聘请CRA授权代表的替代方案：服务提供商及2026年价格

• CRA第18条要求非欧盟制造商在欧盟销售产品时指定代表
• 欧盟境内制造商无需授权代表
• 进口商或分销商经指定可作为代表
• 2026年核实价格范围为每年490欧元至999欧元
• 授权代表职责仅限于代表，不包括合格评定或测试
• 非欧盟B2B及B2C数字产品销售者通常需此服务

已更新 19 October 2026 · 7 已检查来源

比较提供者

价格如在每个提供者的网站上发布的，日期为 19 October 2026，除非另有说明，不包括增值税。每一行链接到其来源。

网络韧性法要求（含条款编号）

网络韧性法（CRA，法规(EU) 2024/2847）是一项全面法规，规定了所有含数字元素产品在欧盟市场的强制网络安全要求。该法规适用于新旧产品，涵盖产品生命周期的设计、开发、维护及报废阶段。CRA于2024年12月10日生效，2027年12月11日起全面适用。

第18条是非欧盟制造商的核心要求：规定其必须指定设立于欧盟的授权代表。该代表作为市场监管机构的官方联络点，负责转发通信及文件。欧盟制造商无需指定代表。非欧盟制造商必须指定代表，或由进口商或分销商正式承担此角色，且须书面明确。

第14条规定了对被主动利用的漏洞或严重安全事件的24小时报告义务。制造商须在知晓事件后24小时内通知ENISA（欧盟网络安全局），72小时内提交完整通知，14天内提交最终报告。期限为日历小时，非工作小时，报告平台由ENISA管理。此义务由制造商承担，除非进口商或分销商以自身名义投放产品。

第53条规定了不合规的处罚，最高可达1500万欧元或全球年营业额的2.5%，取较高者。CRA通过CE标志和市场监管执行，适用于所有含数字元素且在欧盟销售的产品，无论制造商所在地。

• 第18条：非欧盟制造商授权代表
• 第14条：24小时漏洞报告
• 第53条：罚款及执法

更多法律文本信息，请参见欧盟官方摘要。

如何选择CRA授权代表

选择合适的CRA授权代表对非欧盟制造商至关重要。代表是您在欧盟的官方监管及市场监督联络点。选择时应考虑：

• 法人实体及所在地：确保服务商为欧盟注册法人。例如，REP27 — Europe Services, SE注册于捷克布拉格，可在捷克商业登记处验证。
• 价格透明度：选择明确公布首年及续约价格的服务商。REP27首年490欧元，续约440欧元，且捆绑授权价格更低。许多服务商未公布续约价，可能导致额外费用。
• 服务范围：核查授权范围。第18条授权应包含书面委任、可验证证书及转发监管通信的咨询台。部分服务商可能宣称提供更多服务，但法律规定代表不得执行合格评定或产品测试。
• 验证与文件：优质服务商提供带有二维码或公开验证页面的证书，方便监管机构及买家核实合规性。
• 排除项及限制：信誉良好的服务商会明确说明不包含合格评定、SBOM生成或事件响应等服务，避免误解及隐性费用。

下表汇总各服务商已知的包含与不包含内容：

签约前务必索取书面确认，明确服务范围、排除项及续约条款。

价格实际包含内容

CRA授权代表费用通常是合规预算中较小的部分，但理解所购服务内容至关重要。公布价格仅涵盖第18条授权，通常包括：

• 在欧盟书面委任代表
• 带二维码或公开验证页面的委任证书
• 接收并转发欧盟监管机构（含市场监管和CSIRT）通信的咨询台

价格不包括：

• 合格评定（重要的II类及关键产品需由公告机构完成，非代表职责）
• 安全测试或SBOM（软件物料清单）生成
• 事件响应或工程工作
• 向ENISA报告（代表仅转发，不撰写或提交报告）

部分服务商提供GDPR第27条、NIS2或GPSR授权捆绑服务，通常有折扣。例如，REP27提供CRA+GDPR合计690欧元/年，三项（CRA、GDPR、NIS2）990欧元/年。务必确认续约价格是否固定及是否对更换代表收取额外费用。

价格及包含内容汇总：

服务商须明确签署授权的法人实体，付款前务必核实。

隐藏费用及排除项

CRA授权代表费用通常明确，但合规的主要成本往往隐藏于内部，涉及工程、文档及持续支持：

• 合格评定：重要II类及关键产品需公告机构评定，费用数千欧元且耗时数月，代表不提供此服务。
• 安全测试与SBOM：软件物料清单生成及安全测试为技术要求，需由工程团队或外部安全公司完成，代表不包含此项。
• 支持期：CRA要求制造商至少提供五年安全更新，需预算持续维护与补丁，不是一次性项目。
• 事件响应：代表可转发漏洞报告，但制造商负责事件调查、报告及修复。
• 续约隐性涨价：部分服务商不公布续约价，可能无预警涨价，签约前务必书面确认续约价格。

下表基于现有信息总结各服务商包含与排除内容：

避免意外，务必索取完整排除项列表、终止通知期限及任何按请求或行政费用。

委任流程步骤

委任CRA授权代表流程简单，但需谨慎操作以确保合规。步骤如下：

1. 确认适用性：确认公司是否设立于欧盟外，且是否在欧盟市场投放含数字元素产品。欧盟制造商无需代表。
2. 选择路径：决定是委任CRA授权代表，还是由进口商或分销商承担此角色，须书面协议。
3. 选择服务商：基于公布价格、服务范围及透明度比较服务商，索取书面确认包含与排除内容。
4. 签署授权书：服务商出具授权书，通常电子签名，明确服务范围及法人实体。
5. 获取证书：取得带二维码或公开验证页面的委任证书，纳入技术文件及合规档案。
6. 更新文档：将代表信息更新至技术文件、操作手册及采购资料。
7. 准备报告：建立漏洞报告流程，满足第14条24小时通知要求，确保知晓代表及ENISA平台联系方式。

今日清单：

1. 梳理产品组合以确认CRA覆盖范围
2. 确定欧盟销售渠道（直销、市场、分销商）
3. 决定代表人选（如需）
4. 索取服务商价格、范围及续约条款书面确认
5. 准备漏洞报告流程并指定负责人

及时委任与清晰文档是避免市场准入延迟及监管处罚的关键。

不合规风险与罚款

未遵守CRA代表要求可能导致严重后果。根据第53条，罚款最高可达1500万欧元或全球营业额2.5%，取较高者。若未按要求委任代表或未履行报告及文档义务，将面临处罚。

不合规风险包括：

• 监管罚款：未委任代表、错过漏洞报告时限或缺乏合规文件，可能遭受巨额罚款。
• 市场准入延迟：无代表可能导致采购、认证或销售流程延误，买家及监管需合规证明。
• 事件响应失败：未能按时响应监管或CSIRT请求，风险加重罚款及声誉损失。
• 采购障碍：大型买家及分销商可能拒绝无有效代表授权的制造商合作。
• 责任归制造商：代表仅为联络点，产品合规、安全及事件响应法律责任由制造商承担。

为降低风险，确保委任文件完备，报告流程健全，合规档案及时更新。代表职责是防止事件延误及沟通障碍，不承担产品责任。

决策矩阵：是否需要CRA授权代表？

使用下表判断是否需委任CRA授权代表：

对于市场平台，务必书面确认其是否为进口商。如非，则您需委任代表。

服务商通常不提及的事项

服务商营销材料中可能未提及的CRA代表事项：

• 服务范围限制：第18条授权仅涵盖代表职责，不含合格评定、SBOM或事件响应。任何包含这些的声明均具误导性。
• 续约价格：多数服务商未公布续约价，可能导致无声涨价。签约前务必书面确认续约条款。
• 责任归属：代表不承担产品合规或安全事件法律责任，制造商承担全部责任。
• 通知期限及终止：终止协议或更换服务商的条款常未披露，签约前应询问清楚。
• 按请求或行政费用：部分服务商可能对特定请求或紧急通信收取额外费用，务必确认是否适用。
• 语言及响应时间：处理监管请求的语言能力及非工作时间响应能力差异较大。REP27提供24小时值守咨询台，其他服务商可能不具备。

透明度关键—决策前请索取完整排除项、限制及条款列表。

现实场景：选择合适路径

• 美国SaaS公司向欧盟企业销售：作为非欧盟制造商，必须委任CRA授权代表，同时需GDPR第27条代表。最简便经济方案是选择如REP27提供的捆绑服务，确保单一联络点及明确续约价格。
• 中国亚马逊卖家：若亚马逊为进口商，则无需单独CRA代表。若直接销售或通过非进口商市场销售，必须委任CRA代表。务必书面确认市场角色，避免合规空白。
• 英国在线商店向欧盟消费者销售物联网设备：脱欧后，英国制造商视为非欧盟制造商。若直接销售或通过不作为代表的分销商销售，必须委任CRA代表。若分销商或进口商以自身名义投放产品，则可作为代表。

各场景关键在于文档记录、技术文件更新及准备满足24小时漏洞报告要求的流程。