Representante Autorizado Cyber Resilience Act: Obligaciones, Precios y Elección (2026)

• Obligación para fabricantes fuera de la UE que venden en la UE (art. 18 CRA)
• Precios publicados: de €490 a €999/año (octubre 2026)
• El representante gestiona relaciones, documentación y notificaciones a autoridades
• No incluye evaluación, pruebas ni SBOM: solo mandato y reenvío
• Comparativa de proveedores con precios transparentes: REP27, Kadano, Euverify
• Multas hasta €10 millones o 2% de la facturación global

Actualizado 23 octubre 2026 · 8 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 23 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

Qué exige la ley: obligación de representante CRA (art. 18)

El Cyber Resilience Act (CRA) introduce una nueva obligación para todos los fabricantes de productos con elementos digitales que no estén establecidos en la Unión Europea pero que pretendan introducir dichos productos en el mercado de la UE. Según el artículo 18, estos fabricantes deben nombrar un representante autorizado mediante mandato escrito. El representante actúa como punto único de contacto entre el fabricante fuera de la UE y las autoridades de supervisión europeas, con responsabilidades específicas:

• Mantener la declaración UE de conformidad y la documentación técnica durante al menos 10 años tras la comercialización o durante todo el periodo de soporte declarado, si es superior.
• Proporcionar información y documentación a las autoridades de supervisión a petición, demostrando la conformidad del producto.
• Colaborar con las autoridades para eliminar riesgos asociados a los productos digitales cubiertos por el mandato.

La ley se aplica a todos los fabricantes, independientemente del país de origen, si los productos están destinados al mercado UE (fuente). No están sujetos a la obligación los importadores, distribuidores y marketplaces que no actúen como fabricantes. La falta de nombramiento del representante puede conllevar multas de hasta €10 millones o el 2% de la facturación global, además del bloqueo de la comercialización.

El nombramiento no es solo una formalidad: las autoridades pueden solicitar en cualquier momento la documentación técnica y la declaración de conformidad a través del representante. En caso de incidentes de seguridad, el representante debe poder responder con rapidez a las solicitudes de las autoridades competentes.

Cómo elegir el representante CRA: criterios, comparación y diferencias

La elección del representante autorizado para el CRA es estratégica, tanto para el cumplimiento como para la gestión eficiente de las solicitudes de las autoridades. Aquí los principales criterios a evaluar:

• Claridad del mandato: El mandato debe limitarse a las responsabilidades previstas en el art. 18, sin extensiones no permitidas (por ejemplo, evaluaciones o pruebas que la ley asigna a otros sujetos).
• Precio transparente: Verifica que el precio esté publicado y que la renovación se declare con antelación, evitando sorpresas en años posteriores.
• Certificado verificable: Prefiere proveedores que ofrecen un certificado público y verificable (ej. código QR) para demostrar el nombramiento en caso de controles o auditorías.
• Proceso de reenvío: Pregunta cómo se gestionan las solicitudes de las autoridades, en qué idiomas y con qué tiempos de respuesta.
• Exclusiones y límites: Un proveedor serio lista claramente qué está incluido y qué no, evitando ambigüedades sobre evaluaciones, pruebas, SBOM o soporte técnico.

Tabla comparativa inclusiones/tarifas extra:

Considera también la presencia de servicios adicionales como revisión del catálogo de productos (útil para quienes tienen muchas referencias) y la posibilidad de cubrir varias normativas (ej. GDPR, GPSR) con un solo proveedor.

Qué incluye realmente el precio: costes visibles y ocultos

El precio publicado por los proveedores cubre exclusivamente el mandato escrito de representación y la gestión de las solicitudes de las autoridades de supervisión. No están incluidos:

• Evaluaciones de conformidad (tarea de los organismos notificados, no del representante)
• Pruebas de seguridad, generación de SBOM o soporte técnico
• Redacción o revisión de la documentación técnica
• Asesoría legal o formación (salvo ofertas específicas como Comply.Land)

Tabla de inclusiones:

Atención a los costes ocultos: algunos proveedores no publican el precio de renovación o aplican tarifas por solicitudes extra, cambio de proveedor o servicios fuera del mandato. Pide siempre una oferta escrita que incluya el precio de renovación y las condiciones de cancelación.

Finalmente, considera que el coste del representante es solo una pequeña parte del cumplimiento CRA: los gastos mayores están relacionados con la adecuación técnica, generación de documentación y, para productos de clase superior, la certificación por organismos notificados.

Costes ocultos y qué preguntar antes de firmar

Antes de suscribir un mandato con un proveedor, es fundamental aclarar algunos aspectos para evitar sorpresas:

• Precio de renovación: Pide que esté claramente indicado en el contrato o en la oferta escrita, no solo en la web.
• Tarifas por solicitudes extra: Verifica si existen costes adicionales por gestionar solicitudes fuera de horario, urgencias o cambios de proveedor.
• Ámbito del mandato: El mandato debe cubrir solo el art. 18; ofertas que incluyen evaluaciones, pruebas u otros servicios están en conflicto con la normativa.
• Certificado verificable: Un certificado público (ej. código QR) es útil para demostrar el nombramiento en caso de auditorías o solicitudes de autoridades.
• Tiempos de respuesta: Pregunta cuáles son los tiempos de reenvío de solicitudes y si el servicio está activo también durante festivos y fuera de horario.

Tabla decisional:

Pide siempre una lista escrita de lo que está incluido, excluido y posibles tarifas extra. Un proveedor transparente te facilitará esta información sin dudas.

Cómo funciona el nombramiento: paso a paso y checklist práctica

El nombramiento del representante CRA sigue un procedimiento claro, que puedes iniciar con antelación a la entrada en vigor de las sanciones (diciembre 2027):

1. Verifica tu situación: ¿Eres un fabricante fuera de la UE que vende productos digitales en Europa? Si sí, continúa.
2. Identifica los productos cubiertos: Mapea todos los productos digitales destinados al mercado UE y verifica que estén dentro del ámbito del CRA.
3. Prepara la documentación: Prepara la declaración UE de conformidad y la documentación técnica requerida por la normativa.
4. Selecciona el proveedor: Elige entre los proveedores con precio publicado y mandato transparente (ver tabla arriba).
5. Solicita el mandato: Completa el formulario online o envía solicitud escrita. Recibe el mandato firmado (a menudo con firma electrónica eIDAS).
6. Registra al representante: Introduce los datos del representante en tus políticas internas, runbook y documentación técnica.
7. Gestión operativa: En caso de solicitud de autoridades, el representante recibe y reenvía la comunicación dentro de los tiempos previstos (ej. 2 días laborables para REP27).

Checklist para hoy:

1. Verifica tu posición legal y los mercados atendidos
2. Recopila y actualiza la documentación técnica
3. Pide presupuestos a varios proveedores
4. Compara inclusiones, exclusiones y precios de renovación
5. Firma el mandato y actualiza tus procedimientos internos

Riesgos, multas y qué ocurre sin representante

La falta de nombramiento del representante autorizado conlleva riesgos significativos:

• Multas: Hasta €10 millones o el 2% de la facturación global, según cuál importe sea mayor (fuente).
• Bloqueo de comercialización: Los productos pueden ser retirados del mercado UE o bloqueados en aduanas.
• Retrasos e ineficiencias: Sin un punto de contacto claro, las solicitudes de las autoridades pueden llegar a distribuidores, clientes o importadores, causando retrasos y daños reputacionales.
• Complicaciones en incidentes: En caso de vulnerabilidades o incidentes de seguridad, la ausencia de representante puede ralentizar la respuesta y agravar las consecuencias legales y comerciales.

Escenario decisional:

El nombramiento a tiempo del representante reduce el riesgo de sanciones y garantiza una gestión rápida de las solicitudes de las autoridades, fundamental en caso de incidentes de seguridad con plazos estrictos (ej. 24 horas para notificación de vulnerabilidades explotadas).

Lo que los proveedores suelen no decir: límites, exclusiones, riesgos

Muchos proveedores no destacan algunos aspectos clave del servicio de representación CRA:

• Evaluación y pruebas excluidas: Ningún representante puede realizar evaluaciones de conformidad, pruebas de seguridad o generar SBOM: son tareas separadas, a menudo mucho más costosas, que corresponden a organismos notificados o al fabricante.
• Mandato limitado por ley: El mandato debe cubrir solo el art. 18; cualquier extensión (ej. gestión de obligaciones art. 13) está prohibida por la normativa.
• Precio de renovación no siempre transparente: Algunos proveedores no publican el precio de renovación o aplican tarifas por cambio de proveedor o solicitudes extra.
• Responsabilidad limitada: El representante es responsable solo del reenvío y custodia de documentos, no de la conformidad técnica o seguridad del producto.
• Tiempos de respuesta e idiomas: No todos los proveedores especifican los tiempos de respuesta o los idiomas soportados: un detalle fundamental para la gestión eficaz de las solicitudes de las autoridades.

Pide siempre una lista escrita de exclusiones y condiciones de servicio, para evitar malentendidos y riesgos de incumplimiento.

Escenarios prácticos: tres ejemplos reales y la solución más sencilla

• SaaS USA: Una empresa estadounidense ofrece software en la nube a clientes UE. Debe nombrar un representante CRA, preparar la documentación técnica y la declaración de conformidad. Puede elegir un proveedor con mandato transparente y precio fijo (ej. REP27 o Euverify). No se requiere evaluación si el producto es de clase básica y se aplican estándares armonizados.
• Vendedor Amazon China: Un fabricante chino vende dispositivos IoT en Amazon a clientes UE. Debe nombrar representante CRA, aunque el marketplace gestione la logística. El representante debe figurar en la documentación técnica y políticas de producto. El marketplace no cubre esta obligación.
• Tienda online Reino Unido: Una tienda online británica vende hardware inteligente en la UE. Tras el Brexit, se considera fuera de la UE y debe nombrar representante CRA, preparar documentación y elegir proveedor con mandato verificable. Si también vende en marketplaces, sigue siendo responsable como fabricante.

En todos estos casos, la solución más sencilla es elegir un proveedor con precio publicado, mandato escrito y proceso de nombramiento rápido (ej. REP27: designación en 24 horas, certificado QR, precio fijo).