Cómo reportar vulnerabilidades en 24 horas según la Ley de Resiliencia Cibernética

• Artículo 14 del CRA: reporte en 24 horas de vulnerabilidades explotadas/incidentes graves.
• El reporte se realiza vía la plataforma de ENISA al CSIRT coordinador.
• Los fabricantes fuera de la UE deben nombrar un representante autorizado.
• REP27 — Europe Services, SE: mandato a €490/año (precio verificado).
• Costos ocultos: ingeniería interna, periodo de soporte, evaluación de conformidad.
• Los proveedores difieren en precios publicados, inclusiones y transparencia.

Actualizado 20 octubre 2026 · 12 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 20 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

Qué exige la Ley de Resiliencia Cibernética (con números de artículos)

La Ley de Resiliencia Cibernética (CRA) es una regulación amplia que aplica a todos los productos con elementos digitales puestos en el mercado de la UE, ya sean hardware o software (Artículo 1, fuente). Su objetivo principal es garantizar que los productos se diseñen, desarrollen y mantengan con la ciberseguridad como parte integral de su ciclo de vida. La ley entró en vigor el 10 de diciembre de 2024 (Artículo 71(1)), pero la mayoría de las obligaciones, incluido el reporte, serán obligatorias desde el 11 de septiembre de 2026 para el Artículo 14, y completamente desde el 11 de diciembre de 2027 (Artículo 71(2)).

El Artículo 14 es clave para la respuesta a incidentes: los fabricantes deben reportar cualquier vulnerabilidad explotada activamente o incidente grave que afecte la seguridad del producto dentro de las 24 horas desde que se tiene conocimiento. Esto debe hacerse a través de la plataforma de ENISA al CSIRT coordinador. El reloj comienza en el momento del conocimiento, no después de investigación o confirmación. Se debe entregar una notificación completa en 72 horas y un informe final en 14 días. El plazo incluye fines de semana y festivos, sin extensiones ni pausas.

El Artículo 18 exige que los fabricantes fuera de la UE nombren un representante autorizado establecido en la UE. Este representante actúa como ruta oficial de reporte y contacto con las autoridades. Sin esto, el importador o distribuidor asume la responsabilidad por defecto, lo que puede generar riesgos comerciales y de cumplimiento.

Los productos puestos en el mercado antes del 11 de diciembre de 2027 solo están sujetos a la CRA si sufren una modificación sustancial después de esa fecha (Artículo 69(2)). El incumplimiento puede resultar en multas de hasta €15 millones o el 2.5% de la facturación anual global (fuente).

• Artículo 14: reporte en 24 horas de vulnerabilidades explotadas/incidentes graves
• Artículo 18: representante autorizado para fabricantes fuera de la UE
• Artículo 69(2): reglas para productos heredados

Cómo elegir un representante autorizado CRA

Elegir el representante autorizado CRA adecuado es crítico para fabricantes fuera de la UE. El representante es su canal oficial para reportar vulnerabilidades y contacto regulatorio en la UE. Aquí los factores principales a considerar:

• Transparencia de precios: Solo unos pocos proveedores publican precios verificados. REP27 — Europe Services, SE ofrece un mandato claro a €490/año (renovación €440), mientras kadano lista €999/año y Euverify £590/año. Otros requieren cotización directa.
• Alcance del servicio: Confirme qué incluye la tarifa. El mandato del Artículo 18 es el mínimo, pero algunos proveedores ofrecen servicios adicionales como monitoreo, retención de evidencias o documentación de autoevaluación (ver CRAguard, ProvenVEX, SECURiMENT).
• Exclusiones: Ningún proveedor arriba incluye evaluación de conformidad, pruebas de seguridad o generación de SBOM en la tarifa del mandato. Estos son costos separados de ingeniería o de organismos notificados.
• Certificado y verificación: Busque un proveedor que ofrezca un certificado verificable (REP27 proporciona código QR y página pública de verificación).
• Términos de renovación: Asegúrese de que el precio de renovación esté declarado por escrito antes de pagar la primera factura. Renovaciones silenciosas o poco claras son un problema común en este mercado.
• Proceso de respuesta: Pregunte cómo se manejan las solicitudes de autoridades, en qué idiomas y en qué horarios. Una mesa de atención 24/7 es esencial para cumplir el plazo de reporte de 24 horas.

A continuación, una comparación de lo que incluye y excluye cada proveedor según información publicada:

Solicite siempre un contrato escrito que liste todas las inclusiones, exclusiones y términos de renovación.

Qué incluye realmente el precio

Comprender qué está (y qué no) incluido en el precio publicado es crucial para planificar presupuesto y cumplimiento. La tarifa del mandato del Artículo 18 suele cubrir solo el nombramiento legal y la operación de una mesa de reporte en la UE. Esto significa en la práctica:

• Mandato y mesa de reporte: El representante está autorizado para actuar como contacto oficial para reportar vulnerabilidades. Para REP27, esto incluye una mesa atendida 24/7, gestión del canal CSIRT/ENISA y un certificado verificable con código QR. Kadano y Euverify ofrecen mandatos similares pero no especifican características adicionales en sus páginas públicas.
• Servicios combinados: Algunos proveedores (CRAguard, ProvenVEX, SECURiMENT) ofrecen servicios extra como monitoreo de dependencias, retención de evidencias o flujos de respuesta a incidentes. Sin embargo, estos no tienen precios públicos y pueden implicar costos adicionales significativos.
• Lo que no está incluido: Ningún proveedor en esta comparación incluye evaluación de conformidad, pruebas de seguridad o generación de SBOM. Estos son costos separados, a menudo elevados, gestionados por organismos notificados o su equipo técnico interno.
• Precio de renovación: Solo REP27 publica un precio de renovación (€440/año), que es inferior a la tarifa del primer año. Kadano y Euverify no declaran términos de renovación públicamente.

Al comparar proveedores, siempre solicite un desglose detallado de lo que incluye el precio y qué cargos adicionales pueden aplicarse. Algunos proveedores también ofrecen representación combinada para GDPR Artículo 27 o NIS2 por una tarifa conjunta (REP27: €690/año para CRA+GDPR, €990/año para CRA+GDPR+NIS2).

Tabla resumen:

Costos ocultos y exclusiones

Aunque la tarifa del mandato del representante suele ser el menor gasto en el cumplimiento del CRA, los costos ocultos y exclusiones pueden ser significativos:

• Tiempo de ingeniería interna: La autoevaluación, documentación y preparación de SBOMs son obligatorias pero no están incluidas en la tarifa del representante. Estas tareas requieren recursos técnicos dedicados.
• Periodo de soporte: La CRA exige al menos cinco años de actualizaciones de seguridad para la mayoría de productos. Presupueste mantenimiento continuo como línea de producto, no como proyecto único.
• Evaluación de conformidad: Para productos importantes clase II o críticos, se requiere evaluación por organismo notificado. Esto puede costar miles de euros y tomar meses. Ningún representante absorbe este costo.
• Detección de incidentes: El representante no monitorea sus sistemas para vulnerabilidades. Su equipo de seguridad es responsable de la detección y triaje inicial.
• Tarifas por incidente o solicitud: Aunque REP27 indica no cobrar tarifas adicionales por solicitudes, otros proveedores pueden cobrar por servicios extra o gestión de incidentes. Siempre aclare esto por escrito.
• Límites de responsabilidad: Los proveedores suelen limitar su responsabilidad al alcance del mandato. No se hacen responsables por reportes perdidos debido a fallos internos.
• Plazos de aviso y términos de renovación: Renovaciones silenciosas o poco claras pueden causar costos inesperados o lapsos en la cobertura. REP27 publica precios y términos de renovación; otros no.

Lo que los proveedores usualmente no dicen:

• El mandato no cubre detección de vulnerabilidades, parcheo o notificación a usuarios—estas siguen siendo su responsabilidad.
• Las solicitudes de documentación de autoridades pueden retrasarse si su runbook está incompleto o su equipo no está preparado.
• Cambiar de proveedor puede ser complejo si su mandato no está claramente limitado al Artículo 18(3).

Solicite siempre una lista de exclusiones y confirme todos los términos por escrito antes de firmar.

Cómo funciona el nombramiento: paso a paso

Nombrar un representante autorizado CRA es un proceso estructurado. Así funciona en la práctica, con pasos concretos y consejos:

1. Determine su estatus: ¿Es usted fabricante de un producto con elementos digitales puesto en el mercado de la UE? Si sí, continúe. Si solo es importador o distribuidor, verifique si pone el producto bajo su propio nombre.
2. Verifique su establecimiento: Si no tiene entidad legal en la UE, debe nombrar un representante autorizado. Si tiene una filial en la UE que actúa como fabricante, reporta directamente.
3. Seleccione un proveedor: Compare proveedores según precios publicados, alcance y transparencia. REP27, kadano y Euverify publican precios; otros ofrecen detalles bajo solicitud.
4. Firme un mandato por escrito: El proveedor (por ejemplo, REP27) emite una carta de designación firmada, usualmente con firma electrónica eIDAS y certificado verificable. Confirme que el mandato está limitado a las funciones del Artículo 18(3).
5. Actualice su documentación de cumplimiento: Añada los datos del representante a sus archivos técnicos, runbook y cualquier documentación requerida por la CRA.
6. Configure el proceso de reporte: Nombre al menos dos remitentes con acceso a la plataforma de reporte ENISA. Prepare plantillas de alerta temprana y notificación con anticipación.
7. Defina disparadores y proceso interno: Documente qué constituye conocimiento de una vulnerabilidad explotada o incidente grave. Decida quién puede declararlo y qué evidencias se requieren (por ejemplo, explotación observada, reporte creíble de cliente).
8. Registro: Mantenga marcas temporales de conocimiento, envío y actualizaciones. Esto es su prueba si se cuestiona el plazo.
9. Preparación continua: Capacite a su equipo, pruebe su proceso de reporte y revise su runbook regularmente.

Este proceso asegura que esté listo para cumplir el plazo de reporte de 24 horas y evitar brechas de cumplimiento.

Riesgos y multas

Los riesgos de incumplimiento con la CRA son sustanciales, tanto financieros como operativos:

• Multas: El incumplimiento puede resultar en multas administrativas de hasta €15 millones o 2.5% de la facturación anual global, lo que sea mayor. Estas sanciones aplican por incumplimiento de plazos de reporte, falta de representante o respuesta inadecuada a incidentes (fuente).
• Riesgos operativos: Retrasos en el reporte pueden provocar investigaciones regulatorias, retiradas de productos o prohibiciones de acceso al mercado. La compra y distribución pueden bloquearse si no puede demostrar un representante válido en la UE.
• Daño reputacional: No notificar oportunamente a usuarios o autoridades puede generar publicidad negativa y pérdida de confianza de clientes.
• Disrupción interna: Sin un proceso claro de reporte, se pueden perder horas valiosas durante un incidente, aumentando riesgo y costo.

Ejemplos de fallas comunes:

• Pasar las primeras horas de un incidente intentando identificar el CSIRT correcto o la ruta de reporte, perdiendo tiempo valioso.
• Solicitudes de documentación que llegan a una oficina en otra zona horaria, causando retrasos en la respuesta.
• Un distribuidor tratado como ruta de reporte por defecto, perdiendo control sobre el manejo del incidente.
• Vencimientos silenciosos en la cobertura del mandato por términos de renovación poco claros.

Mitigue estos riesgos nombrando un representante transparente y receptivo y manteniendo un proceso interno robusto.

Matriz de decisión: ¿Necesita un representante CRA?

Use la matriz a continuación para determinar si necesita un representante autorizado CRA según su modelo de negocio y ubicación:

Verifique siempre su estatus y obligaciones antes de nombrar un representante.

Lista de verificación: pasos para cumplir con el reporte en 24 horas del CRA

1. Identifique si su producto está cubierto por la CRA (elemento digital, mercado UE).
2. Confirme si es el fabricante (no solo importador/distribuidor).
3. Si está fuera de la UE, nombre un representante autorizado CRA y obtenga un mandato firmado.
4. Documente los datos del representante en sus archivos técnicos y registros de cumplimiento.
5. Configure un canal de recepción 24/7 para reportes de vulnerabilidades (interno o vía representante).
6. Nombre al menos dos remitentes con acceso a la plataforma ENISA.
7. Pre-escriba plantillas de alerta temprana y notificación para completar rápidamente.
8. Capacite al personal sobre qué dispara un reporte y cómo responder en 24 horas.
9. Defina y documente las evidencias requeridas para "tener conocimiento" de una vulnerabilidad o incidente.
10. Registre todas las marcas temporales relevantes para pruebas de cumplimiento y auditoría.
11. Revise y actualice su runbook y proceso de reporte regularmente.

Seguir esta lista le ayudará a evitar los fallos de cumplimiento más comunes.

Escenarios realistas: ¿Qué obligación aplica?

• Empresa SaaS de EE.UU. vendiendo a la UE: Como fabricante fuera de la UE, debe nombrar un representante autorizado CRA (por ejemplo, REP27) para actuar como su ruta de reporte. Configure un canal 24/7 y asegure que al menos dos empleados puedan enviar reportes vía la plataforma ENISA. Prepare plantillas de alerta temprana y documente su proceso para determinar cuándo una vulnerabilidad está explotada activamente.
• Vendedor chino en Amazon (marca propia): Si fabrica y vende productos digitales con su marca a compradores de la UE, necesita un representante CRA. Si solo revende marcas de terceros, no lo necesita. Nombre un representante, actualice sus archivos de cumplimiento y prepárese para reporte en 24 horas.
• Tienda online del Reino Unido con dispositivo IoT propio: Si vende directamente a consumidores de la UE, es fabricante y debe nombrar un representante CRA. Si solo vende en Reino Unido, la CRA no aplica. Si usa un distribuidor de la UE que pone el producto en el mercado bajo su nombre, este asume la responsabilidad.

En todos los casos, la ruta más sencilla para cumplir es nombrar un representante transparente con precio fijo, documentar su proceso de reporte y capacitar a su equipo antes de la fecha de aplicación de la ley.