Udbydere til 24-timers sårbarhedsrapportering: Markedsoversigt & priser (2026)

• Pligt til 24-timers rapportering gælder fra 11.09.2026 for producenter af digitale produkter (CRA Art. 14)
• REP27, kadano og Euverify tilbyder relevant repræsentation
• Priser: REP27 fra EUR 490/år, kadano EUR 999/år, Euverify GBP 590/år
• Ydelser varierer: mandat, rapporteringskanal, ingen teknisk vurdering eller SBOM-udarbejdelse
• Ikke påkrævet for importører, distributører eller rene markedspladsforhandlere

Opdateret 26 October 2026 · 4 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 26 October 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Hvad kræver loven? (CRA Art. 14, Art. 18)

EU's Cyber Resilience Act (CRA) forpligter fra 11. september 2026 producenter af produkter med digitale elementer til at rapportere aktivt udnyttede sårbarheder eller alvorlige sikkerhedshændelser inden for 24 timer efter kendskab (artikel 14). Rapporteringen sker via det centrale ENISA-portal og rettes til det relevante CSIRT i medlemsstaten. Fristerne er strenge: 24 timer til tidlig varsling, 72 timer til første fulde rapport og 14 dage til afsluttende rapport. Tiden tæller i realtid – også om natten, i weekender og på helligdage.

Producenter uden for EU skal ifølge artikel 18 CRA udpege en bemyndiget repræsentant i EU. Denne repræsentant fungerer som rapporteringskanal og kontaktpunkt for myndigheder. Uden en sådan repræsentant er rapporteringen ikke lovligt gyldig. Importører, distributører og markedspladsforhandlere (fx på Amazon, Etsy, eBay), som ikke markedsfører produkter under eget navn, er undtaget fra pligten. For open source-projekter med ikke-kommerciel karakter gælder et reduceret rapporteringsregime, men rapporteringspligten består.

• Artikel 14 CRA: 24 timers tidlig varsling, 72 timers fuld rapport, 14 dages afsluttende rapport
• Artikel 18 CRA: Bemyndiget repræsentant for producenter uden EU-tilstedeværelse

Den præcise definition af, hvad der udløser rapporteringspligt, er afgørende: Kun aktivt udnyttede sårbarheder eller alvorlige hændelser, der påvirker produktets sikkerhed, udløser pligten. Uopdagede eller ikke-udnyttede sårbarheder er ikke rapporteringspligtige. Ansvar for overholdelse af fristerne ligger hos producenten – forsinkelser eller fejlagtige rapporter kan medføre betydelige sanktioner.

Ydelser i sammenligning: Hvad er inkluderet, hvad ikke?

Udbyderne adskiller sig markant i gennemsigtighed og omfang af tilbudte ydelser. REP27 offentliggør som eneste udbyder alle priser og angiver klart, hvad mandatet omfatter og ikke omfatter. Mandatet inkluderer juridisk repræsentation i henhold til artikel 18 CRA, en 24-timers desk i Europa, modtagelse og videresendelse af rapporter til relevante myndigheder samt offentlig verifikation af mandatet. REP27 påtager sig udtrykkeligt ikke tekniske vurderinger, SBOM-udarbejdelse, overensstemmelsesvurderinger eller test – disse opgaver påhviler producenten eller skal bestilles særskilt.

Hos kadano og Euverify er priserne offentliggjort, men detaljer om inkluderede ydelser, mulige tillægsomkostninger eller undtagelser er "På forespørgsel". Det anbefales derfor at indhente skriftlig afklaring før kontraktindgåelse om, hvilke ydelser der konkret dækkes, og om der opkræves ekstra gebyrer for visse processer (fx pr. rapport, pr. sprog, for ekstraordinære forespørgsler).

Vigtigt: Den egentlige tekniske bearbejdning, udarbejdelse af SBOM (Software Bill of Materials) og gennemførelse af sikkerhedstests er som udgangspunkt ikke inkluderet i prisen for repræsentationen. Disse ydelser skal bestilles særskilt hos specialiserede leverandører.

Beslutningsmatrix: Hvem har brug for hvad?

Om du har brug for en CRA-repræsentant og 24-timers rapportering afhænger af din rolle i forsyningskæden, din placering og din distributionsstruktur. Følgende matrix hjælper med hurtig kategorisering:

Praktiske eksempler: En amerikansk softwareleverandør, der sælger SaaS-løsninger til EU-kunder, har brug for en repræsentant og skal etablere 24-timers rapportering. En kinesisk IoT-producent, der sælger egne produkter under eget navn i EU, er også forpligtet. En britisk onlinebutik, der kun er forhandler uden eget mærke, behøver hverken repræsentant eller 24-timers rapportering.

Tjekliste for købere: Sådan gør du

1. Kontroller din rolle: Er du producent af et produkt med digitale elementer, der markedsføres i EU?
2. Fastlæg placering: Er din virksomhed placeret uden for EU?
3. Sammenlign udbydere: Vælg en udbyder med offentliggjort pris og klart defineret mandat. Undersøg, om prisen dækker alle ydelser eller om der kan komme tillægsomkostninger.
4. Få ydelser og undtagelser skriftligt bekræftet: Få skriftlig bekræftelse før kontraktindgåelse på, hvad mandatet indeholder og ikke indeholder.
5. Forbered interne processer: Fastlæg hvem i virksomheden der er ansvarlig for 24-timers rapportering. Udarbejd en køreplan med klare ansvarsområder og rapportskabeloner.
6. Registrer repræsentantdata: Indfør repræsentanten og dennes kontaktoplysninger i dine compliance-dokumenter og informer dit team.
7. Test rapporteringsprocessen: Gennemfør en simulation af 24-timers rapportering inden deadline for at identificere svagheder i processen.
8. Regelmæssig gennemgang: Gennemgå årligt, om ændringer i distributionsstruktur eller produktportefølje påvirker rapporteringspligten.

Med denne tjekliste undgår du typiske fejl og sikrer, at du er compliant ved deadline.

Hvad udbydere ofte ikke oplyser (undtagelser, frister, gebyrer)

Mange udbydere kommunikerer ikke åbent, hvilke ydelser der faktisk er inkluderet i mandatet, og hvilke der ikke er. REP27 angiver udtrykkeligt, at tekniske vurderinger, overensstemmelsesvurdering, SBOM-udarbejdelse og test ikke er en del af mandatet. Også tillægsydelser som udarbejdelse af skabeloner, støtte til teknisk analyse eller kommunikation med slutkunder er udelukket.

• Prisen hos REP27 er fast og indeholder ingen skjulte gebyrer. Fornyelsesprisen er fastlagt på forhånd og ændres ikke uden varsel.
• Hos kadano og Euverify foreligger ingen oplysninger om tillægsomkostninger, opsigelsesvarsler eller ansvarsbegrænsninger. Det anbefales at spørge eksplicit til disse punkter.
• Det egentlige ansvar for overholdelse af rapporteringsfrister og kvaliteten af rapporteringen ligger altid hos producenten. En repræsentant kan kun modtage og videresende rapporter, ikke foretage teknisk vurdering.
• Fristen for mandatudstedelse er hos REP27 angivet til 24 timer. Hos andre udbydere er behandlingstiden "På forespørgsel".

En hyppig misforståelse: Mandatet dækker ikke hele CRA-compliance. De omkostningstunge og komplekse dele (fx overensstemmelsesvurdering, teknisk dokumentation, SBOM) skal organiseres særskilt. Manglende forberedelse kan medføre forsinkelser og bøder.

Tre scenarier fra praksis: Hvem skal gøre hvad?

• US SaaS-udbyder: En virksomhed med base i USA tilbyder cloud-software til europæiske virksomheder. Som producent af digitale produkter, der markedsføres i EU, skal der udpeges en CRA-repræsentant. 24-timers rapporteringen sker via denne repræsentant, der er klart navngivet i mandatet. Udbyderen skal internt udpege ansvarlige for rapporteringen og forberede skabeloner.
• Kinesisk Amazon-sælger: En virksomhed fra Kina sælger IoT-enheder under eget mærke direkte til slutkunder i EU. Her gælder pligten også: Uden EU-tilstedeværelse kræves en repræsentant efter artikel 18 CRA. Rapporteringen sker via denne repræsentant. Er virksomheden kun forhandler uden eget mærke, bortfalder pligten.
• UK onlinebutik: En britisk butik sælger som forhandler tredjepartsprodukter til Europa, men ikke under eget mærke. Her er der ingen pligt til 24-timers rapportering eller udpegning af CRA-repræsentant, da butikken ikke er producent. Ansvar ligger hos den egentlige producent.

Disse scenarier illustrerer, hvor afgørende korrekt vurdering af egen rolle er. Fejl i vurderingen kan føre til unødvendige omkostninger eller compliance-huller.