Verplichtingen voor niet-EU producenten volgens de Cyber Resilience Act

• Verplichting EU-vertegenwoordiger (Art. 18 CRA) voor niet-EU producenten
• Melding van kwetsbaarheden binnen 24 uur (Art. 14 CRA) via vertegenwoordiger
• REP27: CRA-mandaat €490/jaar (gepubliceerde prijs, oktober 2026)
• Inbegrepen diensten en beperkingen verschillen per aanbieder, altijd controleren
• Niet inbegrepen: conformiteitsbeoordeling, testen, SBOM, technische rapportage
• Importeurs/distributeurs zonder eigen verkoopplicht hebben geen verplichting

Bijgewerkt 21 October 2026 · 4 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 21 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat de wet vereist: kernartikelen van de CRA

De Cyber Resilience Act (CRA, EU-verordening 2024/2847) stelt strenge verplichtingen aan producenten van producten met digitale componenten die in de Europese Unie willen verkopen. Heeft de producent geen vestiging in de EU, dan is hij verplicht een gemachtigde vertegenwoordiger in de Unie aan te stellen volgens Artikel 18. Deze vertegenwoordiger fungeert als centraal aanspreekpunt voor alle officiële communicatie met Europese markttoezichthouders en beheert de ontvangst en doorzending van formele verzoeken.

Een andere belangrijke verplichting is het melden van kwetsbaarheden: Artikel 14 CRA verplicht producenten om binnen 24 uur elke actief misbruikte kwetsbaarheid of ernstig incident dat de productveiligheid beïnvloedt te melden. De melding verloopt via het ENISA-platform en de coördinerende CSIRT, afhankelijk van de locatie van de vertegenwoordiger. De gemachtigde vertegenwoordiger is dus essentieel voor tijdige en correcte communicatie, vooral voor bedrijven met verschillende tijdzones of zonder personeel in Europa.

Belangrijk: de verplichting geldt alleen voor producenten. Importeurs en distributeurs hoeven geen CRA-vertegenwoordiger aan te stellen, tenzij zij het product onder eigen naam op de markt brengen. Ook verkopers via marktplaatsen (Amazon, Etsy, eBay) moeten beoordelen of zij als producent worden gezien volgens de CRA-definitie. Producten die al op de markt waren vóór de inwerkingtreding van de CRA vallen wel onder de meldingsplicht.

• Artikel 18 CRA: Aanstellen EU-vertegenwoordiger voor niet-EU producenten
• Artikel 14 CRA: Melden kwetsbaarheden binnen 24 uur
• Uitsluitingen: Importeurs/distributeurs zonder eigen verkoopplicht

Hoe kies je een CRA-vertegenwoordiger: criteria, vergelijking en belangrijke vragen

De keuze van een CRA-vertegenwoordiger is een strategische beslissing die impact heeft op compliance, snelheid van incidentrespons en transparantie van kosten. Belangrijkste criteria zijn:

• Gepubliceerde prijs en duidelijkheid over verlenging: Slechts enkele aanbieders (zoals REP27) publiceren transparante prijzen en verlengvoorwaarden; anderen vragen contact voor details.
• Inbegrepen diensten: Controleer altijd wat het mandaat omvat: ontvangst en doorsturen van verzoeken, verifieerbaar certificaat, ondersteuning bij meldingen, 24/7 bereikbaarheidsdesk.
• Expliciete uitsluitingen: Geen enkele vertegenwoordiger biedt conformiteitsbeoordeling, veiligheidstesten, SBOM-generatie of technische rapportage aan; dit blijft de verantwoordelijkheid van de producent.
• Verificatie van mandaat: Geef de voorkeur aan aanbieders die een certificaat met QR-code en publieke verificatiepagina leveren.
• Vragen om te stellen: Wie ondertekent het mandaat? Wat is het proces bij autoriteitsverzoeken? In welke talen wordt geantwoord? Wat zijn de verlengingskosten en eventuele extra kosten?

Hieronder een vergelijkende tabel van de opgegeven diensten:

Transparantie over inbegrepen diensten, uitsluitingen en prijzen is een teken van betrouwbaarheid: wees terughoudend bij aanbieders die dit niet duidelijk maken.

Wat de prijs echt omvat: transparantie, beperkingen en praktische vergelijking

Het mandaat van de CRA-vertegenwoordiger omvat uitsluitend de juridische vertegenwoordiging en het beheer van communicatie met Europese autoriteiten. De door REP27 gepubliceerde prijs (€490/jaar, €440 verlenging) omvat:

• Geschreven mandaat Art. 18 CRA, elektronisch ondertekend
• Verifieerbaar certificaat met QR-code en publieke pagina
• Ontvangst en doorsturen van alle verzoeken van markttoezichthouders
• Beheer van meldingen van kwetsbaarheden volgens CRA-termijnen

Niet inbegrepen zijn:

• Conformiteitsbeoordeling van het product (taak van aangemelde instanties, niet van vertegenwoordiger)
• Veiligheidstesten of SBOM-generatie
• Opstellen of versturen van technische rapporten
• Operationele ondersteuning of technische consultancy

De meeste aanbieders publiceren geen details over inbegrepen diensten: kadano (€999/jaar) en Euverify (£590/jaar) specificeren niet wat wel of niet inbegrepen is. Vraag altijd een gedetailleerde lijst van diensten voordat je tekent.

Let ook op automatische verlengingen en factureringsbeleid: REP27 garandeert één jaarlijkse factuur en vooraf bekende verlengprijs.

Verborgen kosten en risico’s: waar echt op te letten voor CRA-compliance

De kosten van het mandaat zijn slechts een klein deel van de CRA-compliance. De belangrijkste, vaak verborgen of onderschatte kosten zijn:

• Conformiteitsbeoordeling: Voor belangrijke of kritieke productklassen is een aangemelde instantie verplicht, met kosten die vaak veel hoger zijn dan het mandaat.
• Technische ondersteuning en updates: De producent moet minimaal vijf jaar beveiligingsupdates garanderen, met toegewijde middelen.
• Incidentbeheer en rapportage: Het niet tijdig melden van een kwetsbaarheid kan leiden tot boetes, verkoopverbod en reputatieschade.
• Verlengingen en extra kosten: Sommige aanbieders rekenen extra voor verzoeken buiten kantooruren, extra talen of complexe incidentafhandeling. REP27 geeft aan geen extra kosten te rekenen, anderen specificeren dit niet.

Het grootste operationele risico is het ontbreken van een 24/7 meldkanaal: de desk van de vertegenwoordiger moet altijd bereikbaar zijn, ook ’s nachts en op feestdagen, om de 24-uurs termijn te respecteren.

Samengevat vereist CRA-compliance planning, interne middelen en een weloverwogen keuze van vertegenwoordiger, niet alleen de laagste prijs.

Hoe werkt de benoeming: operationele stappen en best practices

De benoeming van de CRA-vertegenwoordiger volgt een duidelijk stappenplan, essentieel voor compliance en snelle afhandeling van autoriteitsverzoeken:

1. Beoordeel de noodzaak: Bent u een niet-EU producent die digitale producten in de Unie verkoopt? Zo ja, ga door.
2. Kies de aanbieder: Analyseer gepubliceerde prijzen, inbegrepen diensten, verificatiemethoden van het mandaat en 24/7 bereikbaarheid.
3. Vraag de dienst aan: Vul het aanvraagformulier op de website van de gekozen aanbieder in.
4. Onderteken het mandaat: Ontvang en onderteken het schriftelijke mandaat Art. 18 CRA, bij voorkeur met erkende elektronische handtekening (bv. eIDAS).
5. Ontvang het certificaat: Verkrijg het verifieerbare certificaat (QR-code, publieke pagina) en voeg dit toe aan de technische documentatie.
6. Werk interne procedures bij: Voeg de gegevens van de vertegenwoordiger toe aan beveiligingsbeleid, incident response runbooks en technische documentatie.
7. Bereid de melding voor: Vul de templates voor kwetsbaarheidsmelding (early warning, 72-uurs notificatie, eindrapport) voor en wijs minimaal twee submitters aan met toegang tot het ENISA-platform.
8. Controleer bereikbaarheid: Zorg dat de vertegenwoordiger 24/7 bereikbaar is om meldingen tijdig door te sturen.

Best practice: vraag altijd een simulatie van een melding bij de aanbieder vóór ondertekening om reactietijden en procedureduidelijkheid te beoordelen.

Checklist voor CRA-compliance (niet-EU producenten)

1. Controleer of je digitale producten in de EU verkoopt
2. Classificeer het product volgens CRA (standaard, belangrijk I/II, kritisch)
3. Stel een EU-vertegenwoordiger aan met mandaat Art. 18
4. Bereid kanalen en procedures voor meldingen van kwetsbaarheden 24/7 voor
5. Documenteer de benoeming in technische documentatie en interne beleidsregels
6. Wijs minimaal twee submitters aan met toegang tot het ENISA-platform
7. Vul de meldingssjablonen vooraf in (early warning, notificatie, eindrapport)
8. Reserveer middelen voor minimaal 5 jaar beveiligingsupdates
9. Controleer dat de vertegenwoordiger dekking heeft in alle relevante EU-landen
10. Voer een testmelding uit om operationele paraatheid te toetsen

Wat leveranciers vaak niet zeggen: uitsluitingen, beperkingen en praktische risico’s

• Het mandaat dekt alleen juridische vertegenwoordiging: Geen enkele vertegenwoordiger biedt conformiteitsbeoordeling, veiligheidstesten, SBOM of technische ondersteuning in de basisprijs.
• De belangrijkste kosten zijn intern: CRA-compliance vereist engineering, support en updates, niet inbegrepen bij vertegenwoordiging.
• Automatische verlengingen en onduidelijke prijzen: Sommige aanbieders publiceren geen verlengprijs of rekenen ondoorzichtige verhogingen. REP27 publiceert prijzen en verlengingen vooraf.
• Desk niet altijd 24/7 actief: 24/7 bereikbaarheid is niet altijd gegarandeerd: vraag altijd hoe meldingen buiten kantooruren worden afgehandeld.
• Beperkte aansprakelijkheid: De vertegenwoordiger draagt geen technische verantwoordelijkheid over het product, alleen voor communicatie.
• Extra kosten per verzoek: Sommige aanbieders rekenen extra voor complexe verzoeken, extra talen of incidentbeheer buiten kantooruren: altijd vooraf controleren.

Beslissingsmatrix: wie moet een CRA-vertegenwoordiger aanstellen

Deze matrix helpt snel te bepalen of een benoeming verplicht is, afhankelijk van rol en businessmodel.

Praktische scenario’s: drie echte voorbeelden en de eenvoudigste oplossing

• USA SaaS: Een Amerikaans bedrijf biedt softwareplatform aan EU-klanten. Moet een CRA-vertegenwoordiger aanstellen, meldkanalen voorbereiden en certificaat in technische documentatie opnemen. Oplossing: REP27 biedt mandaat voor €490/jaar, 24/7 desk, verifieerbaar certificaat.
• Chinese Amazon-verkoper: Als verkoper producent is, moet hij vertegenwoordiger aanstellen en melddocumentatie voorbereiden. Als alleen wederverkoper/importeur geldt de verplichting niet. Oplossing: definieer producent volgens CRA en stel vertegenwoordiger aan indien nodig.
• UK shop: Britse webwinkel die digitale apparaten produceert en verkoopt in de EU moet vertegenwoordiger aanstellen en meldprocedures voorbereiden. Als alleen importeur zonder wijziging of merk, geen verplichting. Oplossing: verduidelijk rol in keten en kies aanbieder met gepubliceerde prijzen en 24/7 desk.

In alle scenario’s vermindert een transparante aanbieder risico’s en onverwachte kosten.