laillisen valtuutuksen ja perusviestintävelvoitteet. Suurimmat kustannukset CRA-vaatimusten noudattamisessa ovat yleensä sisäisiä: suunnittelu, dokumentaatio, SBOM (Software Bill of Materials) -luonti ja vähintään viiden vuoden tukikauden varmistaminen tietoturvapäivityksille. Tärkeille luokan II tai kriittisille tuotteille vaaditaan ilmoitetun laitoksen arviointi, joka on huomattavasti kalliimpaa kuin edustajan maksu.

REP27:n hinnoittelu on läpinäkyvä: 490 €/vuosi pelkkä CRA, 690 €/vuosi CRA+GDPR ja 990 €/vuosi CRA+GDPR+NIS2, alhaisemmilla uusintahinnoilla. Valtuutus sisältää kirjallisen 18 artiklan nimityksen, varmennettavan todistuksen, henkilöstön ylläpitämän haavoittuvuuksien raportointipisteen ja pyyntöjen välityksen. Se ei sisällä vaatimustenmukaisuuden arviointia, testausta, SBOM-luontia tai poikkeamaraportointia – nämä ovat aina valmistajan vastuulla tai vaativat ilmoitetun laitoksen.

Seuraa piilokustannuksia:

• Hiljaiset uusinnat tai epäselvät uusintahinnat (yleistä markkinoilla).
• Pyynnöittäin veloitettavat maksut viranomaisviestinnän tai haavoittuvuuksien raportoinnin välittämisestä.
• Palveluiden rajoitukset, kuten pyyntöjen tai kielten määrä.
• Vastuuvapautukset ja rajoitukset yleisissä ehdoissa.

REP27 ilmoittaa kaikki uusintahinnat etukäteen ja listaa poissulkemiset selkeästi. Pyydä aina kirjallinen vahvistus siitä, mitä sisältyy ja mitä ei, ennen sopimuksen tekemistä.

Nimeämisprosessi: vaiheittainen opas ja päätösmatriisi

Valtuutetun edustajan nimeäminen on suoraviivainen mutta tärkeä prosessi. Tässä käytännön ohjeet:

1. Arvioi sijaintisi: Varmista, että yrityksesi on EU:n ulkopuolella ja myyt digitaalisia tuotteita EU:ssa.
2. Tarkista velvoitteesi: Selvitä, kuuluvatko tuotteesi CRA:n piiriin ja oletko valmistaja, et pelkkä maahantuoja tai jakelija.
3. Valitse tarjoaja: Vertaa tarjoajia oikeushenkilön, hinnan, toimivallan ja läpinäkyvyyden perusteella. Pyydä kirjallinen erittely sisällöstä.
4. Allekirjoita valtuutus: Tee kirjallinen sopimus, jossa määritellään 18 artiklan velvoitteet. REP27 antaa nimityksen 24 tunnin sisällä varmennettavan todistuksen kera.
5. Päivitä vaatimustenmukaisuusasiakirjat: Lisää edustajan tiedot teknisiin tiedostoihin, tietosuojaselosteisiin ja haavoittuvuuksien raportointiohjeisiin.
6. Valmistaudu raportointiin: Varmista, että tiimisi tuntee 24 tunnin haavoittuvuuksien raportointiprosessin, joka alkaa 11.9.2026.

Päätösmatriisi

Varmista aina kirjallisesti, kuka toimii edustajana, erityisesti jos käytät maahantuojia tai jakelijoita.

Riskejä, sakkoja ja mitä tarjoajat yleensä eivät kerro

Vaatimusten noudattamatta jättämisen riskit: Valtuutetun edustajan nimeämättä jättäminen voi johtaa valvontatoimiin ja merkittäviin sakkoihin. GDPR:n yhteydessä edustajan nimeämättä jättäminen johti Locatefamily.comille 525 000 euron sakkoon. CRA:ssa rikkomukset ovat itsenäisiä, ja sakot voivat olla jopa 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta 18 artiklan rikkomisesta.

Mitä tarjoajat yleensä eivät kerro:

• Valtuutuksen rajoitukset: Edustajan rooli rajoittuu viestien välittämiseen ja yhteyspisteenä toimimiseen. He eivät tee vaatimustenmukaisuuden arviointeja, tuotetestausta tai SBOM-luontia – nämä ovat aina valmistajan vastuulla.
• Poissulkemiset: REP27 listaa selkeästi, mitä ei sisälly: vaatimustenmukaisuuden arviointi, testaus, SBOM ja poikkeamaraportointi. Monet tarjoajat eivät julkaise näitä poissulkemisia, mikä voi johtaa väärinymmärryksiin velvoitteista.
• Uusinta- ja pyyntömaksut: Hiljaiset uusinnat ja piilokustannukset ovat yleisiä. Vaadi aina kirjallinen vahvistus uusintahinnoista ja lisämaksuista.
• Vastuunrajoitukset: Edustajat rajoittavat vastuunsa pyyntöjen välittämiseen ja dokumentointiin. He eivät ota vastuuta suunnittelusta tai tietoturvasta.
• Irtisanomisajat: Irtisanomis- tai vaihtoaikatauluja ei yleensä ilmoiteta etukäteen. REP27 tarjoaa vaihtohinnan ja yhden uusintapäivän yhdistetyille valtuutuksille.

Vältä yllätykset pyytämällä yksityiskohtainen palvelukuvaus, mukaan lukien kaikki poissulkemiset ja rajoitukset, ennen sopimuksen tekemistä.

Realistisia skenaarioita & helpoimmat vaatimustenmukaiset reitit: käytännön esimerkkejä

• Yhdysvaltalainen SaaS-yritys: Yhdysvalloissa toimiva SaaS-palveluntarjoaja myy tilauksia EU-asiakkaille. 11.9.2026 alkaen sen on nimettävä EU:n valtuutettu edustaja CRA:n 18 artiklan velvoitteisiin. Helpoin tapa on valita REP27 490 €/vuosi, joka tarjoaa kirjallisen valtuutuksen, varmennettavan todistuksen ja henkilöstön ylläpitämän raportointipisteen. Yritys lisää edustajan tiedot tietosuojaselosteeseensa ja haavoittuvuuksien raportointiohjeisiin.
• Kiinalainen Amazon-myyjä: Kiinalainen valmistaja myy merkkituotteita IoT-laitteita Amazonissa EU-asiakkaille. Jos Amazon toimii maahantuojana, edustajan nimeämisvelvollisuus on Amazonilla. Jos myyjä on valmistaja ja myy omalla brändillään, sen on nimettävä valtuutettu edustaja. Vaihtoehtoja ovat REP27, kadano tai Euverify. Myyjän tulee kirjallisesti varmistaa Amazonin kanssa, kuka on taloudellinen toimija.
• Brittiläinen verkkokauppa: Iso-Britanniassa toimiva jälleenmyyjä myy älykotilaitteita EU-kuluttajille. EU:n ulkopuolisena valmistajana sen on nimettävä EU:n valtuutettu edustaja CRA-vaatimusten täyttämiseksi. REP27 tarjoaa yhdistettyjä valtuutuksia (CRA+GDPR+NIS2) 990 €/vuosi, mikä helpottaa useiden säädösten noudattamista. Jälleenmyyjä allekirjoittaa valtuutuksen, päivittää vaatimustenmukaisuusasiakirjat ja valmistautuu 24 tunnin haavoittuvuuksien raportointiin.

Ostajan tarkistuslista

1. Vahvista yrityksesi perustamismaa ja oletko valmistaja.
2. Tarkista, myytkö tuotteita EU:ssa ja kuuluvatko ne CRA:n piiriin.
3. Tarkista, toimiiko maahantuojasi tai jakelijasi taloudellisena toimijana; jos ei, sinun on nimettävä edustaja.
4. Vertaa tarjoajia läpinäkyvyyden, toimivallan ja hinnan perusteella. Pyydä kirjallinen vahvistus sisällöstä ja poissulkemisista.
5. Allekirjoita kirjallinen valtuutus ja hanki varmennettava todistus.
6. Päivitä vaatimustenmukaisuusasiakirjat, tietosuojaselosteet ja haavoittuvuuksien raportointiohjeet edustajan tiedoilla.
7. Kouluta tiimisi 24 tunnin haavoittuvuuksien raportointivelvoitteisiin 11.9.2026 alkaen.
8. Tarkista uusintaehdot, irtisanomisajat ja mahdolliset lisämaksut ennen sitoutumista.