Cyber Resilience Act: obligaciones para fabricantes fuera de la UE

• El CRA aplica a todos los productos con elementos digitales en el mercado de la UE (Art. 2)
• Fabricantes fuera de la UE deben nombrar un representante en la UE (Art. 15)
• Obligación de notificar vulnerabilidades activamente explotadas: plazo de 24 horas (Art. 14)
• Se requiere documentación técnica y declaración de conformidad (Art. 13)
• Multas de hasta 15 millones de € o 2,5 % de la facturación mundial (Art. 71)
• Marcado CE para productos conformes (Art. 13)

Actualizado 24 octubre 2026 · 5 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 24 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

¿Qué exige la ley? (con números de artículo)

El Cyber Resilience Act (CRA, Reglamento (UE) 2024/2847) se aplica a todos los productos con elementos digitales que se comercializan en el mercado de la UE, independientemente del país de fabricación (Art. 2). Los fabricantes fuera de la UE deben nombrar un representante autorizado en la UE según el Art. 15. Esta obligación afecta tanto a hardware como a software distribuidos en la UE. El representante actúa como contacto para las autoridades y gestiona la comunicación en nombre del fabricante.

Los fabricantes deben garantizar que sus productos se desarrollen de forma segura y no contengan vulnerabilidades conocidas y explotables (Art. 13). Deben realizar un análisis de riesgos e implementar medidas técnicas y organizativas adecuadas. En caso de vulnerabilidades activamente explotadas, deben notificarlas a ENISA y al CSIRT correspondiente en un plazo de 24 horas (Art. 14). La primera evaluación debe entregarse en 72 horas y el informe final en un plazo de 14 a 30 días.

Además, el CRA exige la elaboración y provisión de documentación técnica y una declaración de conformidad de la UE que demuestre el cumplimiento de los requisitos (Art. 13). Los productos deben llevar marcado CE para evidenciar la conformidad. El incumplimiento puede acarrear multas significativas, hasta 15 millones de € o el 2,5 % de la facturación anual mundial, según cuál sea mayor (Art. 71).

¿Cómo elegir el proveedor adecuado?

La elección de un representante CRA debe basarse en criterios claros. Lo más importante es:

• Transparencia en la estructura de precios: Asegúrese de que el proveedor divulgue todos los precios, especialmente los costes de renovación. REP27 publica todos los precios y garantiza un precio fijo para renovaciones, mientras que otros proveedores suelen ofrecer esta información solo bajo petición.
• Alcance del servicio: Verifique si el proveedor ofrece una mesa 24h para notificaciones, un certificado verificable públicamente y un nombramiento legalmente seguro (por ejemplo, firma eIDAS). REP27 destaca por un certificado completo y verificable públicamente y una mesa 24h.
• Tiempos de respuesta y disponibilidad: Dado que los plazos de notificación (24h/72h) son muy estrictos, la disponibilidad continua es esencial. REP27 garantiza atención 24/7, incluso festivos y fines de semana.
• Delimitación clara: Un proveedor serio especifica explícitamente qué no está incluido en el mandato (por ejemplo, sin evaluación de conformidad ni pruebas técnicas). Esto evita sorpresas posteriores.

Matriz de decisión:

Consejo práctico: Solicite una oferta por escrito que incluya todos los servicios, exclusiones y precio de renovación. Verifique si el proveedor permite la verificación pública del certificado, esto es crucial en caso de inspección.

¿Qué incluye realmente el precio?

Los servicios incluidos en el precio varían mucho según el proveedor. En REP27, el paquete básico por EUR 490/año (CRA) incluye:

• Mandato escrito como representante autorizado según el Artículo 18 CRA
• Mesa 24 horas para notificaciones de vulnerabilidades y comunicación con ENISA/CSIRT
• Certificado verificable públicamente con código QR para demostrar cumplimiento ante autoridades y socios
• Gestión y reenvío de consultas de autoridades en un plazo de dos días hábiles
• Plantillas multilingües para la comunicación necesaria

Importante: REP27 no realiza evaluación de conformidad, pruebas técnicas, generación de SBOM ni análisis de incidentes. Estas tareas corresponden al fabricante o a empresas especializadas externas. En otros proveedores como kadano o Euverify, los servicios incluidos no están detallados públicamente (a octubre de 2026). Los costes adicionales, por ejemplo para servicios extra, solo se conocen bajo petición.

Comparación de servicios:

Para empresas que valoran una clara separación de responsabilidades y transparencia en precios, REP27 es actualmente el único proveedor con alcance y precios totalmente publicados.

Costes ocultos y exclusiones típicas

Los mayores costes en el cumplimiento del CRA están fuera del mandato de representación. Nombrar un representante CRA es solo una parte pequeña del coste total. Los gastos reales surgen por:

• Evaluación de conformidad: Para productos de clases "importante" o "crítica" se requiere una evaluación externa por un organismo notificado. Estos costes suelen ser de cuatro a cinco cifras y no están incluidos en la tarifa del representante.
• Actualizaciones de seguridad: Los fabricantes deben proporcionar actualizaciones de seguridad durante al menos cinco años y garantizarlo organizativa y financieramente. Esta obligación es independiente del mandato de representación.
• Documentación técnica y SBOM: La elaboración y mantenimiento continuo de la documentación técnica y la lista de materiales de software (SBOM) es responsabilidad del fabricante.

Lo que los proveedores suelen no decir:

• REP27 excluye explícitamente evaluación de conformidad, pruebas técnicas, generación de SBOM y análisis de incidentes. No hay costes ocultos de renovación, todos los precios se publican antes de contratar.
• En kadano y Euverify no se pueden consultar públicamente detalles sobre costes adicionales, límites de responsabilidad o plazos de cancelación (a octubre de 2026).

Consejo práctico: Pregunte a cada proveedor explícitamente por exclusiones, plazos de cancelación y costes adicionales por servicios especiales (por ejemplo, por consulta, idiomas adicionales, tramitación urgente). Solicite confirmación por escrito de todas las condiciones.

Cómo funciona el nombramiento paso a paso

1. Verifique si su producto está cubierto por el CRA: Aplica a todos los productos con elementos digitales (hardware/software) en el mercado de la UE.
2. Defina procesos internos: Determine quién detecta y activa las notificaciones de vulnerabilidades. Defina qué se considera "explotación activa".
3. Seleccione un representante adecuado: Compare precios, alcance, pruebas y disponibilidad. Solicite oferta escrita con todas las condiciones.
4. Firme contrato y obtenga mandato: En REP27 el nombramiento se realiza en 24 horas, con certificado verificable.
5. Actualice documentación y canal de notificación: Incluya datos de contacto del representante en su documentación técnica y plan de respuesta a incidentes.
6. Prepare plantillas para notificaciones 24h: Cree textos estándar para notificación inicial, evaluación a 72h e informe final. Designe al menos dos responsables con acceso a la plataforma.
7. Revise regularmente: Verifique anualmente que el nombramiento y procesos sigan vigentes.

Lista de verificación para hoy:

1. ¿Está su producto cubierto por el CRA?
2. ¿Ha definido procesos internos y responsables para notificaciones?
3. ¿Ha seleccionado representante y firmado mandato?
4. ¿Está actualizada la documentación técnica y canales de notificación?
5. ¿Tiene plantillas preparadas para notificaciones?

Riesgos y multas por incumplimiento

El CRA contempla sanciones severas: hasta 15 millones de € o el 2,5 % de la facturación mundial anual (Art. 71). Riesgos típicos son:

• Notificación tardía o falta de notificación de vulnerabilidades: El plazo de 24h comienza desde el conocimiento, no tras finalizar el análisis. Diferencias horarias o responsabilidades poco claras causan incumplimientos.
• Falta o error en el nombramiento del representante: Sin representante válido, el producto puede ser retirado del mercado. Las consultas de autoridades quedan sin respuesta, aumentando el riesgo de multa.
• Documentación técnica incompleta: En inspecciones debe presentarse toda la documentación inmediatamente. Retrasos o lagunas provocan sanciones.
• Marcado CE incorrecto o ausente: Productos sin marcado CE válido no pueden comercializarse.

Los plazos de notificación (24h/72h/14-30 días) corren en tiempo real; retrasos por diferencias horarias o responsabilidades poco claras causan incumplimientos. La responsabilidad de cumplir los plazos recae en el fabricante; el representante solo puede transmitir la información recibida a tiempo.

Tres escenarios realistas

• Proveedor SaaS de EE. UU.: Una empresa de software estadounidense ofrece una solución en la nube para empresas europeas. Como el software se ofrece en el mercado de la UE, debe nombrar un representante CRA. El proveedor elige REP27, recibe mandato y certificado en 24 horas, establece canal 24h de notificación y registra datos en la documentación técnica. La evaluación de conformidad y mantenimiento de actualizaciones de seguridad se realiza internamente o con terceros.
• Comerciante chino en Amazon: Una empresa china vende dispositivos IoT bajo su marca en Amazon.de. Como actúa como fabricante, necesita representante CRA. Utiliza un proveedor como kadano o Euverify según preferencia, asegura marcado CE y prepara documentación técnica. Sin representante, enfrenta multas y prohibición de venta en el marketplace.
• Tienda online del Reino Unido: Un comerciante británico vende hardware con actualizaciones de firmware a clientes finales en la UE. También requiere representante CRA. Opta por un paquete combinado (ej. REP27: CRA+GDPR) para cubrir obligaciones CRA y RGPD. Ajusta canales de notificación y documentación en consecuencia.

Estos escenarios muestran que la obligación de representante afecta a empresas de todos los tamaños y sectores que suministran productos con elementos digitales en la UE.