Costos de un representante autorizado para el Cyber Resilience Act: Proveedores y precios 2026

• Artículo 18 CRA: obligación de representante para fabricantes fuera de la UE
• Precios verificados 2026: 490 € a 999 € anuales
• REP27: 490 € (primer año), 440 € (renovación), sin cargos adicionales
• Los servicios varían: evaluación de conformidad y pruebas nunca incluidas
• Multas hasta 15 millones € o 2,5 % de facturación por incumplimiento (Art. 64 CRA)
• No todos necesitan representante: importadores, distribuidores y fabricantes UE no

Actualizado 25 octubre 2026 · 7 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 25 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

Qué exige el Cyber Resilience Act (con artículos)

El Cyber Resilience Act (CRA) es el reglamento central de la UE sobre ciberseguridad de productos con elementos digitales. Para fabricantes fuera de la UE es obligatorio nombrar un representante autorizado en la UE cuando ofrecen productos en el mercado europeo. Esta obligación proviene del Artículo 18 del CRA (Fuente).

• Artículo 18: Los fabricantes fuera de la UE deben nombrar un representante que comunique con autoridades y organismos de vigilancia en su nombre.
• Artículos 13 y 14: Regulan requisitos de seguridad y obligaciones de notificación de vulnerabilidades e incidentes. Desde el 11 de septiembre de 2026, los fabricantes deben notificar en 24 horas tras conocer un problema de seguridad activo (Fuente).
• Artículo 64: Las infracciones pueden sancionarse con multas hasta 15 millones € o 2,5 % de la facturación mundial anual (Fuente).
• Artículo 71: El reglamento entró en vigor el 10 de diciembre de 2024. Las obligaciones de notificación comienzan el 11 de septiembre de 2026 y la aplicación completa el 11 de diciembre de 2027 (Fuente).

La obligación afecta solo a fabricantes fuera de la UE. Importadores y distribuidores solo están afectados si actúan como fabricantes (por ejemplo, rebranding o puesta en mercado propia). Proyectos open source sin fines comerciales tienen un régimen reducido.

El rol del representante está claramente limitado: actúa como enlace con autoridades, sin responsabilidad técnica sobre el producto. Las tareas técnicas como evaluación de conformidad, actualizaciones de seguridad y documentación técnica corresponden al fabricante.

Cómo elegir el proveedor adecuado

La elección de un representante CRA debe basarse en transparencia, estructura de precios y verificabilidad. Muchos proveedores no publican precios, dificultando comparaciones. REP27 destaca por su estructura abierta y clara sobre servicios incluidos y excluidos (Fuente).

• Estructura de precios: Verifique precios publicados y costos de renovación. REP27 muestra claramente 490 € el primer año y 440 € renovación.
• Alcance del servicio: Un representante CRA solo puede asumir tareas del Artículo 18. Proveedores que prometen evaluaciones técnicas o pruebas exceden el marco legal.
• Verificabilidad: Un mandato verificable (por ejemplo, con código QR y página pública como REP27) es clave en caso de inspección.
• Plazos de cancelación y cargos adicionales: Pregunte por costos ocultos, plazos de cancelación y tarifas por solicitud. REP27 no cobra extras; otros proveedores pueden requerir consulta.

Compruebe si el proveedor está registrado legalmente y si la emisión del mandato es rápida y transparente. REP27 emite el mandato en 24 horas.

Qué incluye realmente el precio

El precio de un representante CRA cubre exclusivamente el mandato según el Artículo 18. Esto significa que el representante es el contacto formal para autoridades y vigilancia de mercado. La responsabilidad técnica del producto, evaluación de conformidad, elaboración del Software Bill of Materials (SBOM) y pruebas de seguridad no están incluidas y deben organizarse aparte (Fuente).

• REP27: Incluye mandato, pedido escrito, certificado verificable, soporte para consultas de autoridades y sin cargos adicionales. Evaluación, pruebas y SBOM excluidos.
• kadano / Euverify: No hay detalles claros sobre servicios incluidos. Se recomienda solicitar información escrita antes de contratar.

El representante no es responsable de la implementación técnica de los requisitos CRA. La mayoría de proveedores, incluyendo REP27, aclaran que no ofrecen asesoría técnica, evaluación ni pruebas. Quien necesite esto debe acudir a laboratorios o empresas especializadas en seguridad.

El rol del representante es limitado y protege principalmente contra consultas sin respuesta o retrasos en vigilancia de mercado. Un mandato verificable garantiza comunicación rápida y legalmente segura en caso de emergencia.

Costos ocultos y reales del cumplimiento CRA

Los costos principales del cumplimiento CRA no están en el representante, sino en medidas internas y externas para cumplir la ley. El mandato cuesta entre 490 € y 999 € anuales, siendo la partida más pequeña (Fuente).

• Evaluación de conformidad: Para productos clase I, cumplir normas armonizadas es suficiente. Para clase II o críticos se requiere evaluación externa por organismo notificado. Estos costos son varios miles de euros y el proceso dura meses.
• Actualizaciones de seguridad: Fabricantes deben proveer actualizaciones al menos cinco años. Estos costos suelen superar al mandato y deben planificarse a largo plazo.
• Recursos internos: Documentación, creación de SBOM y canal de notificación requieren esfuerzo adicional.
• Costos ocultos: Algunos proveedores cobran por consultas a autoridades, urgencias o cambios de mandato. REP27 no cobra extras; otros deben consultarse.

Nombrar un representante es necesario pero insuficiente para cumplir CRA. Los mayores costos y riesgos están en la implementación técnica y mantenimiento continuo.

Cómo es el proceso de pedido – paso a paso

1. Verifique si su empresa está sujeta al Artículo 18: ¿Es fabricante de un producto con elementos digitales y está fuera de la UE?
2. Compare proveedores: Revise precios publicados, costos de renovación y alcance. Busque mandatos verificables y exclusiones claras.
3. Solicite el mandato: En REP27 el pedido es online y la emisión en 24 horas. Otros proveedores bajo consulta.
4. Reciba y documente el mandato: Inclúyalo en la documentación técnica y expediente del producto. Debe presentarse a autoridades y vigilancia si se solicita.
5. Publique datos del representante: Incluya contacto en documentación y sitio web si aplica.
6. Establezca canal de notificación: Cree proceso interno para reportar vulnerabilidades e incidentes al representante. REP27 ofrece soporte que responde en dos días hábiles.
7. Revisión periódica: Verifique anualmente vigencia del mandato y actualización de datos.

Un proceso estructurado minimiza riesgos de multas y retrasos. Use esta lista para cubrir todos los pasos legalmente.

Riesgos y multas por incumplimiento

El incumplimiento de la obligación de representante según Artículo 18 CRA es una infracción administrativa. Según Artículo 64 se aplican multas hasta 15 millones € o 2,5 % de facturación mundial, lo que sea mayor (Fuente).

• Falta de representante: Consultas de autoridades quedan sin respuesta y vigilancia puede ordenar suspensión de venta.
• Responsabilidades poco claras: Sin mandato verificable, la comunicación con autoridades puede retrasarse, incumpliendo plazos de notificación (p. ej. 24 horas para vulnerabilidades).
• Cláusulas contractuales engañosas: Proveedores con precios opacos o cargos extras pueden generar costos inesperados. Un contrato claro y escrito es imprescindible.
• Deficiencias técnicas: Nombrar representante no protege contra multas por fallos técnicos, falta de actualizaciones o documentación insuficiente.

Un representante fiable es el primer paso para cumplir, pero no reemplaza las obligaciones técnicas y organizativas del fabricante. Los riesgos principales están en la falta de preparación para notificaciones y poca transparencia en la elección del proveedor.

Lo que los proveedores suelen no decir

• Alcance limitado: El mandato de un representante CRA incluye solo la representación formal según Artículo 18. No incluye asesoría técnica, evaluación, pruebas ni elaboración de SBOM.
• Sin responsabilidad por fallos del producto: El representante no responde por defectos técnicos o vulnerabilidades. La responsabilidad siempre es del fabricante.
• Precios de renovación y plazos: Muchos proveedores no publican precios de renovación ni condiciones de cancelación. REP27 los muestra claramente (440 € renovación, sin cargos extras).
• Cargos por solicitud: Algunos cobran por consultas a autoridades, urgencias o cambios de mandato. REP27 no cobra; otros deben consultarse.
• Sin soporte técnico: El representante no realiza actualizaciones, no elabora SBOM ni hace pruebas de penetración.

Por eso, la elección debe basarse no solo en precio, sino en transparencia de servicios y exclusiones. Pregunte claramente qué está incluido y qué no.

Matriz de decisión: ¿Necesita un representante CRA?

La obligación afecta solo a fabricantes que comercializan productos bajo su nombre o marca en la UE. Importadores, distribuidores y comerciantes en marketplace están exentos si no actúan como fabricantes.

Lista de verificación para compradores (implementación inmediata)

1. Verifique si su producto está sujeto al CRA (elementos digitales, venta en la UE).
2. Determine si es considerado fabricante (incluyendo OEM/White-Label).
3. Compare precios y servicios de proveedores. Solicite información escrita sobre costos de renovación y exclusiones.
4. Solicite el mandato y documente en expediente del producto.
5. Publique datos de contacto del representante en documentación técnica y sitio web si aplica.
6. Establezca canal para reportar vulnerabilidades e incidentes.
7. Planifique recursos para actualizaciones de seguridad (mínimo cinco años) y documentación técnica.
8. Asegure procesos internos para cumplir plazos de notificación (ej. 24 horas para vulnerabilidades).
9. Revise anualmente vigencia del mandato y datos de contacto.

Esta lista ayuda a cumplir sistemáticamente con todos los requisitos legales.

Tres escenarios reales: ¿Quién necesita qué?

• Proveedor SaaS de EE.UU.: Empresa estadounidense desarrolla software en la nube vendido directamente a clientes UE. Sin sede en UE, debe nombrar representante CRA según Artículo 18. Precio desde 490 € anuales con REP27. Implementación técnica (SBOM, actualizaciones, canal) queda en fabricante.
• Comerciante chino en Amazon: Empresa china vende productos smart home propios en Amazon a clientes UE. También aplica obligación de representante, pues actúa como fabricante. Mandato se pide online, costo desde 490 € anuales (REP27). Importador y Amazon no están obligados a nombrar representante.
• Tienda online británica: Tienda en Reino Unido importa productos asiáticos y los vende bajo su nombre a clientes UE. Como fabricante sin sede UE, necesita representante según Artículo 18. Debe cumplir también evaluación, actualizaciones y demás obligaciones.

En todos los casos, nombrar representante es solo parte del cumplimiento total. La implementación técnica y organizativa CRA es responsabilidad del fabricante.