Costos del representante autorizado para Cyber Resilience Act: guía 2026

• REP27 — Europe Services, SE: €490/año, renovación €440
• Kadano: €999/año (Austria), Euverify: £590/año (Irlanda)
• El mandato cubre solo la representación legal (Art. 18 CRA)
• Conformidad técnica, pruebas y SBOM no incluidos por ningún proveedor
• Precios publicados y verificados en octubre de 2026
• No aplica para importadores, distribuidores o empresas solo UE

Actualizado 20 octubre 2026 · 3 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 20 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

Qué exige la ley: Artículo 18 Cyber Resilience Act

El Cyber Resilience Act (Reglamento UE 2024/2847) introduce nuevas obligaciones para los fabricantes de productos con elementos digitales que desean comercializar en la Unión Europea. En particular, el Artículo 18 impone a los fabricantes no establecidos en la UE la obligación de nombrar un representante autorizado dentro de la Unión. Este representante actúa como punto de contacto oficial entre el fabricante extra-UE y las autoridades competentes de los Estados miembros, especialmente para la gestión de notificaciones de vulnerabilidades (Artículo 14) y para la comunicación con los CSIRT nacionales y ENISA.

El nombramiento debe ser formal, escrito y documentado. El representante autorizado tiene la tarea de recibir y reenviar todas las solicitudes de las autoridades de vigilancia del mercado y garantizar un canal de comunicación siempre activo. La obligación recae sobre el fabricante cuando:

• El fabricante está establecido fuera de la UE
• El producto está destinado al mercado UE (venta directa, a través de distribuidores o marketplaces)

Importadores y distribuidores UE no están sujetos a esta obligación, salvo que vendan productos a su propio nombre. El representante no se ocupa de evaluaciones técnicas, pruebas de seguridad o generación de SBOM: estas quedan a cargo del fabricante.

No nombrar representante puede conllevar sanciones administrativas y bloqueo del acceso al mercado UE.

Cómo elegir el representante: criterios prácticos y comparación

Elegir el representante autorizado para el Cyber Resilience Act es una decisión estratégica que impacta la conformidad, la rapidez de respuesta y la transparencia ante las autoridades. Los criterios clave a evaluar son:

• Precio transparente y condiciones de renovación: Preferir proveedores que publiquen tanto el precio inicial como el de renovación. REP27, por ejemplo, publica ambos; otros proveedores podrían no ofrecer esta información salvo a solicitud.
• Certificado verificable: Un certificado digital con código QR y página pública de verificación (como el de REP27) permite demostrar fácilmente el nombramiento ante autoridades y socios comerciales.
• Cobertura lingüística y tiempos de respuesta: La capacidad de gestionar solicitudes en varios idiomas y responder rápidamente, incluso durante festivos o fuera de horario, es esencial para cumplir los plazos estrictos del CRA.
• Exclusiones claras: Ningún proveedor incluido ofrece evaluación técnica, pruebas de seguridad o SBOM. Estos servicios siempre están excluidos y deben gestionarse por separado.

A continuación, una matriz decisional práctica:

Evalúa también la existencia de paquetes: REP27 ofrece descuentos si se combinan varios mandatos (ej. GDPR Art. 27 + CRA + NIS2), reduciendo la complejidad administrativa y riesgos de renovación fallida.

Qué incluye realmente el precio: comparación detallada y límites

El precio publicado por los proveedores cubre exclusivamente la representación legal prevista en el Art. 18 CRA. Esto significa:

• Firma del mandato escrito y emisión de un certificado de nombramiento
• Recepción y reenvío de solicitudes de las autoridades de vigilancia del mercado
• Gestión de notificaciones de vulnerabilidades según Art. 14 CRA (ej. reenvío a CSIRT y ENISA)

Nunca están incluidos:

• Evaluación de conformidad (obligatoria para productos de clase importante II o críticos)
• Pruebas de seguridad, generación de SBOM, soporte técnico
• Redacción de políticas técnicas o documentación técnica

Tabla resumen:

El mandato representa la base legal mínima para acceder al mercado UE, pero la conformidad técnica es responsabilidad exclusiva del fabricante.

Costos ocultos y gastos extra: qué saber realmente

El costo del representante autorizado es solo una pequeña parte del gasto total para la conformidad con el Cyber Resilience Act. Los costos ocultos más relevantes son:

• Evaluación de conformidad (organismo notificado): Para productos de clase importante II o críticos, la evaluación por un organismo notificado es obligatoria y puede implicar costos mucho mayores que el mandato del representante. Estos costos no están incluidos por ningún proveedor.
• Soporte técnico y actualizaciones: El CRA requiere al menos cinco años de actualizaciones de seguridad, que deben planificarse y financiarse como parte integral del ciclo de vida del producto.
• Gestión de vulnerabilidades: La organización interna debe estar preparada para detectar, documentar y notificar vulnerabilidades dentro de las 24 horas posteriores al descubrimiento, bajo pena de sanciones y riesgos reputacionales.

REP27 declara explícitamente que evaluación, pruebas y SBOM no están incluidos ni son objeto de venta adicional. Otros proveedores no publican detalles sobre posibles costos extra por solicitudes urgentes o servicios adicionales; por ello es esencial solicitar esta información antes de firmar.

Lista de verificación para evitar sorpresas:

1. Consulta siempre el precio de renovación y condiciones de cancelación
2. Verifica si hay costos por solicitudes fuera de horario o urgentes
3. Asegúrate que el proveedor detalle claramente qué está incluido y qué no

Cómo funciona el nombramiento: paso a paso y lista práctica

El nombramiento de un representante CRA sigue un procedimiento preciso, fundamental para garantizar la conformidad y trazabilidad ante las autoridades UE. Así funciona:

1. Verifica la necesidad: ¿Eres fabricante extra-UE con productos destinados al mercado UE? Si sí, continúa.
2. Evalúa la clase del producto: Por defecto, importante I/II, crítico. Esto determina si solo necesitas el representante o también la evaluación notificada.
3. Selecciona el proveedor: Compara precios, condiciones de renovación y métodos de verificación del nombramiento.
4. Solicita el nombramiento: Firma el mandato escrito (Art. 18 CRA) con el proveedor elegido. REP27, por ejemplo, emite la designación en 24 horas.
5. Recibe el certificado: El proveedor entrega un certificado verificable (ej. código QR REP27) para incluir en la documentación técnica y canales de reporte.
6. Prepara la guía interna: Define quién puede declarar el hallazgo de una vulnerabilidad, quién envía las notificaciones y cómo se documentan los tiempos de respuesta.
7. Incluye los datos del representante: Actualiza la documentación técnica, sitio web y canales de soporte con los datos del representante.

Lista para seguir hoy mismo:

1. Verifica si eres fabricante extra-UE con ventas directas en UE
2. Evalúa la clase de tu producto
3. Compara precios y condiciones de los proveedores
4. Pide aclaraciones sobre exclusiones y costos extra
5. Prepara la documentación requerida para el nombramiento
6. Define el procedimiento interno para gestión de vulnerabilidades

Riesgos y sanciones: qué pasa sin representante

No nombrar un representante autorizado conlleva riesgos concretos y sanciones potencialmente muy elevadas. En particular:

• Sanciones administrativas: Las autoridades nacionales pueden imponer multas y bloquear la comercialización de productos no conformes. La normativa prevé sanciones significativas, aunque el importe exacto depende de la aplicación nacional.
• Imposibilidad de acceso al mercado UE: Sin representante, el producto no puede ser legalmente comercializado en el mercado europeo. Esto puede bloquear líneas enteras de negocio.
• Retrasos en la gestión de incidentes: Sin un canal de comunicación efectivo, las notificaciones de vulnerabilidades pueden no gestionarse en los tiempos previstos (24 horas para la alerta temprana), exponiendo a la empresa a sanciones adicionales y daños reputacionales.

Es importante destacar que el representante no asume responsabilidad técnica o legal sobre la seguridad del producto: la responsabilidad última siempre recae en el fabricante. El representante actúa solo como punto de contacto y reenvío hacia las autoridades.

Tabla resumen de riesgos:

Lo que los proveedores no dicen: límites, exclusiones y renovaciones

Muchos proveedores no publican detalles importantes que pueden afectar la elección y gestión del mandato:

• Precio de renovación: Solo REP27 publica el precio de renovación (ej. €440/año). Otros proveedores podrían aumentar el precio tras el primer año, por lo que es fundamental solicitar esta información por escrito.
• Exclusiones: Evaluación técnica, pruebas de seguridad, SBOM y reportes técnicos nunca están incluidos. Estos servicios deben adquirirse por separado y pueden representar la parte más costosa de la conformidad.
• Condiciones de cancelación: Las modalidades y tiempos para cambiar de representante no siempre son claras. Es importante verificarlas en el contrato antes de firmar.
• Costos por solicitudes extra: Ningún proveedor incluido publica costos por solicitudes urgentes o fuera de horario. Siempre pregunta si existen tarifas adicionales por servicios no ordinarios.
• Límites de responsabilidad: El representante no asume responsabilidad técnica o legal sobre el producto. Su función se limita al reenvío y representación formal.

Una elección informada siempre parte de la lectura atenta del contrato y la solicitud de todas las condiciones por escrito.

Escenarios prácticos: tres casos reales y la solución más sencilla

Para aclarar cómo se aplican las obligaciones y cuál es la solución más sencilla, aquí tres escenarios realistas:

• US SaaS: Una empresa estadounidense vende software directamente a clientes UE. Debe nombrar un representante CRA Art. 18. Puede elegir REP27 (€490/año) u otro proveedor. Si también ofrece servicios cloud, podría necesitar considerar la conformidad NIS2.
• Vendedor chino en Amazon: Si el producto lleva el nombre del vendedor, es el fabricante quien debe nombrar al representante. Si Amazon actúa como importador de registro, la responsabilidad pasa a Amazon. Es fundamental verificar quién figura como fabricante/importador en los documentos de venta.
• Tienda online UK: Una tienda online británica que vende directamente a clientes UE está obligada a nombrar un representante. Si solo vende a través de distribuidores UE que importan y revenden a su nombre, la obligación no recae en la tienda UK.

Este análisis ayuda a evitar errores comunes y elegir la solución más eficiente para cada situación.