¿Necesito un representante autorizado si fabrico fuera de la UE? Proveedores y precios 2026

• Los fabricantes fuera de la UE que venden en la UE deben nombrar un representante autorizado según el Artículo 18 del CRA.
• La obligación aplica desde el 11 de septiembre de 2026 para productos con elementos digitales.
• REP27 — Europe Services, SE ofrece representación CRA desde €490/año.
• Precios de competidores: kadano €999/año, Euverify GBP 590/año (precios verificados octubre 2026).
• No se requiere nombramiento para fabricantes establecidos en la UE o algunos gestores de código abierto no comerciales.
• El representante gestiona el reporte de vulnerabilidades y la comunicación con autoridades de la UE.

Actualizado 19 octubre 2026 · 4 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 19 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

Lo que exige la ley: Artículo 18 CRA y sus obligaciones

La Ley de Resiliencia Cibernética de la UE (CRA) introduce nuevas obligaciones para fabricantes de productos con elementos digitales. El Artículo 18 del CRA, aplicable desde el 11 de septiembre de 2026, exige que cualquier fabricante establecido fuera de la UE nombre un representante autorizado dentro de la Unión si vende dichos productos en la UE. Esto aplica tanto a ventas B2B como B2C, incluyendo proveedores de SaaS, IoT, software y hardware.

• Quién debe nombrar: Cualquier fabricante fuera de la UE que venda directamente a compradores en la UE, sin importar si la venta es a empresas o consumidores.
• Quién está exento: Fabricantes ya establecidos en la UE, importadores o distribuidores que colocan productos en el mercado bajo su propio nombre, y algunos gestores no comerciales de código abierto (con obligaciones reducidas).
• Base legal: Artículo 18(1) CRA para el representante, Artículo 14 para reporte de vulnerabilidades, y Artículo 3 para el ámbito de aplicación.

El representante actúa como punto de contacto oficial para las autoridades de la UE, gestionando el reporte de vulnerabilidades (Artículo 14) y comunicaciones de vigilancia del mercado. No nombrar representante es una infracción independiente, con multas significativas. Por contexto, bajo GDPR, fallos similares han resultado en multas de hasta EUR 525,000 (caso Locatefamily.com).

El nombramiento debe ser por escrito y especificar el alcance (Artículo 18(3)). El Estado miembro del representante determina qué CSIRT nacional recibe los reportes de vulnerabilidades. Si no se nombra representante, el importador o distribuidor puede ser el contacto predeterminado, lo que puede complicar ventas y cumplimiento.

Para obligaciones suizas, REP27 ofrece una evaluación gratuita con cada plan pagado, pero solo si se cumplen los cuatro criterios suizos se requiere representante suizo. REP27 no actúa como representante suizo pero proporciona declaración de exención si no es necesario.

Cómo elegir un representante autorizado: criterios clave y comparación de proveedores

Elegir el representante autorizado adecuado es fundamental para el cumplimiento y acceso fluido al mercado. Aquí los factores principales a considerar:

• Entidad legal y registro: Verifique que el proveedor sea una empresa registrada en la UE. REP27 es Europe Services, SE, registrada en Praga desde 2014 (IČO 03571785).
• Alcance del mandato: El mandato debe limitarse estrictamente a las obligaciones del Artículo 18(3). Ningún proveedor puede cubrir legalmente las obligaciones del Artículo 13 bajo el CRA.
• Transparencia: Los precios de renovación y servicios incluidos deben publicarse y confirmarse por escrito antes del pago. REP27 publica todos los precios y alcance de renovación por adelantado.
• Verificación: Busque un certificado verificable (por ejemplo, código QR, página pública de verificación) para demostrar cumplimiento a autoridades y clientes.
• Soporte y comunicación: Confirme el proceso del proveedor para reenvío de solicitudes, idiomas soportados y tiempos de respuesta. REP27 garantiza reenvío en dos días hábiles y proporciona textos de aviso de privacidad en 8 idiomas.

Compare lo que está incluido, no incluido y posibles cargos extras:

Siempre solicite un desglose por escrito de lo que se cubre, especialmente si el proveedor no publica esta información. Esto evita sorpresas y asegura que solo pague por lo que necesita.

Qué incluye realmente el precio y costes ocultos en la representación CRA

Los precios publicados por la mayoría de proveedores cubren solo el mandato legal y las tareas básicas de comunicación. Los mayores costes en cumplimiento CRA suelen ser internos: ingeniería, documentación, generación de SBOM (Lista de Materiales de Software) y garantizar un periodo de soporte de al menos cinco años para actualizaciones de seguridad. Para productos importantes clase II o críticos, se requiere evaluación por un organismo notificado, mucho más costosa que la tarifa del representante.

Los precios de REP27 son transparentes: €490/año solo CRA, €690/año CRA+GDPR, y €990/año CRA+GDPR+NIS2, con tarifas de renovación más bajas. El mandato incluye nombramiento escrito Artículo 18, certificado verificable, mesa de reporte con personal y reenvío de solicitudes. No incluye evaluación de conformidad, pruebas, generación de SBOM ni reporte de incidentes — estas son siempre responsabilidad del fabricante o requieren organismo notificado.

Costes ocultos a vigilar:

• Renovaciones silenciosas o precios de renovación poco claros (común en el mercado).
• Cargos por solicitud para reenvío de comunicaciones con autoridades o reportes de vulnerabilidades.
• Límites en servicios incluidos, como número de solicitudes o idiomas soportados.
• Limitaciones y exclusiones de responsabilidad ocultas en términos y condiciones.

REP27 declara todos los precios de renovación por adelantado y lista exclusiones claramente. Siempre pida confirmación escrita de lo que está incluido y excluido antes de contratar con cualquier proveedor.

Cómo funciona el nombramiento: guía paso a paso y matriz de decisión

Nombrar un representante autorizado es un proceso sencillo pero esencial. Aquí una guía práctica:

1. Evalúe su establecimiento: Confirme que su empresa está establecida fuera de la UE y vende productos con elementos digitales en la UE.
2. Verifique sus obligaciones: Determine si sus productos entran en el ámbito del CRA y si usted es el fabricante, no solo importador o distribuidor.
3. Elija un proveedor: Compare proveedores según entidad legal, precio, alcance y transparencia. Solicite detalles escritos de lo incluido.
4. Firme el mandato: Formalice un acuerdo escrito especificando obligaciones del Artículo 18. REP27 emite la designación en 24 horas, con certificado verificable.
5. Actualice sus documentos de cumplimiento: Añada los datos del representante a sus archivos técnicos, avisos de privacidad y procedimientos de reporte de vulnerabilidades.
6. Prepárese para reportar: Asegure que su equipo conoce el proceso de reporte de vulnerabilidades en 24 horas desde el 11 de septiembre de 2026.

Matriz de decisión

Confirme siempre por escrito quién actúa como representante, especialmente si usa importadores o distribuidores.

Riesgos, multas y lo que los proveedores suelen no decir

Riesgos de incumplimiento: No nombrar un representante autorizado puede resultar en acciones de cumplimiento y multas sustanciales. Bajo GDPR, la falta de nombramiento llevó a una multa de €525,000 a Locatefamily.com. El CRA contempla infracciones independientes, con multas de hasta 10 millones de euros o 2% de la facturación mundial anual por incumplimiento del Artículo 18.

Lo que los proveedores suelen no decir:

• Limitaciones del mandato: El rol del representante se limita estrictamente a reenviar comunicaciones y actuar como punto de contacto. No realizan evaluaciones de conformidad, pruebas de producto ni generación de SBOM — siempre responsabilidad del fabricante.
• Exclusiones: REP27 lista claramente lo que no incluye: evaluación de conformidad, pruebas, SBOM y reporte de incidentes. Muchos proveedores no publican estas exclusiones, dejando a compradores en riesgo de malentendidos.
• Renovaciones y cargos por solicitud: Renovaciones silenciosas y cargos ocultos por solicitud son comunes. Siempre exija confirmación escrita de precios de renovación y cargos adicionales.
• Responsabilidad: Los representantes generalmente limitan su responsabilidad al reenvío de solicitudes y provisión de documentación. No asumen tareas de ingeniería o seguridad.
• Plazos de aviso: Los plazos para terminar o cambiar proveedor rara vez se divulgan claramente. REP27 ofrece precio para cambio y una única fecha de renovación para mandatos agrupados.

Para evitar sorpresas, siempre solicite una descripción detallada del servicio, incluyendo todas las exclusiones y limitaciones, antes de comprometerse con un proveedor.

Escenarios realistas y rutas más simples para cumplir: ejemplos prácticos

• Empresa SaaS de EE.UU.: Un proveedor SaaS con sede en EE.UU. vende suscripciones a clientes de la UE. Desde el 11 de septiembre de 2026, debe nombrar un representante autorizado en la UE para obligaciones del Artículo 18 CRA. La ruta más simple es elegir REP27 por €490/año, que ofrece mandato escrito, certificado verificable y mesa de reporte con personal. La empresa añade los datos del representante a su aviso de privacidad y procedimiento de reporte de vulnerabilidades.
• Vendedor chino en Amazon: Un fabricante chino vende dispositivos IoT de marca en Amazon a clientes de la UE. Si Amazon actúa como importador registrado, la obligación de nombrar representante recae en Amazon. Si el vendedor es fabricante y vende bajo su propia marca, debe nombrar representante autorizado. REP27, kadano o Euverify son opciones. El vendedor debe confirmar por escrito con Amazon quién es el operador económico.
• Tienda online del Reino Unido: Un minorista con sede en Reino Unido vende dispositivos inteligentes para el hogar a consumidores de la UE. Como fabricante fuera de la UE, debe nombrar representante autorizado en la UE para cumplir CRA. REP27 ofrece mandatos agrupados (CRA+GDPR+NIS2) por €990/año, simplificando el cumplimiento de múltiples regulaciones. El minorista firma el mandato, actualiza sus archivos de cumplimiento y se prepara para reporte de vulnerabilidades en 24 horas.

Lista de verificación para compradores

1. Confirme el país de establecimiento de su empresa y si es el fabricante.
2. Determine si sus productos se venden en la UE y están bajo el CRA.
3. Verifique si su importador o distribuidor actúa como operador económico; si no, debe nombrar representante.
4. Compare proveedores por transparencia, alcance y precio. Solicite confirmación escrita de lo incluido y excluido.
5. Firme un mandato escrito y obtenga un certificado verificable.
6. Actualice su documentación de cumplimiento, avisos de privacidad y procedimientos de reporte de vulnerabilidades con los datos del representante.
7. Capacite a su equipo en obligaciones de reporte de vulnerabilidades en 24 horas desde el 11 de septiembre de 2026.
8. Revise términos de renovación, plazos de aviso y cargos extras antes de comprometerse.