Costo del reporte de vulnerabilidades 24h para fabricantes no UE (CRA 2026)

• Obligatorio desde el 11 de septiembre de 2026 para todos los fabricantes de productos digitales vendidos en la UE
• REP27 ofrece el servicio a €490/año, renovación €440, precio publicado
• Kadano: €999/año, Euverify: £590/año (aprox. €690), precios publicados
• El servicio cubre solo la transmisión de la notificación, no pruebas ni evaluaciones técnicas
• Incumplimiento: multas hasta €15 millones o 2,5% de la facturación global
• No aplica a importadores, distribuidores o quienes venden solo fuera de la UE

Actualizado 22 octubre 2026 · 7 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 22 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

Qué exige la ley: Artículo 14 CRA

El Artículo 14 del Cyber Resilience Act (Reglamento UE 2024/2847) establece una obligación muy estricta de reporte para todos los fabricantes de productos digitales vendidos en la Unión Europea, independientemente de su ubicación. Desde el 11 de septiembre de 2026, cada fabricante debe reportar en un plazo de 24 horas desde que tenga conocimiento una vulnerabilidad explotada activamente o un incidente grave de seguridad que afecte al producto. La notificación se realiza a través de la plataforma única gestionada por ENISA, dirigida al CSIRT coordinador del país UE correspondiente.

• La notificación consta de tres fases: early warning (en 24h), notificación detallada (en 72h), informe final (en 14 días).
• El reporte es obligatorio también para fabricantes fuera de la UE que venden directa o indirectamente a clientes UE.
• No se requieren pruebas de seguridad ni evaluaciones técnicas por parte del representante: su función es transmitir las notificaciones y actuar como punto de contacto.
• La obligación también aplica a incidentes que afectan la seguridad del producto, no solo a vulnerabilidades explotadas.

La falta de reporte o el retraso pueden conllevar sanciones de hasta €15 millones o el 2,5% de la facturación global anual, según cuál sea mayor. Estas reglas aplican a cualquiera que comercialice productos digitales en la UE, incluyendo software, hardware, dispositivos IoT, SaaS y más.

Fuentes: NIS2.gov.ie, Licentium

Cómo elegir el proveedor: criterios prácticos y comparación

Elegir el proveedor adecuado para el reporte de vulnerabilidades según el CRA requiere atención a varios aspectos prácticos, además del precio. Aquí los principales criterios a evaluar:

• Precio publicado y transparente: Prefiere proveedores que declaren claramente el costo anual y de renovación, evitando sorpresas.
• Cobertura geográfica: El proveedor debe garantizar representación en todos los países UE donde vendas tus productos.
• Certificación y verificación: Un mandato firmado electrónicamente y verificable públicamente es garantía de seriedad.
• Canal de reporte activo 24/7: El servicio debe estar operativo todo el año, incluidos fines de semana y festivos.
• Claridad sobre exclusiones: Ningún proveedor incluido ofrece, en el precio base, pruebas de seguridad, SBOM o soporte técnico: el mandato cubre solo la transmisión de notificaciones.

Comparación detallada:

Consejo práctico: siempre pregunta con anticipación qué está incluido, si hay costos por cada notificación y cómo funciona la renovación. Prefiere proveedores que provean un certificado verificable públicamente y que declaren claramente su entidad legal y cobertura geográfica.

Qué incluye realmente el precio: detalles prácticos

El precio publicado por los proveedores cubre exclusivamente el mandato de representación para el reporte de vulnerabilidades según el Art. 18 CRA. Esto significa que el representante:

• Recibe y transmite las notificaciones de vulnerabilidades o incidentes de seguridad a las entidades competentes (CSIRT/ENISA) mediante la plataforma oficial.
• Actúa como punto de contacto para las autoridades europeas en caso de consultas o aclaraciones.
• Proporciona un mandato firmado y certificado, a menudo con código QR para verificación pública.
• Garantiza un canal de reporte activo 24/7 (al menos REP27, según sus páginas oficiales).

No están incluidos en el precio base:

• Pruebas de seguridad o evaluación de vulnerabilidades
• Generación de Software Bill of Materials (SBOM)
• Soporte técnico, legal u operativo en la redacción de notificaciones
• Gestión de crisis o comunicación a usuarios finales (más allá del envío de la notificación)

Por ejemplo, REP27 especifica que "la evaluación de conformidad corresponde a organismos notificados, las pruebas a empresas de seguridad, la generación de SBOM a tu pipeline de desarrollo y el reporte a tu equipo de seguridad". El mandato cubre solo la transmisión y recepción de solicitudes de las autoridades. No hay tarifas extra declaradas por notificación ni ventas adicionales ocultas.

Consejo: asegúrate de contar internamente con las competencias para preparar las notificaciones y responder a posibles requerimientos de las autoridades.

Costos ocultos, límites del servicio y riesgos prácticos

El costo del mandato de representación es solo una parte del presupuesto necesario para cumplir con el Cyber Resilience Act. Los costos ocultos y límites del servicio suelen pasarse por alto:

• Preparación interna: La recopilación de información, redacción de notificaciones y gestión de comunicaciones con el representante corren por cuenta del fabricante.
• Auditorías y evaluaciones: En caso de requerimiento de las autoridades, podrías tener que afrontar costos por auditorías externas o evaluaciones técnicas, no cubiertos por el mandato.
• Soporte técnico y legal: El representante no ofrece asesoría técnica o legal más allá de la transmisión de notificaciones; cualquier consultoría es aparte.
• Responsabilidad limitada: Ningún proveedor incluido asume responsabilidad por errores en los contenidos proporcionados por el cliente o por omisiones en la notificación.
• Renovación y cambio: Siempre verifica condiciones de renovación y posibles penalizaciones por cambio de proveedor: REP27 publica precios de cambio y renovación, otros no.

Riesgos prácticos:

• Si el procedimiento interno no está listo, el riesgo de incumplimiento de plazos es alto.
• La falta o retraso en la notificación puede conllevar sanciones administrativas muy elevadas y bloqueo de ventas en la UE.

Consejo: considera el mandato como una "póliza de proceso", no como una solución técnica. El cumplimiento efectivo depende de tu organización interna.

Cómo funciona la designación: pasos y checklist

La designación del representante CRA sigue un esquema operativo claro. Aquí los pasos prácticos y una checklist a seguir:

1. Verifica si vendes productos digitales en la UE: Si sí, confirma si eres el fabricante (no solo distribuidor/importador).
2. Elige el proveedor: Compara precios, inclusiones, exclusiones y transparencia contractual.
3. Solicita el servicio online: Completa el formulario y recibe el mandato de representación Art. 18.
4. Firma y archiva el mandato: Debe estar firmado por ambas partes y guardado para posibles controles.
5. Incluye los datos del representante en la documentación empresarial: Actualiza runbooks, políticas internas y documentación de cumplimiento.
6. Prepara el procedimiento interno de reporte: Define quién puede declarar una vulnerabilidad, cómo recolectar evidencias y cómo completar los formatos de reporte (early warning, notificación, informe final).
7. Designa al menos dos submitters: Asegura que al menos dos personas tengan acceso a la plataforma ENISA para evitar bloqueos por ausencia.
8. Registra todos los pasos: Lleva control de quién, cuándo y cómo se hizo cada reporte. Es fundamental para auditorías.

Checklist operativa:

1. Verifica tu posición (fabricante, importador, distribuidor)
2. Elige y designa al representante
3. Prepara el procedimiento interno de reporte
4. Designa submitters y actualiza documentación
5. Precompleta formatos de reporte
6. Registra cada reporte y comunicación

Consejo: la claridad procedimental es el verdadero valor añadido del servicio de representación.

Matriz de decisión: ¿quién necesita el servicio?

No todas las empresas necesitan el mandato de representación para el reporte de vulnerabilidades. Aquí una matriz basada en casos reales:

Consejo: si solo eres distribuidor o importador y no comercializas el producto a tu nombre, no tienes obligación de designación. Si eres fabricante no UE, la designación es esencial para evitar sanciones.

Lo que los proveedores no dicen (pero deberías saber)

Muchos proveedores no publican detalles importantes que pueden afectar tu cumplimiento y costos reales:

• Exclusiones: Ningún proveedor incluido ofrece pruebas de seguridad, SBOM o evaluaciones técnicas en el precio base. El mandato cubre solo la transmisión de notificaciones.
• Responsabilidad: La responsabilidad sobre la corrección y puntualidad de las notificaciones siempre recae en el fabricante. El representante no verifica ni modifica los contenidos recibidos.
• Renovación y cambio: Algunos proveedores no publican el precio de renovación ni condiciones para cambiar de representante. REP27 publica ambos, otros no.
• Idiomas y horarios: Verifica que el proveedor esté realmente activo 24/7 y pueda gestionar solicitudes en varios idiomas, si es necesario.
• Límites del servicio: El representante no gestiona comunicación a usuarios finales, gestión de crisis ni asesoría legal.

Consejo: siempre pide una lista escrita de exclusiones y límites de responsabilidad antes de firmar.

Escenarios prácticos: tres casos reales y camino más sencillo

• SaaS estadounidense que vende en la UE: Debe nombrar un representante CRA, preparar el procedimiento de reporte e incluir al representante en documentos oficiales. En caso de vulnerabilidad explotada, envía la notificación al representante que la transmite a ENISA/CSIRT. El camino más sencillo es elegir un proveedor con canal activo 24/7 y mandato verificable.
• Vendedor chino en Amazon: Si es fabricante del producto digital, tiene obligación de reporte y debe nombrar representante; si solo es distribuidor, no. El camino más sencillo es aclarar el rol contractual y, si es necesario, confiar en un proveedor con experiencia en e-commerce.
• Tienda online UK: Si vende productos digitales a clientes UE, debe nombrar representante y seguir el procedimiento de reporte; si vende solo en UK, no hay obligación. El camino más sencillo es evaluar si la cuota de ventas en UE justifica el costo del cumplimiento.

En todos los casos, la preparación interna y la claridad procedimental son fundamentales para cumplir plazos y reducir riesgos de sanciones.