Behöver icke-EU moln- eller SaaS-leverantörer både GDPR- och NIS2-representanter?

• GDPR artikel 27 och NIS2 artikel 26 gäller ofta båda för moln-/SaaS-leverantörer utanför EU
• Ingen storleksgräns för GDPR; NIS2 gäller för moln/CDN/DNS oavsett storlek
• REP27, EU Presence, DataShield Guardian och Regingada erbjuder båda tjänsterna
• Publicerade priser varierar mycket; kontrollera alltid vad som ingår
• Böter för bristande efterlevnad kan nå €10 miljoner eller 2 % av omsättningen (GDPR)
• Utnämningsprocess, undantag och dolda avgifter skiljer sig mellan leverantörer

Uppdaterad 3 november 2026 · 8 källor kontrollerade

Leverantörer i jämförelse

Priser enligt varje leverantörs webbplats den 3 november 2026, exklusive moms om inget annat anges. Varje rad länkar till sin källa.

Vad lagen kräver: GDPR artikel 27 och NIS2 artikel 26

Moln- och SaaS-leverantörer utanför EU som betjänar EU står inför två separata juridiska skyldigheter:

• GDPR artikel 27-representant: Alla icke-EU personuppgiftsansvariga eller personuppgiftsbiträden som erbjuder varor/tjänster till eller övervakar EU-individer måste utse en EU-representant. Detta gäller SaaS och molnleverantörer, även om tjänsterna är B2B, så länge den behandlade datan gäller EU-individer. Ingen minsta storleksgräns finns – alla icke-EU-aktörer som behandlar EU-data måste följa detta. (GDPR Art. 27)
• NIS2 artikel 26-representant: Icke-EU-leverantörer av moln, DNS, CDN, managed services, marknadsplatser och sociala plattformar måste utse en representant i en EU-medlemsstat där de erbjuder tjänster. Till skillnad från vissa NIS2-krav gäller detta oavsett företagsstorlek eller omsättning för dessa digitala tjänster. (NIS2 Art. 26)

Dessa krav är kumulativa. Att utse en GDPR-representant befriar inte från NIS2, och vice versa. Båda roller fungerar som kontaktpunkter för EU-myndigheter och berörda individer, men täcker olika regelverk och rapporteringsskyldigheter. NIS2 inkluderar till exempel obligatorisk incidentrapportering och registrering hos nationella myndigheter senast januari 2025, medan GDPR fokuserar på dataskydd och registrerades rättigheter.

Underlåtenhet att utse nödvändiga representanter kan leda till allvarliga sanktioner. GDPR-överträdelser kan ge böter på upp till €10 miljoner eller 2 % av global omsättning. NIS2 ger medlemsstater rätt att direkt vidta åtgärder mot icke-EU-leverantörer, även om representant är utsedd. Det innebär att efterlevnad handlar om mer än bara utnämning – det krävs också löpande samarbete och snabb respons mot EU-myndigheter.

Sammanfattningsvis måste icke-EU SaaS- och molnleverantörer noga bedöma om deras verksamhet utlöser någon eller båda skyldigheterna och välja en leverantör som kan täcka båda roller vid behov.

Hur man väljer: Beslutsmatris för icke-EU-leverantörer

Valet av rätt representant(er) beror på din affärsmodell, tjänsternas natur och kundbas. Följande matris klargör vad du behöver baserat på din situation:

Praktiska råd:

• Granska dina dataflöden: Om du behandlar personuppgifter för EU-boende gäller GDPR.
• Bedöm dina digitala tjänster: Om du erbjuder moln, CDN, DNS eller managed services till EU gäller NIS2 oavsett persondata.
• Marknadsplatser: Om du endast säljer fysiska produkter via plattformar som Amazon eller eBay och inte behandlar EU-persondata eller erbjuder digitala tjänster, behöver du en produktansvarig, inte GDPR eller NIS2-representant.
• EU-etablering: Om ditt företag redan är etablerat i EU gäller inte dessa skyldigheter, om du inte agerar för ett icke-EU-moderbolag.

Att välja en leverantör som täcker båda roller (GDPR och NIS2) kan förenkla efterlevnad, minska administrativ börda och säkerställa konsekvent kommunikation med myndigheter. Kontrollera alltid leverantörens förmåga att hantera båda skyldigheterna och jämför publicerade priser och inkluderade tjänster.

Vad priset verkligen inkluderar (och exkluderar)

Publicerade priser för GDPR- och NIS2-representation varierar mycket. Det är viktigt att förstå vad varje leverantör inkluderar i grundavgiften och vad som kan medföra extra kostnader. Här är en jämförande översikt:

Viktiga detaljer från leverantörerna:

• REP27: Erbjuder GDPR- och NIS2-representation, certifikat, offentlig verifiering och ett avtal för flera roller. Publicerat pris för GDPR börjar vid €290/år; NIS2-pris på begäran. Alla utnämningar signeras av Europe Services SE (EU) och levereras med verifierbart certifikat. (källa)
• EU Presence: Tar $127/månad för GDPR och $327/månad för NIS2 (pris_verifierat_på_källsidan). Inkluderar arbetsflöde för incidentrapportering och täcker alla 27 EU-länder. (källa)
• DataShield Guardian: Full Presence-plan från $12,000/år, täcker GDPR, NIS2, AI Act, hanterad DPO och efterlevnadsstöd. (källa)
• Regingada: GDPR från €490/år; NIS2 på begäran. Erbjuder dokumenterad vidarebefordran, tidsloggning och är baserad i Tyskland. (källa)

Begär alltid en detaljerad offert och avtal. Många leverantörer publicerar inte alla extra avgifter, såsom per-incident-avgifter, myndighetsavgifter eller förnyelsekostnader. Fråga specifikt om dessa innan du skriver under.

Dolda kostnader och vad leverantörer oftast inte säger

Även om leverantörer annonserar års- eller månadsavgifter för representation utelämnas ofta viktiga detaljer i offentligt material. Köpare bör vara medvetna om potentiella dolda kostnader och undantag:

• Uppsägningstider: Ingen av ovanstående leverantörer specificerar minimikontrakt eller uppsägningstider. Kontrollera alltid avtalet för dessa detaljer.
• Avgifter per förfrågan/incident: Ingen leverantör publicerar avgifter per incident eller myndighetsförfrågan. För NIS2 kan incidentrapportering och myndighetskommunikation medföra extra kostnader. Be om full prislista.
• Ansvarsbegränsningar: Ingen offentlig information om ansvarsbegränsningar finns. Det är vanligt att leverantörer begränsar sitt ansvar för böter eller skador i avtalet – begär denna sektion innan du skriver under.
• Tjänsteundantag: Vissa leverantörer inkluderar inte all myndighetskommunikation, incidenthantering eller certifikatförnyelser i grundpriset. Exempelvis erbjuder Regingada NIS2-representation endast på begäran och detaljer om incidentrapportering är inte publicerade. DataShield Guardian inkluderar DPO och efterlevnadsstöd men omfattningen kan vara begränsad till vissa timmar eller typer av incidenter.
• Verifiering och dokumentation: REP27 tillhandahåller ett offentligt certifikat och verifieringskod, vilket kan vara användbart för att visa efterlevnad för myndigheter och marknadsplatser. Inte alla leverantörer erbjuder detta.

Vad leverantörer oftast inte säger:

• Om de svarar på varje myndighetsförfrågan eller tar extra betalt för komplexa ärenden
• Om priset inkluderar löpande efterlevnadsrådgivning eller endast juridisk utnämning
• Hur snabbt de hanterar incidentrapporter eller myndighetskorrespondens
• Om avtalet förnyas automatiskt och under vilka villkor

För att undvika överraskningar, begär alltid hela avtalet, be om detaljerad lista över inkluderade och exkluderade tjänster och klargör processen för brådskande incidenter eller myndighetsutredningar.

Hur utnämning fungerar: Steg för steg

Att utse en GDPR- och/eller NIS2-representant innebär flera konkreta steg. Processen är utformad för att säkerställa att representanten är korrekt auktoriserad och att ditt företag är förberett för att svara på EU-myndigheter och följa lagkrav. Så här fungerar det vanligtvis, med REP27 som exempel:

1. Bedöm dina skyldigheter: Använd beslutsmatrisen ovan för att avgöra om du behöver GDPR- och/eller NIS2-representant. Granska din databehandling och digitala tjänster till EU.
2. Välj leverantör: Jämför leverantörer baserat på publicerade priser, inkluderade tjänster och rykte. Bekräfta att leverantören kan täcka både GDPR och NIS2 vid behov.
3. Lämna företagsinformation: Du behöver lämna företagets juridiska uppgifter, beskrivning av tjänster och information om EU-kunder eller användare. REP27 kräver exempelvis en fil med denna information för manuell granskning.
4. Leverantörsgranskning: Leverantören granskar din fil för att säkerställa att all information är fullständig och korrekt. För REP27 sker detta vanligtvis inom 24 arbets timmar.
5. Utnämning och signering: Leverantörens styrelse undertecknar utnämningsbrevet och utser formellt dem som din representant. REP27 utfärdar ett signerat certifikat, QR-kod och verifieringskod.
6. Mottag dokumentation: Du får det signerade utnämningsbrevet, certifikat och malltext för din integritetspolicy eller webbplats. Denna dokumentation är viktig för att visa efterlevnad för myndigheter, kunder och marknadsplatser.
7. Uppdatera juridiska meddelanden: Uppdatera din integritetspolicy, webbplats och (för NIS2) registrera representantens kontaktuppgifter hos relevant nationell myndighet. NIS2 kräver registrering senast januari 2025.
8. Löpande samarbete: Upprätthåll kommunikation med din representant för incidentrapportering, myndighetsförfrågningar och efterlevnadsuppdateringar. Säkerställ att du förstår processen för brådskande aviseringar och leverantörens svarstider.

Checklista för köpare:

1. Bekräfta om du behandlar EU-personuppgifter eller tillhandahåller moln-/digitala tjänster till EU.
2. Kontrollera om både GDPR och NIS2 gäller för din verksamhet.
3. Skaffa alla nödvändiga företagsdokument och tjänstebeskrivningar.
4. Kontakta leverantörer för full offert och avtal, fråga om extra avgifter.
5. Granska avtalsvillkor, inklusive uppsägningstider och ansvarsbegränsningar.
6. Utse din representant/representanter och ta emot dokumentation.
7. Uppdatera din integritetspolicy och registrera hos myndigheter vid behov.
8. Skapa interna rutiner för incidentrapportering och myndighetskommunikation.

Genom att följa dessa steg säkerställer du att du uppfyller EU:s lagkrav och undviker kostsamma sanktioner.

Risker, böter och tillsyn

Underlåtenhet att följa GDPR artikel 27 eller NIS2 artikel 26 kan utsätta moln- och SaaS-leverantörer utanför EU för betydande juridiska och ekonomiska risker. Att förstå dessa risker är avgörande för välgrundade beslut:

• GDPR: Att inte utse GDPR-representant är i sig ett brott, med böter upp till €10 miljoner eller 2 % av global årsomsättning, beroende på vilket som är högst. Dessa böter kommer utöver eventuella andra GDPR-överträdelser. Myndigheter kan också blockera dina tjänster i EU eller beordra radering av olagligt behandlade data.
• NIS2: Under NIS2 kan medlemsstater direkt vidta åtgärder mot icke-EU-leverantörer som inte utser representant. Detta kan inkludera utredningar, tjänsteblockering och administrativa sanktioner. Representanten skyddar inte leverantören från tillsyn utan fungerar som lokal kontaktpunkt.
• Registreringsdeadlines: NIS2 kräver att icke-EU-leverantörer registrerar representantens kontaktuppgifter hos relevant nationell myndighet senast 17 januari 2025. Underlåtenhet kan leda till omedelbara efterlevnadsåtgärder.
• Incidentrapportering: NIS2 kräver att berörda leverantörer rapporterar betydande säkerhetsincidenter. Förseningar eller utebliven rapportering kan leda till ytterligare sanktioner och skadat anseende.
• Rykterisk: Offentliga tillsynsåtgärder eller blockerade tjänster kan skada ditt varumärke och minska kundförtroendet, särskilt på den integritets- och säkerhetskänsliga EU-marknaden.

För att minska riskerna, utse en kvalificerad representant, håll dokumentationen uppdaterad och etablera tydliga interna rutiner för incidenthantering och myndighetskommunikation. Granska regelbundet din efterlevnadsstatus och uppdatera representantens uppgifter i takt med att verksamheten utvecklas.

Realistiska scenarier: Vad gäller och enklaste vägen

Nedan följer tre praktiska scenarier som visar hur reglerna gäller och den enklaste vägen till efterlevnad för varje:

• Scenario 1: Amerikanskt SaaS-företag som erbjuder B2B och B2C-tjänster till EU-kunder
  Skyldigheter: Behöver både GDPR artikel 27 och NIS2-representanter. Företaget behandlar EU-personuppgifter (GDPR) och tillhandahåller molnbaserade tjänster (NIS2).
  Efterlevnadsväg: Utse en leverantör (t.ex. REP27) som täcker båda roller. Uppdatera integritetspolicyn med representantuppgifter, registrera hos relevant NIS2-myndighet och skapa interna rutiner för incidentrapportering och myndighetskommunikation.
• Scenario 2: Kinesisk Amazon-säljare som endast exporterar fysiska varor till EU
  Skyldigheter: Behöver produktansvarig för produktsäkerhet. Behöver inte GDPR eller NIS2-representanter om de inte också behandlar EU-personuppgifter eller erbjuder digitala/molntjänster.
  Efterlevnadsväg: Utse produktansvarig (ej täckt här), säkerställ produktmärkning och dokumentation, och kontrollera om digitala tjänster eller databehandling utlöser ytterligare skyldigheter.
• Scenario 3: Brittisk webbutik som säljer till EU-konsumenter
  Skyldigheter: Behöver GDPR-representant om EU-personuppgifter behandlas. NIS2 gäller endast om butiken även erbjuder moln- eller digitala tjänster (inte för ren e-handel).
  Efterlevnadsväg: Utse GDPR-representant (t.ex. REP27), uppdatera integritetspolicyn och kontrollera om digitala tjänster kräver NIS2-representation. Om inte, krävs inga ytterligare åtgärder för NIS2.

Dessa scenarier visar att skyldigheter beror på verksamhetens och tjänsternas natur. Gör alltid en noggrann bedömning och rådgör med en leverantör erfaren inom både GDPR- och NIS2-representation.