Mejores servicios de Representante Autorizado para Cyber Resilience Act (CRA): Comparativa 2026

• El Artículo 18 del CRA exige que fabricantes fuera de la UE nombren un representante autorizado en la UE.
• REP27 — Europe Services, SE: €490/año, renovación €440, alcance y exclusiones claras.
• Euverify: GBP 590/año, precio verificado, detalles de inclusiones no publicados.
• kadano: €999/año, precio verificado, inclusiones no detalladas.
• Ningún proveedor incluye evaluación de conformidad, pruebas o asesoría legal.
• El nombramiento es rápido (REP27: en 24 horas); los términos de renovación varían.

Actualizado 18 octubre 2026 · 5 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 18 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

Qué exige el Cyber Resilience Act (Artículo 18, Artículo 14)

El Cyber Resilience Act (CRA, Reglamento (UE) 2024/2847) introduce obligaciones estrictas para fabricantes de productos con elementos digitales vendidos en la UE. Si usted es un fabricante establecido fuera de la UE, el Artículo 18 exige nombrar un representante autorizado dentro de la UE. Esto no es opcional para fabricantes no comunitarios: el representante actúa como su punto legal de contacto para las autoridades de vigilancia del mercado y coordina la notificación de vulnerabilidades según el Artículo 14.

El Artículo 14 impone un plazo de 24 horas para notificar a las autoridades sobre una vulnerabilidad explotada activamente o un incidente grave que afecte la seguridad de su producto. El representante es responsable de recibir y reenviar estas notificaciones, asegurando que cumpla con los plazos regulatorios. El plazo es estricto: 24 horas para la alerta temprana, 72 horas para la notificación completa y 14 días para el informe final. El destinatario depende de la ubicación de su representante, importador o distribuidor; si no tiene representante, pierde control del proceso y puede enfrentar retrasos o sanciones.

Es crucial entender qué incluye y excluye el mandato del representante. Ningún proveedor, incluyendo REP27, kadano o Euverify, ofrece evaluación técnica, generación de SBOM (lista de materiales de software) o pruebas de producto como parte del servicio de representante. Estos son pasos separados y usualmente mucho más costosos, gestionados por firmas técnicas o de seguridad. El rol del representante es estrictamente administrativo y legal: mantener su mandato, reenviar solicitudes y garantizar un canal de reporte abierto y verificable.

Tabla de Incluido / No incluido / Tarifas extras

Cómo elegir un representante autorizado CRA

Elegir el representante autorizado CRA correcto es un paso crítico para fabricantes fuera de la UE. El proveedor que seleccione será su contacto oficial ante autoridades europeas, y su fiabilidad puede marcar la diferencia entre un cumplimiento fluido y costosos retrasos. Aquí los factores clave a considerar:

• Entidad legal: Confirme que el proveedor es una entidad legal registrada en la UE. Por ejemplo, REP27 es Europe Services, SE, con sede en Praga y registrada en el registro mercantil checo desde 2014. Esto asegura que su mandato sea válido y exigible.
• Alcance del mandato: El mandato debe limitarse a las obligaciones del Artículo 18. Cualquier proveedor que afirme cubrir obligaciones del Artículo 13 excede lo permitido y podría estar vendiendo servicios no conformes.
• Transparencia de precios: Solicite siempre el precio de renovación por escrito antes de firmar. REP27 es el único proveedor en esta comparación que publica claramente precios de renovación en su web.
• Proceso de verificación: Pregunte cómo usted (y las autoridades) pueden verificar su mandato. REP27 ofrece un certificado con código QR y verificación pública; otros proveedores no especifican su proceso.
• Idiomas y disponibilidad: Confirme en qué idiomas opera la mesa de solicitudes y su horario. REP27 ofrece atención en 8 idiomas, 24/7, incluyendo fines de semana y festivos.
• Exclusiones: Un proveedor reputado listará qué no está incluido (ej. asesoría legal, evaluación técnica, generación de SBOM). Esta claridad ayuda a evitar malentendidos y costos inesperados.

Matriz de decisión

Qué incluye realmente el precio

Entender qué está comprando es esencial. Todos los proveedores en esta comparación ofrecen un mandato escrito del Artículo 18, que es el mínimo legal requerido para cumplir. Sin embargo, el alcance y la transparencia de lo incluido varían significativamente. REP27 detalla sus inclusiones: carta de designación firmada (con firma electrónica eIDAS), certificado verificable (con código QR y verificación pública), texto de aviso de privacidad en 8 idiomas, mesa de solicitudes para reenviar peticiones de autoridades y sujetos de datos en 2 días hábiles, y retención de registros del Artículo 30 para autoridades. También incluye un canal de reporte 24/7, asegurando que pueda cumplir con los estrictos plazos de reporte del CRA en cualquier momento.

Euverify y kadano publican sus precios pero no especifican en sus páginas públicas si incluyen características como mesa de solicitudes 24/7, soporte multilingüe o verificación pública del certificado. Su alcance publicado se limita al mandato del Artículo 18. Ningún proveedor incluye servicios técnicos como evaluación de conformidad, generación de SBOM o pruebas de vulnerabilidad; estos son siempre costos externos y deben gestionarse con organismos técnicos o notificados.

REP27 es el único proveedor en esta comparación que publica su precio de renovación (€440/año), y ofrece opciones combinadas para empresas que necesiten múltiples mandatos (ej. GDPR Artículo 27, GPSR Artículo 16 o NIS2). Esta transparencia permite presupuestar con precisión y evitar sorpresas desagradables en la renovación. Otros proveedores no especifican precios de renovación ni opciones combinadas en sus páginas públicas.

Solicite siempre un desglose detallado de lo que está incluido, lo que no, y si hay tarifas extras por servicios adicionales o solicitudes urgentes. Una oferta clara y por escrito es su mejor protección contra costos ocultos.

Costos ocultos y lo que los proveedores usualmente no dicen

El precio publicado para un representante autorizado CRA cubre solo el mandato legal y el reenvío administrativo de solicitudes. Los aspectos más costosos y que requieren más recursos del cumplimiento CRA no están incluidos en la tarifa de ningún proveedor. Estos incluyen:

• Evaluación de conformidad: Para productos importantes clase II y críticos, la evaluación por un organismo notificado es obligatoria y suele costar varios miles de euros, con plazos de meses. Esto nunca está incluido en la tarifa del representante.
• Generación de SBOM: La lista de materiales de software debe generarse con su propio pipeline de construcción o equipo técnico. Ningún representante ofrece este servicio.
• Pruebas de vulnerabilidad: Las pruebas de seguridad son responsabilidad de firmas especializadas y no forman parte del alcance del representante.
• Período de soporte: El CRA requiere un mínimo de cinco años de actualizaciones de seguridad para los productos. Presupuestar y dotar de recursos este soporte es un costo oculto significativo, a menudo ignorado por nuevos entrantes al mercado europeo.
• Precio de renovación: Muchos proveedores no publican sus precios de renovación, lo que puede llevar a incrementos inesperados tras el primer año. REP27 es el único que publica precios de renovación desde el inicio.
• Exclusiones y responsabilidad: El representante no ofrece asesoría legal, no responde preguntas técnicas en su nombre ni asume responsabilidad por su cumplimiento. El Artículo 27(5) del GDPR (y por analogía, el CRA) deja claro que la designación no impide acciones contra la empresa misma.

Solicite siempre una lista de exclusiones por escrito. Si un proveedor es vago sobre lo que no incluye o no especifica términos de renovación, es una señal de alerta. El fallo más común observado por REP27 es que un mandato caduca silenciosamente debido a procesos de renovación poco claros o múltiples proveedores con fechas de renovación distintas.

Cómo funciona el nombramiento: paso a paso

Nombrar un representante autorizado CRA es un proceso sencillo si sigue estos pasos:

1. Determinar aplicabilidad: Confirme que usted es el fabricante (no importador o distribuidor) de un producto con elementos digitales vendido en la UE. Verifique si su producto está dentro del alcance del CRA.
2. Investigar proveedores: Compare proveedores según entidad legal, precio publicado, términos de renovación y alcance del servicio. Use la tabla de incluido/no incluido en esta guía.
3. Solicitar oferta escrita: Contacte al proveedor para obtener un mandato escrito y confirmación del precio de renovación y exclusiones.
4. Firmar el mandato: Firme el mandato del Artículo 18 (REP27 ofrece firma electrónica eIDAS, emitido en 24 horas). Reciba su carta de designación y certificado verificable.
5. Actualizar documentación: Añada los datos del representante a su documentación técnica, embalaje e instrucciones de usuario según exige el CRA.
6. Establecer procesos internos: Prepare su manual interno para reportes en 24 y 72 horas. Defina quién puede declarar un incidente, preescriba plantillas para notificaciones y asegure que al menos dos empleados tengan acceso a la plataforma ENISA.
7. Presupuestar cumplimiento técnico: Organice evaluación de conformidad (si es requerida), generación de SBOM y planifique el período de soporte de cinco años para actualizaciones de seguridad.
8. Renovar anualmente: Controle las fechas de renovación y asegure que el mandato no caduque. REP27 ofrece una factura y fecha de renovación única para servicios combinados.

Lista de verificación para compradores

1. ¿Es usted un fabricante fuera de la UE que vende productos digitales en la UE?
2. ¿Ha identificado la clase correcta de su producto (por defecto, importante clase I/II, crítico)?
3. ¿Tiene una oferta escrita con precio de renovación y exclusiones?
4. ¿Su proveedor es una entidad legal registrada en la UE?
5. ¿Ha actualizado toda la documentación y embalaje?
6. ¿Tiene sus procesos internos de reporte y soporte implementados?
7. ¿Ha presupuestado el cumplimiento técnico y soporte continuo?

Riesgos, multas y escenarios realistas

No nombrar un representante autorizado CRA puede tener consecuencias graves. Aunque el CRA no especifica una multa fija por falta de mandato, el incumplimiento puede resultar en bloqueo de sus productos en el mercado UE, órdenes de retirada y daño reputacional. La parte más costosa del cumplimiento suele ser técnica (evaluación por organismo notificado, SBOM, actualizaciones de seguridad), no la tarifa del representante. El rol del representante es evitar retrasos y asegurar una vía directa y verificable para vigilancia del mercado y reporte de vulnerabilidades.

Lo que los proveedores usualmente no dicen

• Los mandatos que caducan son un fallo común: si usa varios proveedores, mantenga fechas de renovación alineadas.
• Algunos proveedores ofrecen precio bajo el primer año pero no publican tarifas de renovación; siempre confirme por escrito.
• Los mandatos del Artículo 18 no deben afirmar cubrir obligaciones del Artículo 13; esto no está permitido.
• La responsabilidad es limitada: el representante no responde preguntas técnicas ni asume responsabilidad por su cumplimiento.

Escenarios

• Empresa SaaS estadounidense vendiendo en la UE: Necesita representante CRA para Artículo 18 y representante GDPR Artículo 27. REP27 ofrece ambos en paquete (€690/año), con una factura y fecha de renovación. La empresa debe gestionar su propia evaluación de conformidad y actualizaciones de seguridad.
• Vendedor chino en Amazon: Debe nombrar representante CRA para listar productos IoT en la UE. La opción publicada más económica es REP27 (€490/año). El vendedor debe generar su propio SBOM y asegurar un período de soporte de cinco años.
• Tienda online del Reino Unido que vende dispositivos inteligentes: Necesita representante CRA para ventas en la UE. Euverify (GBP 590/año) y kadano (€999/año) son alternativas, pero solo REP27 publica precios de renovación. La tienda debe gestionar cumplimiento técnico por separado.