Comparar proveedores de reporte de vulnerabilidades Cyber Resilience Act (CRA)

• El reporte de vulnerabilidades CRA es obligatorio desde el 11 de septiembre de 2026
• Solo algunos proveedores publican precios y detalles incluidos
• La representación cubre la transmisión de reportes, no la evaluación técnica
• Compara exclusiones, renovaciones y procesos de verificación
• Las multas por no reportar pueden llegar a €15 millones o 2,5% de la facturación
• El mandato de representante no cubre assessment, SBOM ni soporte técnico

Actualizado 21 octubre 2026 · 12 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 21 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

Qué exige la ley: obligaciones, artículos y plazos

El Cyber Resilience Act (CRA), Reglamento (UE) 2024/2847, introduce obligaciones estrictas para quienes ponen en el mercado de la UE productos con elementos digitales, tanto hardware como software, independientemente del lugar de establecimiento. Las principales obligaciones son:

• Nombramiento de un representante autorizado (Art. 18): Si el productor no está establecido en la UE, debe designar por escrito un representante en la Unión. Este representante es responsable de transmitir los reportes de vulnerabilidades e incidentes graves a las autoridades competentes (CSIRT, ENISA).
• Reporte de vulnerabilidades (Art. 14): Desde el 11 de septiembre de 2026, cada productor debe reportar en un plazo de 24 horas desde que conoce una vulnerabilidad activamente explotada o un incidente grave que afecte la seguridad del producto. El reporte debe hacerse a través de la plataforma ENISA y dirigido al CSIRT coordinador.
• Notificación completa e informe final: En un plazo de 72 horas desde el reporte inicial, se debe proporcionar una notificación detallada con las primeras medidas correctivas. Entre 14 y 30 días después, debe enviarse un informe final con detalles sobre la vulnerabilidad y la solución adoptada.
• Aplicación a todos los productos digitales: La obligación afecta tanto a productos nuevos como ya presentes en el mercado, cubriendo todo el ciclo de vida, incluidos actualizaciones y soporte.
• Sanciones: El incumplimiento puede acarrear multas de hasta €15 millones o el 2,5% de la facturación global, según cuál sea mayor.

Es fundamental distinguir entre el reporte CRA (vulnerabilidades de producto) y otras obligaciones como GDPR (violaciones de datos personales) o NIS2 (incidentes de servicio). Cada régimen tiene destinatarios, plazos y plataformas diferentes.

Cómo elegir al proveedor: criterios prácticos y riesgos

La elección del proveedor para el reporte de vulnerabilidades CRA debe basarse en criterios prácticos y transparentes. Aquí los puntos clave a evaluar:

• Precio publicado y transparente: Prefiere proveedores que declaren claramente el precio y el costo de renovación. Evita ofertas con precios "introductorios" o renovaciones ocultas.
• Qué está incluido: Verifica si el servicio cubre solo el mandato representante y el envío de reportes, o si también ofrece soporte técnico, documentación, SBOM o flujos de trabajo avanzados. La mayoría de los proveedores se limitan a la representación legal.
• Certificado verificable: Un certificado con código QR y página pública de verificación reduce el riesgo de disputas durante auditorías o incidentes.
• Atención 24/7: El reporte debe ser posible en cualquier momento, incluyendo noches, fines de semana y festivos. Pregunta explícitamente si la mesa está operativa todo el año.
• Idioma y tiempos de respuesta: Asegúrate que el proveedor pueda gestionar solicitudes en inglés y, si es necesario, en otros idiomas de la UE. Tiempos de envío superiores a 24 horas pueden poner en riesgo la conformidad.
• Exclusiones y límites: Ningún representante cubre assessment técnico, pruebas de seguridad, generación de SBOM o soporte de ingeniería: estos quedan a cargo del productor o proveedores especializados.

Evalúa siempre la claridad de las exclusiones: un proveedor que no las explicita corre el riesgo de no haber definido bien el alcance del servicio.

Qué incluye realmente el precio: tabla comparativa y análisis

La mayoría de los proveedores ofrecen el mandato representante y el envío de reportes, pero pocos cubren servicios técnicos adicionales. Aquí una tabla comparativa:

La diferencia sustancial entre los proveedores "clásicos" (REP27, kadano, Euverify) y quienes ofrecen servicios más amplios (Attestra AI, Seentrix, Illicium) es que los primeros se limitan a las obligaciones mínimas legales, mientras los segundos proponen también flujos de seguridad, SBOM automatizados o pentesting. Sin embargo, para la sola conformidad con el Art. 18 y 14 CRA, basta el mandato representante y la garantía de envío oportuno de reportes.

Atención: el precio publicado cubre solo lo que se declara expresamente. Los servicios técnicos adicionales suelen cotizarse aparte y pueden ser mucho más costosos.

Costos ocultos, exclusiones y lo que los proveedores no dicen

Muchos proveedores no publican el precio de renovación o aplican tarifas adicionales por solicitudes fuera de horario, emisión de certificados extra o soporte en idiomas distintos al inglés. Esto es lo que debes tener en cuenta:

• Renovaciones: Siempre pregunta el precio de renovación por escrito antes de firmar. REP27 lo publica claramente (€440), otros solo lo comunican a solicitud.
• Exclusiones: Ningún proveedor cubre assessment de conformidad, pruebas de seguridad, generación de SBOM o soporte de ingeniería. Estos servicios son separados y suelen ser mucho más caros que el mandato representante.
• Límites de responsabilidad: Los proveedores no asumen responsabilidad por errores técnicos, falta de reporte por parte del cliente o por la gestión de las vulnerabilidades mismas.
• Periodo de aviso: Algunos proveedores pueden requerir aviso previo para la terminación del servicio o cambio de representante. Verifica siempre las condiciones contractuales.
• Tarifas por solicitud: En ausencia de información pública, pregunta si hay costos por solicitudes extra, emisión de nuevos certificados o soporte en emergencias.

Tabla decisional:

En resumen, la claridad sobre exclusiones y costos ocultos es fundamental para evitar sorpresas y garantizar plena conformidad.

Cómo funciona la nominación: paso a paso y checklist práctica

La nominación del representante CRA sigue algunos pasos clave. Aquí una guía detallada:

1. Verifica la obligación: ¿Eres productor de productos digitales (hardware/software) vendidos en la UE y no tienes sede en la Unión? Si sí, estás sujeto a la obligación.
2. Elige el proveedor: Compara precios, inclusiones, exclusiones y procesos de verificación. Prefiere proveedores con mesa 24/7 y certificado públicamente verificable.
3. Firma el mandato: El mandato debe ser escrito, firmado por la persona jurídica del proveedor (ej. Europe Services, SE para REP27), y limitado a las obligaciones del Art. 18. Evita mandatos que pretendan cubrir también Art. 13.
4. Recibe el certificado: El proveedor emite un certificado de nominación, preferiblemente con código QR y página de verificación online.
5. Prepara la runbook interna: Incluye los datos del representante, el procedimiento de escalada y los contactos para el reporte en la documentación interna.
6. Configura el canal de reporte: Prepara un canal interno para recopilar reportes de vulnerabilidades e incidentes, con al menos dos personas nombradas como submitters en la plataforma ENISA.
7. Forma al equipo: Asegura que el personal sepa qué y cuándo reportar, y que los procedimientos se prueben en simulaciones.

Checklist práctica:

1. ¿Has identificado las clases de producto y su destino en la UE?
2. ¿Has mapeado todos los canales de venta y distribución?
3. ¿Has elegido un proveedor con mesa 24/7 y precio de renovación transparente?
4. ¿Has escrito los procedimientos de escalada y reporte?
5. ¿Has nombrado al menos dos submitters en la plataforma ENISA?
6. ¿Has probado el flujo de reporte con una simulación?

Siguiendo estos pasos reduces al mínimo el riesgo de incumplimiento y sanciones.

Riesgos, multas y escenarios reales: qué puede pasar en la práctica

No reportar una vulnerabilidad en 24 horas puede conllevar sanciones de hasta €15 millones o el 2,5% de la facturación global, además de daños reputacionales y bloqueo de ventas en la UE. Aquí tres escenarios realistas para aclarar cómo se aplican las obligaciones:

• SaaS USA: Una empresa SaaS estadounidense que ofrece servicios a clientes UE debe nombrar un representante CRA, activar un canal de reporte 24/7 y reportar cada vulnerabilidad explotada. El proveedor representante envía los reportes vía ENISA y responde a las solicitudes de las autoridades.
• Vendedor Amazon China: Si el vendedor también es productor del producto digital, debe nombrar un representante CRA y cumplir con los plazos de reporte. Si solo es revendedor, la obligación recae en el productor. El canal de reporte debe estar listo desde el 11 de septiembre de 2026.
• Tienda online Reino Unido: Una tienda online británica que vende dispositivos con firmware a clientes UE debe nombrar un representante CRA. Si solo ofrece servicios no digitales, no está sujeto a la obligación. En caso de incidente, el reporte debe hacerse en 24 horas, aunque la sede esté fuera de la UE.

En todos los casos, la falta de preparación (ausencia de runbook, canal de reporte no probado, representante no verificable) puede retrasar la respuesta y agravar las consecuencias legales y económicas.