Zplnomocněný zástupce podle Cyber Resilience Act pro výrobce mimo EU: poskytovatelé a ceny (2026)

• Článek 18 CRA vyžaduje, aby výrobci mimo EU jmenovali zplnomocněného zástupce v EU.
• REP27 — Europe Services, SE: 490 €/rok (obnova 440 €), zveřejněná cena, jasný rozsah.
• Kadano: 999 €/rok, ověřená cena, sídlo v Rakousku.
• Euverify: 590 £/rok, ověřená cena, sídlo v Irsku.
• Služba nezahrnuje posouzení shody ani právní poradenství.
• Výrobci se sídlem v EU nebo dovozci uvádějící výrobky pod vlastním jménem službu nepotřebují.

Aktualizováno 16 October 2026 · 7 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 16 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co zákon vyžaduje: Článek 18 CRA

Cyber Resilience Act (CRA), Nařízení (EU) 2024/2847, je průlomový zákon EU, který ukládá povinné požadavky na kybernetickou bezpečnost všem produktům s digitálními prvky — hardwarem či softwarem — uváděným na trh EU. Článek 18 CRA konkrétně vyžaduje, aby každý výrobce se sídlem mimo EU jmenoval zplnomocněného zástupce se sídlem v EU. Tento zástupce funguje jako oficiální kontaktní místo pro orgány dohledu na trhu EU, drží prohlášení o shodě a technickou dokumentaci a zodpovídá za přeposílání regulačních požadavků výrobci.

Zákon se vztahuje na širokou škálu produktů, včetně vestavěných zařízení, softwaru, SaaS, IoT a samostatně prodávaných komponent. Role zástupce je přísně vymezena: nepřebírá právní odpovědnost výrobce, neposkytuje technické ani právní poradenství. Jeho hlavní povinností je zajistit, aby orgány mohly výrobce rychle a efektivně kontaktovat, zejména v případě zranitelnosti nebo incidentu.

• Článek 14 zavádí 24hodinovou povinnost hlášení aktivně zneužívaných zranitelností od 11. září 2026. Výrobci musí oznámit ENISA (agentura EU pro kybernetickou bezpečnost) přes jednotnou platformu, s úplným oznámením do 72 hodin a závěrečnou zprávou do 14 dnů.
• Článek 71 odst. 2 stanovuje data účinnosti: povinnosti hlášení od 11. září 2026, plné povinnosti (včetně označování produktu a posouzení shody) od 11. prosince 2027.
• Neplnění článku 18 (nejmenování zástupce) je sankcionováno pokutami až do 10 milionů € nebo 2 % celosvětového obratu (článek 69 odst. 1), zatímco porušení základních požadavků může vést k pokutám až 15 milionů € nebo 2,5 % (článek 69 odst. 2).

Důležité je, že pokud výrobce mimo EU nezjmenuje zástupce, může se za něj považovat dovozce nebo distributor, což může vést k narušení podnikání nebo zpoždění v nákupu.

Jak vybrat zplnomocněného zástupce CRA

Výběr správného zplnomocněného zástupce CRA je klíčové rozhodnutí pro dodržení předpisů. Trh je nový a poskytovatelé se liší v transparentnosti, rozsahu služeb a podmínkách obnovy. Zde je návod, jak vybrat správně:

• Právnická osoba: Ověřte, že poskytovatel je registrovanou společností v EU s jasnou právní identitou. Například REP27 je Europe Services, SE, registrovaná v Praze od roku 2014 (IČO 03571785).
• Zveřejněná cena a podmínky obnovy: Trvejte na poskytovateli, který zveřejňuje ceny pro první rok i obnovu. REP27 uvádí 490 €/rok (obnova 440 €) s možností balíčků. Mnoho poskytovatelů ceny obnovy nezveřejňuje, což může vést k neočekávaným nákladům.
• Rozsah zmocnění: Zmocnění by mělo být omezeno na článek 18 odst. 3. Poskytovatelé by neměli tvrdit, že pokrývají další právní povinnosti (např. článek 13), což CRA nepovoluje.
• Ověření certifikátu: Hledejte poskytovatele, který nabízí ověřitelný certifikát, například s QR kódem ověřitelným na veřejné stránce. To je nezbytné pro nákup a audity.
• Zpracování žádostí: Zjistěte, jak poskytovatel přeposílá žádosti úřadů — podporované jazyky, doby odezvy a případné poplatky za jednotlivé žádosti.

Níže je srovnání, co je zahrnuto, není zahrnuto nebo může být zpoplatněno u jednotlivých poskytovatelů:

Vždy požadujte vzor smlouvy a písemně si vyžádejte všechny výjimky a podmínky obnovy před rozhodnutím.

Co cena skutečně zahrnuje

Většina zveřejněných cen za zplnomocněného zástupce CRA pokrývá pouze základní zmocnění podle článku 18. To obvykle znamená:

• Podepsaný dopis o jmenování (zmocnění) s právnickou osobou zástupce v EU
• Ověřitelný certifikát (někdy s QR kódem nebo zápisem v registru)
• Přeposílání žádostí od orgánů EU výrobci
• Volitelně: podpora žádostí nebo kanál pro regulační dotazy, někdy ve více jazycích

Co není zahrnuto:

• Právní poradenství nebo zastupování u soudu
• Posouzení shody, bezpečnostní testování nebo tvorba SBOM
• Reakce na incidenty nebo technické nápravy
• Vypracování nebo kontrola technické dokumentace

Cena REP27 je 490 €/rok za zmocnění CRA, s obnovou 440 €/rok. K dispozici jsou balíčky: 690 €/rok za CRA a GDPR článek 27, 990 €/rok za CRA, GDPR a NIS2, plus 200 € navíc za GPSR článek 16 odpovědnou osobu. Ceny jsou bez DPH, fakturace ročně předem. Pro zákazníky mimo EU se česká DPH neuplatňuje; pro zákazníky z EU s platným DIČ platí režim reverse charge.

Kadano účtuje 999 €/rok za výchozí nebo Important, třída I zmocnění (detaily na vyžádání). Euverify účtuje 590 £/rok za pouze CRA zastoupení (detaily na vyžádání). Kadano ani Euverify k říjnu 2026 nezveřejňují podrobnosti o obsahu služeb či podmínkách obnovy.

Shrnutí: Poplatek za zástupce je obvykle nejmenší částí nákladů na dodržení CRA. Hlavní náklady jsou na interní inženýrství, dokumentaci a u rizikovějších produktů na posouzení notifikovaným subjektem.

Skryté náklady a výjimky

Ačkoliv zveřejněná cena za zplnomocněného zástupce CRA je přehledná, kupující by měli být obezřetní vůči několika skrytým nebo vyloučeným nákladům, které mohou výrazně ovlivnit celkové náklady na dodržení předpisů:

• Posouzení shody: U důležitých produktů třídy II a kritických je posouzení notifikovaným subjektem povinné a může stát tisíce eur s termíny v řádu měsíců. Není zahrnuto v žádném poplatku zástupce.
• Interní inženýrství: Náklady na přípravu technické dokumentace, SBOM a závazky k podpoře nese výrobce. U výchozích tříd jsou tyto náklady převážně interní.
• Právní poradenství a služby DPO: Žádný poskytovatel zde uvedený nenabízí právní poradenství, služby DPO nebo posouzení shody jako součást balíčku CRA zástupce. REP27 to explicitně vylučuje.
• Poplatky za jednotlivé žádosti: Někteří poskytovatelé mohou účtovat dodatečné poplatky za přeposílání či zpracování žádostí úřadů, REP27 žádné takové poplatky nezveřejňuje. Vždy si to potvrďte písemně.
• Zvýšení ceny při obnově: Mnoho poskytovatelů nezveřejňuje ceny obnovy, což může vést k nečekaným zvýšením. REP27 je transparentní ohledně obnovovacích cen.
• Výpovědní lhůty a zrušení: Zkontrolujte smlouvu ohledně výpovědních lhůt a podmínek zrušení. Na trhu jsou běžné tiché obnovy a nízké ceny prvního roku jako lákadlo.

Tabulka výjimek:

Shrnutí: Vždy si ujasněte, co je a není zahrnuto, a plánujte náklady na inženýrství, dokumentaci a případné posouzení notifikovaným subjektem.

Jak probíhá jmenování: krok za krokem

Jmenování zplnomocněného zástupce CRA je strukturovaný proces. Zde je typický postup s praktickými tipy pro každý krok:

1. Určete, zda se vás to týká: Ověřte, že váš produkt spadá do rozsahu (jakýkoli produkt s digitálními prvky, hardwarem či softwarem, prodávaný v EU).
2. Zkontrolujte sídlo: Pokud vaše firma není založena v EU, musíte jmenovat zástupce.
3. Prozkoumejte poskytovatele: Porovnejte právní subjekty, zveřejněné ceny, podmínky obnovy a rozsah služeb. Požádejte o vzor smlouvy a vyjasněte výjimky.
4. Podepište zmocnění: Uzavřete písemnou smlouvu (zmocnění) s vybraným poskytovatelem. Zajistěte, aby zmocnění bylo omezeno na povinnosti podle článku 18.
5. Získejte dokumentaci: Obdržíte podepsaný dopis o jmenování a ověřitelný certifikát. REP27 nabízí elektronický podpis eIDAS a QR kód pro veřejné ověření.
6. Aktualizujte technickou dokumentaci: Uveďte údaje o zástupci ve vaší technické dokumentaci, prohlášeních o shodě a případně na označení produktu.
7. Připravte se na hlášení: Nastavte postup hlášení zranitelností (článek 14), včetně toho, kdo může incident hlásit, kdo má přístup k platformě a připravte šablony pro předběžná varování a oznámení.
8. Využijte balíčky, pokud je třeba: Pokud potřebujete zastoupení i pro GDPR článek 27, NIS2 nebo GPSR, zvažte balíčky pro úsporu nákladů a administrativní jednoduchost.

Rozhodovací matice:

Rizika a pokuty

Rizika nedodržení CRA jsou značná jak finančně, tak provozně. Zákon stanoví významné pokuty a další důsledky:

• Nejmenování zástupce: Nepověření zástupce, když je to povinné, může vést k pokutám až 10 milionů € nebo 2 % celosvětového obratu (článek 69 odst. 1).
• Porušení základních požadavků: Pokuty za porušení základních požadavků nebo povinností výrobce mohou dosáhnout 15 milionů € nebo 2,5 % celosvětového obratu (článek 69 odst. 2).
• Zpožděné hlášení: Nedodržení 24hodinové lhůty pro hlášení zneužívaných zranitelností (článek 14) může vyvolat sankce, stažení z trhu a poškození reputace.
• Zpoždění v nákupu: Absence zástupce může zpomalit prodejní procesy, protože nákupčí často vyžadují důkaz zastoupení v EU před nákupem.
• Ztráta kontroly: Pokud nezjmenujete zástupce, dovozce či distributor se může stát výchozím kontaktem, což může znamenat ztrátu kontroly nad hlášením incidentů a regulačními interakcemi.
• Tiché promeškání: Správa více zmocnění s různými daty obnovy zvyšuje riziko neúmyslných prodlev, což může vést k nedodržení předpisů.

REP27 zdůrazňuje, že hlavní hodnotou zmocnění je, co zabraňuje: zbytečnému času při incidentech, zpožděným žádostem o dokumentaci, zdržení nákupu a neúmyslným výpadkům pokrytí. Tato provozní rizika jsou stejně závažná jako finanční sankce.

Co poskytovatelé obvykle nezmiňují

Mnoho poskytovatelů na trhu CRA zastoupení nezveřejňuje důležité smluvní a provozní detaily. Kupující by měli být obezřetní ohledně následujícího:

• Ceny obnovy: Někteří poskytovatelé nabízejí nízké ceny prvního roku, ale nezveřejňují ceny obnovy, které se mohou neočekávaně zvýšit. REP27 je jedním z mála, kdo uvádí ceny obnovy transparentně.
• Výpovědní lhůty: Tiché obnovy a dlouhé výpovědní lhůty jsou běžné. Vždy si tyto podmínky vyžádejte písemně.
• Rozšiřování rozsahu služeb: Někteří poskytovatelé mohou tvrdit, že pokrývají povinnosti nad rámec článku 18, například článek 13, což CRA nepovoluje. Zajistěte, aby zmocnění bylo omezeno na zákonem povolený rozsah.
• Poplatky za jednotlivé žádosti: Mohou být účtovány dodatečné poplatky za zpracování nebo přeposílání žádostí úřadů, i když REP27 žádné takové poplatky nezveřejňuje. Vždy si to předem ujasněte.
• Omezení odpovědnosti: Poskytovatelé zřídka zveřejňují limity své odpovědnosti či výjimky z náhrad škod, což může být klíčové v případě sporu.
• Výjimky: Žádný poskytovatel nepokrývá posouzení shody, bezpečnostní testování, tvorbu SBOM nebo právní poradenství. Tyto povinnosti vždy zůstávají na výrobci.

Shrnutí: Trvejte na plném písemném zveřejnění cen obnovy, výpovědních lhůt, poplatků za žádosti a podmínek odpovědnosti před podpisem smlouvy.

Rozhodovací matice: Potřebuji zplnomocněného zástupce CRA?

Pomocí této matice určete, zda potřebujete zplnomocněného zástupce CRA podle vašeho obchodního modelu a přítomnosti na trhu:

Tato matice pokrývá většinu praktických scénářů výrobců a prodejců. V případě pochybností konzultujte zákon nebo specialistu pro váš konkrétní produkt a model prodeje.

Kontrolní seznam: kroky k dodržení CRA

Postupujte podle tohoto seznamu, abyste efektivně splnili své povinnosti podle CRA:

1. Určete, zda je váš produkt v rozsahu CRA (hardware/software s digitálními prvky).
2. Zjistěte, zda jste založeni mimo EU.
3. Zjistěte, zda prodáváte přímo zákazníkům v EU nebo přes tržiště (Amazon, Etsy, eBay).
4. Prozkoumejte a porovnejte poskytovatele zplnomocněných zástupců CRA podle právní entity, ceny a rozsahu služeb.
5. Požádejte o vzor smlouvy a vyjasněte všechny výjimky a podmínky obnovy písemně.
6. Podepište zmocnění podle článku 18 s vybraným poskytovatelem.
7. Získejte a ověřte dopis o jmenování a certifikát (nejlépe s veřejnou možností ověření).
8. Aktualizujte technickou dokumentaci a prohlášení o shodě, aby obsahovaly údaje o zástupci.
9. Připravte si postup hlášení zranitelností (povinnosti podle článku 14 od září 2026).
10. Naplánujte rozpočet na interní inženýrství, dokumentaci a případné posouzení notifikovaným subjektem.
11. Zkontrolujte závazky k podpoře (minimálně pět let bezpečnostních aktualizací).
12. Sledujte termíny obnovy a výpovědní lhůty, abyste se vyhnuli tichým prodlevám.

Reálné scénáře

• Americký poskytovatel SaaS: Prodává cloudový produkt zákazníkům v EU. Musí jmenovat zástupce CRA a nastavit 24hodinový kanál hlášení zranitelností. REP27 nabízí zveřejněnou cenu, rychlé jmenování a ověřitelný certifikát. Poskytovatel SaaS musí také připravit technickou dokumentaci a postup hlášení, ale posouzení shody je pravděpodobně samodeklarované, pokud produkt není třídy Important II nebo Critical.
• Čínský prodejce na Amazonu: Dodává značkové IoT zařízení do EU. Potřebuje zástupce CRA pro přístup na trh, protože Amazon a celní orgány EU mohou vyžadovat důkaz zastoupení. Prodejce musí zajistit shodu produktu, jmenovat zástupce (např. REP27, Kadano nebo Euverify) a aktualizovat dokumentaci. Pokud prodává pod vlastním jménem, platí povinnost; pokud dovozce přebaluje, odpovědnost přechází na dovozce.
• Britský online prodejce: Prodává připojená zařízení B2B firmám v EU. Potřebuje zástupce CRA, pokud EU dovozce nepřebírá povinnosti. Prodejce by měl vyjasnit s partnery odpovědnost, případně jmenovat zástupce a připravit se na hlášení zranitelností od září 2026.

Tyto scénáře ukazují praktickou aplikaci zákona a kroky potřebné k dodržení bez ohledu na velikost firmy či sektor.