Cyber Resilience Act 24-timmars sårbarhetsrapportering: Leverantörer & Priser (2026)

• CRA Artikel 14 kräver 24-timmars rapportering av utnyttjade sårbarheter till ENISA.
• Icke-EU-tillverkare måste utse en EU-baserad auktoriserad representant för rapportering.
• REP27 — Europe Services, SE tar €490/år för Artikel 18-uppdraget.
• Konkurrentpriser: kadano (€999/år), Euverify (£590/år), andra på begäran.
• Juridisk rådgivning, SBOM-generering och överensstämmelsebedömning ingår inte hos REP27.
• Ej krav för importörer, distributörer eller äldre produkter som släppts före 11 sep 2026.

Uppdaterad 17 October 2026 · 8 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 17 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad lagen kräver: CRA Artikel 14 & 18

Cyber Resilience Act (CRA) inför ett strikt regelverk för tillverkare som släpper produkter med digitala element på EU-marknaden. Artikel 1 definierar omfattningen: hårdvara och mjukvara med digitala element, inklusive uppkopplade enheter, firmware och appar, omfattas. Artikel 10 ställer grundläggande krav på cybersäkerhetsåtgärder genom hela produktens livscykel, medan Artikel 11 beskriver tillverkarens skyldigheter, såsom riskbedömning, hantering av sårbarheter och överensstämmelsebedömning.

Artikel 14 är central: den kräver att tillverkare rapporterar varje aktivt utnyttjad sårbarhet eller allvarlig incident som påverkar produktsäkerheten till ENISA via den enda rapporteringsplattformen inom 24 timmar från det att de blir medvetna. Skyldigheten utlöses av trovärdiga bevis på utnyttjande eller en betydande säkerhetshändelse, inte bara av upptäckt av en sårbarhet. 24-timmarsklockan räknas i kalender timmar, inklusive nätter, helger och helgdagar.

För tillverkare etablerade utanför EU kräver Artikel 18 att en auktoriserad representant etablerad i EU utses. Denna representant ansvarar för hanteringen av 24-timmarsrapporteringen och fungerar som officiell kontaktpunkt för EU-myndigheter. Importörer och distributörer har egna skyldigheter enligt Artikel 12, men huvudansvaret för rapportering ligger på tillverkaren eller dess auktoriserade representant.

Produkter som släppts på EU-marknaden före 11 september 2026 är undantagna från 24-timmarsrapporteringen men måste följa andra CRA-bestämmelser. Underlåtenhet att följa kan leda till böter upp till €15 miljoner eller 2,5 % av global årsomsättning, beroende på vilket som är högst. Lagen är tydlig: om du är en icke-EU-tillverkare som säljer digitala produkter i EU efter detta datum måste du ha en auktoriserad representant redo att agera inom 24 timmar vid varje kvalificerande incident.

Hur man väljer en CRA auktoriserad representant

Att välja rätt auktoriserad representant är avgörande för efterlevnad och operativ effektivitet. Börja med att verifiera leverantörens juridiska enhet, etablering i EU och meritlista. Till exempel är REP27 — Europe Services, SE etablerat i Prag, Tjeckien, och har varit aktivt sedan 2018, med uppdrag undertecknade för företag i 24 länder.

Viktiga urvalskriterier inkluderar:

• Transparent prissättning: Leta efter tydliga, publicerade priser och förnyelsevillkor. REP27 publicerar både första årets och förnyelsepriser. Vissa leverantörer, som kadano och Euverify, publicerar också priser, medan andra kräver offert.
• Uppdragets omfattning: Säkerställ att uppdraget är begränsat till Artikel 18-plikterna. Alltför breda uppdrag kan påstå sig täcka Artikel 13-ansvar, vilket Artikel 18(2) förbjuder. REP27 begränsar uttryckligen sitt uppdrag till Artikel 18-rapportering.
• Tillgänglighet: Rapporteringens desk bör vara bemannad dygnet runt, inklusive helger och helgdagar. REP27 garanterar kontinuerlig täckning, medan detaljer för andra leverantörer kan kräva bekräftelse.
• Certifikatverifiering: Ett verifierbart certifikat (som REP27:s QR-kod och offentlig verifiering) ger bevis på uppdraget och kan kontrolleras av myndigheter eller kunder.
• Undantag: Klargör vad som inte ingår, såsom juridisk rådgivning, SBOM-generering eller teknisk testning. REP27 listar alla undantag tydligt; många konkurrenter gör inte det.

Paketlösningar (t.ex. teknisk skanning, SBOM-generering) kan vara användbara om du saknar interna resurser, men kontrollera alltid för dolda kostnader, oklara förnyelsepriser eller vaga tjänstebeskrivningar. Be om processen skriftligt, inklusive hur förfrågningar hanteras, på vilka språk och under vilka tider.

Slutligen, säkerställ att leverantörens uppdrag är verifierbart och att deras process för vidarebefordran av myndighetsförfrågningar är snabb och dokumenterad. Detta är inte bara en kryssruta för efterlevnad – förseningar eller misskommunikation kan få juridiska och kommersiella konsekvenser.

Vad priset verkligen inkluderar: Leverantörsjämförelse

Att förstå vad som ingår i det publicerade priset är avgörande för att undvika överraskningar. Nedan följer en detaljerad jämförelse av vad varje leverantör erbjuder, baserat på tillgängliga uppgifter:

REP27:s pris (€490/år, €440 vid förnyelse) gäller endast för Artikel 18-uppdraget, med tydliga undantag. Kadano och Euverify publicerar priser men specificerar inte offentligt vad som ingår eller undantas. Leverantörer som ResilienceWP och Seentrix erbjuder ytterligare tekniska tjänster (SBOM, skanning, dokumentation), men pris och omfattning finns endast på begäran.

Begär alltid en detaljerad tjänstebeskrivning och bekräftelse på förnyelsepriser innan du skriver på. Det dyraste misstaget är att anta att teknisk efterlevnad eller juridisk rådgivning ingår när det inte gör det.

Dolda kostnader & vad leverantörer oftast inte säger

Även om grundpriset är viktigt kan dolda kostnader och undantag ha stor påverkan på din efterlevnadsbudget och operativa risk. Här är vad leverantörer ofta inte avslöjar i förväg:

• Undantag: REP27 är tydlig: ingen juridisk rådgivning, DPO-tjänster, tekniska efterlevnadsbedömningar, SBOM-generering eller testning ingår. Många konkurrenter publicerar inte sådana undantag, så fråga alltid. Teknisk efterlevnad (SBOM, överensstämmelsebedömning, teknik) ingår aldrig i ett rent representantuppdrag och måste budgeteras separat.
• Förnyelsepriser: Vissa leverantörer erbjuder lågt pris första året men publicerar inte förnyelsepriser. REP27 publicerar båda. Få alltid förnyelsevillkor skriftligt för att undvika oväntade prisökningar.
• Avgifter per förfrågan: Vissa representanter kan ta extra betalt för varje myndighets- eller registrerades begäran, eller för brådskande rapportering. REP27 anger inga sådana avgifter, men det gäller inte alltid hos andra. Klargör innan du skriver på.
• Uppsägning och byte: Processen för att avsluta uppdraget eller byta leverantör är sällan detaljerad. Fråga om uppsägningstider och eventuella avgifter.
• Ansvarsbegränsningar: De flesta representanter begränsar sitt ansvar för missade deadlines eller felaktiga rapporter. Dessa begränsningar avslöjas inte alltid offentligt.
• Paketlösningar: Leverantörer som erbjuder tekniska tjänster (t.ex. SBOM, skanning) kan ta betydande extra avgifter eller kräva långtidskontrakt. Bekräfta omfattning och pris skriftligt.

Sammanfattningsvis inkluderar den verkliga kostnaden för efterlevnad inte bara representantens avgift utan även dina interna ingenjörsresurser, teknisk efterlevnad och kostnader för att upprätthålla en 24/7 incidenthantering. Begär alltid fullständig kostnadsuppdelning och skriftlig bekräftelse på alla villkor innan du binder dig.

Så fungerar utnämningen: Steg för steg

Att utse en CRA auktoriserad representant är en process som kräver noggrann planering och dokumentation. Här är en praktisk steg-för-steg-guide baserad på nuvarande bästa praxis och lagkrav:

1. Bedöm tillämplighet: Bekräfta att din produkt är ett digitalt element (hårdvara/mjukvara) som släpps på EU-marknaden efter 11 september 2026. Om så är fallet gäller CRA:s 24-timmars rapporteringskrav.
2. Välj leverantör: Jämför leverantörer baserat på publicerat pris, omfattning, undantag och rykte. Begär alla villkor och förnyelsepriser skriftligt.
3. Kontrakt och uppdrag: Skriv ett skriftligt uppdragsavtal med din valda auktoriserade representant. REP27 utfärdar ett undertecknat Artikel 18-uppdrag och verifierbart certifikat inom 24 timmar. Säkerställ att den juridiska enheten är etablerad i EU och registrerad i handelsregistret.
4. Uppdatera dokumentation: Registrera representantens uppgifter i din efterlevnadsmanual. Förbered en tydlig rapporteringsprocess, inklusive vem som kan deklarera en incident och hur bevis dokumenteras.
5. Intern förberedelse: Namnge minst två medarbetare som kan lämna in rapporter via ENISA-plattformen, helst i olika tidszoner. Förbered mallar för tidiga varningar och tilldela ansvar för 72-timmarsnotifiering och användarkommunikation.
6. Incidenthantering: När en kvalificerande sårbarhet eller incident upptäcks, meddela representanten omedelbart. Representanten lämnar in tidig varning till ENISA/CSIRT inom 24 timmar och följer sedan upp med 72-timmarsnotifiering och slutrapport.
7. Dokumentation: För noggranna loggar över medvetenhet, inlämningstider och kommunikation. Detta är viktigt om din efterlevnad ifrågasätts av myndigheter.
8. Löpande granskning: Granska regelbundet dina processer och uppdatera kontaktuppgifter, mallar och ansvar efter behov.

Denna process säkerställer att du uppfyller CRA:s strikta tidsfrister och undviker böter. Nyckeln är förberedelse: definiera utlösare, tilldela roller och öva arbetsflödet innan lagen träder i kraft.

Risker, böter och efterlevnadstider

Cyber Resilience Act medför betydande juridiska och ekonomiska risker vid bristande efterlevnad. Artikel 15 beskriver tillsynsprocedurer och påföljder. Den mest omedelbara risken är att missa 24-timmarsrapporteringen för aktivt utnyttjade sårbarheter eller allvarliga incidenter. Klockan börjar ticka när du blir medveten, inte när utredningen är klar. Förseningar kan leda till böter upp till €15 miljoner eller 2,5 % av global omsättning, beroende på vilket som är högst.

Andra risker inkluderar:

• Förseningar i marknadstillträde: Underlåtenhet att utse representant eller tillhandahålla verifierbart certifikat kan fördröja produktlanseringar eller leda till upphandlingsstopp, särskilt i företagsförsäljningscykler.
• Tillsynsåtgärder: Myndigheter kan inleda utredningar, kräva dokumentation eller pålägga korrigerande åtgärder om rapporteringsskyldigheter inte uppfylls.
• Rykte och förtroende: Misslyckanden i offentlig rapportering kan skada varumärket och kundernas förtroende.
• Flera rapporteringsregimer: En enda incident kan kräva rapportering enligt CRA, NIS2, GDPR och GPSR, alla med olika tidsfrister och myndigheter. Exempelvis kan en ransomware-attack som utnyttjar din produkt kräva tre separata rapporter.

Efterlevnadstider är strikta: 24-timmarsrapportering gäller från 11 september 2026 för nya produkter. Äldre produkter som släppts före detta datum är undantagna från 24-timmarsregeln men måste följa andra CRA-bestämmelser. Supportperioden för säkerhetsuppdateringar – minst fem år – är en annan dold kostnad som måste planeras och budgeteras som en produktlinje, inte som ett engångsprojekt.

Sammanfattningsvis är riskerna vid bristande efterlevnad betydande och kostnaden för att inte förbereda sig är mycket högre än kostnaden för att utse en kvalificerad representant.

Beslutsmatris: Behöver du en CRA auktoriserad representant?

Använd följande matris för att avgöra om du behöver en CRA auktoriserad representant:

Denna matris täcker de flesta scenarier. Vid osäkerhet, rådgör med juridisk expertis eller kontakta en leverantör för förtydligande. Kom ihåg att skyldigheten ligger på tillverkaren eller dess utsedda representant, inte på importören eller distributören om de inte släpper produkten under eget namn.

Checklista: Steg till CRA 24-timmars rapporterings-efterlevnad

1. Kartlägg dina produkter: Lista alla produkter med digitala element som säljs i EU och deras lanseringsdatum.
2. Bedöm interna processer: Granska hur sårbarheter upptäcks, eskaleras och dokumenteras inom organisationen.
3. Välj representant: Jämför leverantörer, begär skriftlig bekräftelse på alla avgifter, förnyelsepriser och tjänsteomfattning.
4. Skriv uppdraget: Få ett undertecknat Artikel 18-uppdrag och verifierbart certifikat från vald leverantör.
5. Uppdatera dokumentation: Lägg till representantens uppgifter i din runbook och efterlevnadsdokumentation. Förbered mallar för tidiga varningar och notifieringar.
6. Tilldela rapporteringsroller: Namnge minst två inlämnare för ENISA-plattformen, helst i olika tidszoner.
7. Testa arbetsflödet: Genomför en övning som simulerar en utnyttjad sårbarhet för att säkerställa att alla känner till sina ansvar och tidsfrister.
8. Utbilda teamet: Informera personal om vad som utlöser 24-timmarsklockan och hur incidenter eskaleras.
9. Följ regulatoriska uppdateringar: Håll dig informerad om eventuella ändringar i CRA-krav eller rapporteringsplattformar före september 2026.
10. Granska och uppdatera regelbundet: Gå igenom processer och dokumentation årligen eller efter större incidenter.

Att följa denna checklista hjälper dig att vara förberedd för CRA:s strikta rapporteringskrav och undvika kostsamma böter.

Realistiska scenarier: Vilken väg gäller?

• Amerikanskt SaaS-företag som säljer till EU-företag: Företaget är en icke-EU-tillverkare som släpper digitala produkter på EU-marknaden. Det måste utse en auktoriserad representant för Artikel 18-rapportering (t.ex. REP27, kadano, Euverify). Det interna säkerhetsteamet upptäcker sårbarheter och meddelar representanten, som hanterar ENISA/CSIRT-inlämningar inom 24 timmar. Ingen importör eller distributör är involverad, så skyldigheten är direkt.
• Kinesisk Amazon-säljare som skickar IoT-enheter till EU-konsumenter: Om säljaren är tillverkaren och etablerad utanför EU måste denne utse en auktoriserad representant. Om Amazon agerar som importör kan rapporteringsskyldigheten flyttas till Amazon. Säljaren bör klargöra med plattformen och, om nödvändigt, utse en representant och uppdatera produktdokumentationen därefter.
• Brittisk webbutik som säljer egna routrar i EU: Som icke-EU-tillverkare måste det brittiska företaget utse en auktoriserad representant för 24-timmarsrapportering. Representantens uppgifter måste inkluderas i efterlevnadsdokumentationen och interna processer måste vara redo att snabbt eskalera incidenter. Om butiken också agerar som importör eller distributör under eget namn kan ytterligare skyldigheter gälla.

Dessa scenarier visar vikten av att kartlägga din leveranskedja och klargöra roller. Den enklaste efterlevnadsvägen är att utse en representant, dokumentera processen och säkerställa att ditt team är utbildat och redo för snabb respons.