Cyber Resilience Act授权代表：义务、价格与选择（2026）

• 欧盟外生产商在欧盟销售产品时必须指定授权代表（CRA第18条）
• 公布价格：490欧元至999欧元/年（2026年10月）
• 代表负责沟通、文档管理及向监管机构报告
• 不包含合规评估、测试或SBOM，仅限授权和转发
• 供应商对比及透明价格：REP27、Kadano、Euverify
• 罚款最高可达1000万欧元或全球营业额2%

已更新 23 October 2026 · 8 已检查来源

比较提供者

价格如在每个提供者的网站上发布的，日期为 23 October 2026，除非另有说明，不包括增值税。每一行链接到其来源。

法律要求：CRA授权代表义务（第18条）

Cyber Resilience Act（CRA）对所有非欧盟境内但计划将含数字元素产品投放欧盟市场的生产商提出新义务。根据第18条，这些生产商必须通过书面授权指定一名授权代表。该代表作为欧盟外生产商与欧盟监管机构的唯一联系点，肩负以下职责：

• 保存欧盟合格声明及技术文档，至少10年或产品支持期内。
• 应监管机构要求提供合规信息和文档。
• 配合监管机构消除数字产品相关风险。

该法律适用于所有生产商，无论原产国，只要产品面向欧盟市场（来源）。进口商、分销商及非生产商的市场平台不受此义务约束。未指定代表可能面临最高1000万欧元或全球营业额2%的罚款，并可能被禁止销售。

授权代表不仅是形式要求，监管机构可随时通过代表索取技术文档和合格声明。安全事件发生时，代表须能及时响应监管请求。

如何选择CRA授权代表：标准、对比与差异

选择CRA授权代表既关乎合规，也影响监管请求的高效处理。主要评估标准包括：

• 授权范围明确：仅限第18条规定职责，不含法律禁止的扩展（如评估或测试）。
• 价格透明：价格公开且续订费用提前告知，避免后续意外。
• 可验证证书：优选提供公开可验证证书（如二维码）的供应商，便于审核时证明授权有效。
• 转发流程：了解监管请求的处理语言和响应时间。
• 排除与限制：供应商应清晰列明包含与不包含的服务，避免对评估、测试、SBOM或技术支持的误解。

包含/额外费用对比表：

还可考虑附加服务，如产品目录筛查（适合多产品企业）及多法规覆盖（如GDPR、GPSR）等。

价格包含内容：显性与隐性费用

供应商公布价格仅覆盖书面授权及监管请求管理。不包含：

• 合规评估（由公告机构负责，非代表职责）
• 安全测试、SBOM生成或技术支持
• 技术文档编写或审核
• 法律咨询或培训（除特定供应商如Comply.Land）

包含内容对比表：

注意隐性费用：部分供应商未公开续订价格，或对额外请求、供应商变更收取费用。务必索取包含续订价格及退订条件的书面报价。

代表费用仅为CRA合规成本一部分，主要支出在技术调整、文档生成及高级产品的公告机构认证。

隐性费用及签约前须询问事项

签约前应明确以下，避免后续纠纷：

• 续订价格：合同或书面报价中明确，非仅网站公布。
• 额外请求费用：是否对非工作时间请求、紧急情况或更换供应商收取费用。
• 授权范围：仅涵盖第18条，含评估、测试等服务的报价违反法规。
• 可验证证书：公开证书（如二维码）便于审计时证明授权。
• 响应时间：转发请求的时间及节假日是否服务。

决策表：

务必索取包含、排除及额外费用的书面清单，透明供应商会毫无保留提供。

授权流程：步骤与实用清单

CRA授权代表指定流程明确，可提前启动，避免2027年12月制裁生效前仓促应对：

1. 确认身份：是否为欧盟外数字产品生产商并销售欧盟市场？若是，继续。
2. 识别产品：列出所有面向欧盟的数字产品，确认符合CRA范围。
3. 准备文档：准备欧盟合格声明及法规要求的技术文档。
4. 选择供应商：优先考虑价格公开且授权透明的供应商（见上表）。
5. 申请授权：在线填写或书面申请，获取签署的授权书（通常支持eIDAS电子签名）。
6. 登记代表：将代表信息纳入内部政策、运行手册及技术文档。
7. 日常管理：监管请求时，代表按时转发（如REP27为2个工作日内）。

今日清单：

1. 确认法律身份及目标市场
2. 收集并更新技术文档
3. 向多家供应商询价
4. 对比服务内容及续订价格
5. 签署授权并更新内部流程

风险、罚款及无代表后果

未指定授权代表风险显著：

• 罚款：最高1000万欧元或全球营业额2%（以较高者为准，来源）。
• 销售禁令：产品可能被欧盟市场召回或海关扣押。
• 延误与效率低：无明确联系点时，监管请求可能误传给分销商、客户或进口商，导致延误及声誉损害。
• 安全事件复杂化：缺代表可能延缓响应，增加法律及商业风险。

决策场景：

及时指定代表可降低处罚风险，确保监管请求快速处理，尤其安全事件需在24小时内通报漏洞时。

供应商常忽略说明：限制、排除与风险

许多供应商未充分说明CRA代表服务的关键限制：

• 不含评估与测试：无代表可执行合规评估、安全测试或SBOM生成，这些由公告机构或生产商负责，且费用通常更高。
• 授权范围受限：授权仅限第18条职责，任何扩展（如第13条义务管理）均违法。
• 续订价格不透明：部分供应商未公开续订费用，或对供应商更换及额外请求收费。
• 责任有限：代表仅负责转发及文档保存，不承担产品技术合规或安全责任。
• 响应时间与语言：非所有供应商明确响应时效及支持语言，影响监管请求处理效率。

务必索取书面排除清单及服务条款，避免误解及合规风险。

实际案例：三种典型情形及简易解决方案

• 美国SaaS：美国公司向欧盟客户提供云软件。需指定CRA代表，准备技术文档及合格声明。可选价格透明且固定的供应商（如REP27或Euverify）。若产品为基础类别且采用协调标准，无需额外评估。
• 中国亚马逊卖家：中国生产商在亚马逊销售物联网设备。即使平台负责物流，仍需指定CRA代表，代表信息需纳入技术文档及产品政策。平台不承担此义务。
• 英国网店：英国在线商店销售智能硬件。脱欧后视为欧盟外生产商，需指定CRA代表，准备文档，选择可验证授权的供应商。即使在市场平台销售，仍由其承担生产商责任。

上述情形中，最简便方案是选择价格公开、书面授权及快速指定的供应商（如REP27：24小时内指定，二维码证书，固定价格）。