Obligaciones del Cyber Resilience Act para fabricantes fuera de la UE

• El CRA aplica a fabricantes fuera de la UE que vendan en la UE desde el 11 de septiembre de 2026
• Artículo 18: se requiere representante autorizado en la UE si no hay presencia en la UE
• Obligación de reporte en 24 horas para vulnerabilidades explotadas (Artículo 14)
• La ruta de evaluación de conformidad depende de la clase del producto
• Multas de hasta 15 millones de euros o 2,5 % de la facturación por incumplimientos

Actualizado 18 octubre 2026 · 9 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 18 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

Qué exige la ley (con números de artículos)

El Cyber Resilience Act (CRA) es la nueva regulación de la UE para productos con elementos digitales, incluyendo hardware, software y componentes. Aplica a cualquier fabricante—independientemente de su ubicación—si sus productos se comercializan en el mercado de la UE. La ley entró en vigor el 10 de diciembre de 2024. Las obligaciones de reporte comienzan el 11 de septiembre de 2026; el cumplimiento total (incluido el marcado CE y la evaluación de conformidad) es obligatorio desde el 11 de diciembre de 2027.

• Artículo 18: Los fabricantes fuera de la UE deben nombrar un representante autorizado en la UE para cada línea de productos, salvo que tengan un establecimiento en la UE. Este representante actúa como contacto oficial para autoridades y vigilancia del mercado.
• Artículo 14: Los fabricantes deben reportar vulnerabilidades explotadas activamente e incidentes graves que afecten la seguridad del producto. El plazo es estricto: advertencia temprana en 24 horas, notificación completa en 72 horas y reporte final en 14 días tras mitigación o notificación. La plataforma de reporte la gestiona ENISA y el destinatario depende del estado miembro del representante.
• Anexos I y II: Los fabricantes deben cumplir requisitos esenciales de ciberseguridad, incluyendo gestión de vulnerabilidades, desarrollo seguro por diseño y instrucciones claras para usuarios en un idioma fácilmente comprensible por usuarios y autoridades.
• Evaluación de conformidad: El proceso requerido depende de la clase del producto. Los productos predeterminados pueden autoevaluarse; clase importante I debe usar normas armonizadas o evaluación por terceros; clase importante II y productos críticos requieren evaluación por organismo notificado o esquema de certificación.
• Periodo de soporte: Los fabricantes deben proporcionar actualizaciones de seguridad y gestión de vulnerabilidades durante el periodo declarado de soporte (mínimo cinco años).
• Exenciones: Micro y pequeñas empresas, y responsables de código abierto, están exentos de multas por reportes tardíos, pero deben cumplir con obligaciones técnicas y de reporte.

Los importadores y distribuidores se convierten en fabricantes si comercializan productos bajo su propio nombre o los modifican sustancialmente. De lo contrario, el fabricante original sigue siendo responsable del cumplimiento y reporte CRA.

Cómo elegir un representante CRA o proveedor de cumplimiento

Elegir el representante del Artículo 18 o proveedor de cumplimiento adecuado es crítico para fabricantes fuera de la UE. El mercado varía mucho en precio, transparencia y servicios incluidos. Esto es lo que debe considerar:

• Entidad legal y ubicación: Verifique la entidad legal y establecimiento en la UE del proveedor. Por ejemplo, REP27 es Europe Services, SE, con sede en Praga y registrada en el registro mercantil checo. Siempre compruebe antes de pagar.
• Alcance del mandato: Algunos proveedores solo ofrecen el mandato del Artículo 18 (como exige la ley), otros incluyen servicios adicionales como representación GDPR o NIS2. Confirme que el mandato se limite al Artículo 18(3) (como debe ser) y no cubra obligaciones prohibidas por el Artículo 18(2).
• Transparencia de precios: Busque proveedores que publiquen precios tanto para el primer año como para renovaciones. Cuidado con precios introductorios bajos seguidos de renovaciones silenciosas y más caras. REP27, por ejemplo, indica claramente precios de renovación junto a los del primer año.
• Verificación y soporte: Asegúrese de que el proveedor ofrezca certificado verificable, método público de verificación y mesa de solicitudes atendida. Pregunte sobre el proceso para reenviar solicitudes de autoridades o CSIRT, idiomas soportados y tiempos de respuesta.
• Servicios combinados: Si también necesita representación para GDPR Artículo 27 o GPSR Artículo 16, algunos proveedores (p. ej., REP27) ofrecen paquetes combinados a precio reducido.

Matriz de decisión:

Solicite siempre un mandato escrito y certificado antes de comercializar productos en la UE.

Qué incluye realmente el precio: comparación de proveedores

Los precios y servicios incluidos varían significativamente. Los mandatos del Artículo 18 suelen ser el costo externo más bajo en el cumplimiento CRA, pero muchos proveedores no publican detalles completos. A continuación, una comparación de lo que se incluye, no se incluye o puede generar cargos extra por proveedor (octubre 2026):

Para la mayoría de fabricantes, el mandato del Artículo 18 es un documento de una página más la obligación de reenviar solicitudes. La evaluación de conformidad, pruebas técnicas y generación de SBOM son costos separados y no están incluidos en las tarifas básicas de representantes.

Costos ocultos y exclusiones

Aunque el mandato del Artículo 18 es una necesidad legal, es solo una pequeña parte del costo total del cumplimiento CRA. Los elementos más caros—evaluación de conformidad, tarifas de organismos notificados, documentación técnica y periodo de soporte—no se incluyen en la mayoría de paquetes de representantes. Esto es lo que debe vigilar:

• Tarifas de evaluación de conformidad: Para productos importantes clase II o críticos, los costos de organismo notificado o esquemas de certificación pueden ser miles de euros y requieren meses. Presupueste estos por separado.
• Documentación técnica: Proveedores como Reglyze y EmberKat ofrecen generación de expediente técnico, ingestión de SBOM y análisis de brechas, pero no forman parte de mandatos estándar de representantes.
• Renovaciones y tarifas por solicitud: Algunos proveedores pueden cobrar tarifas más altas en renovaciones o por solicitud/reporte. Solicite siempre confirmación escrita de precios de renovación y cargos extras antes de firmar.
• Plazos de aviso y límites de responsabilidad: Renovaciones silenciosas y políticas de cancelación poco claras pueden generar gastos inesperados. La responsabilidad por fallos de cumplimiento suele estar excluida o limitada por el representante.
• Costos del periodo de soporte: La ley exige al menos cinco años de actualizaciones de seguridad y gestión de vulnerabilidades, que deben presupuestarse y asignarse como una línea de producto.

REP27 es transparente sobre lo que no incluye: asesoría legal, evaluación técnica y generación de SBOM están fuera del mandato. Aclare siempre exclusiones y costos ocultos con cualquier proveedor.

Cómo funciona el nombramiento: paso a paso

Nombrar un representante del Artículo 18 y lograr el cumplimiento CRA implica varios pasos concretos. Aquí un proceso práctico y accionable para fabricantes fuera de la UE:

1. Determine si sus productos están en alcance: Identifique todos los productos con elementos digitales (hardware, software, componentes o soluciones de procesamiento remoto) comercializados en la UE.
2. Clasifique sus productos: Use las definiciones del CRA para determinar si sus productos son predeterminados, importantes clase I/II o críticos. Esto afecta la ruta de evaluación de conformidad.
3. Elija un representante: Seleccione un representante del Artículo 18 con entidad legal verificable en la UE. Confirme alcance, precios y términos de renovación por escrito.
4. Firme el mandato: Ejecute un mandato escrito (Artículo 18(3)) con el proveedor elegido. Obtenga certificado y método público de verificación.
5. Prepare la documentación: Arme documentación técnica (Anexo VII), SBOM, Declaración de Conformidad UE e instrucciones para usuarios en los idiomas requeridos.
6. Configure un canal de reporte 24 horas: Asegure un canal atendido para vulnerabilidades e incidentes. Preelabore plantillas de advertencia temprana y notificación.
7. Regístrese en ENISA: Registre a sus remitentes en la plataforma de reporte ENISA. Asigne al menos dos personas con acceso en diferentes zonas horarias.
8. Presupueste cumplimiento continuo: Planifique costos del periodo de soporte (mínimo cinco años de actualizaciones), evaluación de conformidad (si aplica) y mantenimiento documental.
9. Revise y actualice regularmente: Programe revisiones periódicas de su postura de cumplimiento, documentación y procesos de reporte.

Seguir esta lista asegura preparación para las demandas legales y prácticas del cumplimiento CRA.

Riesgos y multas por incumplimiento

El CRA introduce sanciones sustanciales por incumplimiento. Las infracciones a requisitos esenciales de ciberseguridad u obligaciones del fabricante pueden resultar en multas de hasta 15 millones de euros o el 2,5 % de la facturación mundial anual total, lo que sea mayor. Estas sanciones aplican tanto a fabricantes de la UE como fuera de la UE que comercialicen productos en la UE.

• Fallas en reporte: No cumplir el plazo de 24 horas para reporte de vulnerabilidades lo expone a acciones de cumplimiento. Micro y pequeñas empresas, y responsables de código abierto, están exentos de multas por reportes tardíos pero no de la obligación de reportar.
• Riesgos en adquisiciones y acceso al mercado: Sin representante del Artículo 18, los procesos de compra pueden estancarse y puede quedar excluido de ventas empresariales o licitaciones públicas.
• Acciones de vigilancia del mercado: Las autoridades pueden actuar contra fabricantes no conformes, incluyendo retirada o llamada de productos.
• Riesgos para distribuidores/importadores: Si no nombra representante, importadores o distribuidores de la UE pueden ser considerados su ruta de reporte por defecto, perdiendo control sobre comunicaciones de cumplimiento.
• Incumplimientos silenciosos: No renovar mandatos o mantener documentación actualizada puede resultar en incumplimientos no detectados, exponiéndole a sanciones sin aviso.

El cumplimiento efectivo no solo evita multas, sino que asegura acceso continuo al mercado y mantiene la confianza de clientes y socios.

Lo que los proveedores usualmente no dicen

Muchos proveedores se enfocan en la necesidad legal del mandato del Artículo 18 pero pueden no revelar el panorama completo. Esto es lo que a menudo omiten:

• Alcance del mandato: El mandato del Artículo 18 se limita a reenviar solicitudes y actuar como punto de contacto. No incluye asesoría legal, evaluación técnica ni generación de SBOM salvo que se indique expresamente.
• Evaluación de conformidad: Para productos importantes clase II y críticos, los costos de organismo notificado o esquemas de certificación son mucho mayores que la tarifa del representante y pueden requerir meses. Nunca están incluidos en mandatos básicos.
• Periodo de soporte: La obligación de al menos cinco años de actualizaciones de seguridad y gestión de vulnerabilidades es un costo operativo importante, no cubierto por ningún servicio de representante.
• Términos de renovación y aviso: Algunos proveedores usan precios bajos el primer año con renovaciones mucho más caras o requieren largos plazos para cancelación. Siempre obtenga términos de renovación por escrito.
• Responsabilidad: Los representantes suelen excluir responsabilidad por fallos de cumplimiento. El fabricante sigue siendo responsable de todas las obligaciones bajo el CRA.

La transparencia sobre lo que no se incluye es tan importante como lo que sí. Solicite siempre una lista completa de exclusiones y aclare el rol del proveedor antes de firmar.

Escenarios realistas: ¿qué ruta aplica?

• Empresa SaaS de EE. UU.: Un proveedor SaaS con sede en EE. UU. vende software directamente a clientes de la UE. Debe nombrar un representante del Artículo 18, preparar documentación técnica y SBOM, y establecer un canal de reporte 24 horas. Si el producto es clase predeterminada, puede bastar la autoevaluación; si es importante o crítico, se requiere organismo notificado. La ruta más sencilla es nombrar representante (p. ej., REP27), preparar documentación y registrarse en ENISA.
• Vendedor chino en Amazon: Un fabricante en China vende dispositivos IoT bajo su propio nombre en Amazon a compradores de la UE. Debe nombrar representante del Artículo 18 y cumplir con todos los requisitos CRA. Si el producto es comercializado por un importador con base en la UE, este puede asumir las obligaciones. Si no, el fabricante original debe gestionar reportes y documentación.
• Tienda online del Reino Unido: Un minorista con base en Reino Unido envía dispositivos conectados a clientes de la UE. Debe nombrar representante del Artículo 18, preparar expedientes técnicos y asegurar un proceso de reporte de vulnerabilidades 24 horas. Si vende a través de un distribuidor de la UE que comercializa el producto bajo su propio nombre, el distribuidor asume las obligaciones; de lo contrario, el minorista del Reino Unido sigue siendo responsable.

En todos los escenarios, la clave es mapear canales de venta, determinar quién comercializa el producto y nombrar representante si es necesario. Esto previene retrasos en adquisiciones, asegura cumplimiento y evita multas.

Lista de verificación: cómo cumplir hoy

1. Mapee sus canales de venta en la UE e identifique todos los productos con elementos digitales.
2. Clasifique cada producto (predeterminado, importante I/II, crítico) según definiciones CRA.
3. Determine si necesita representante del Artículo 18 (obligatorio para fabricantes fuera de la UE).
4. Solicite mandato escrito y certificado a su proveedor elegido (p. ej., REP27, kadano, Euverify).
5. Prepare documentación técnica: expediente Anexo VII, SBOM, Declaración de Conformidad UE, instrucciones para usuarios en idiomas de la UE.
6. Configure un canal atendido 24 horas para reporte de vulnerabilidades. Preelabore plantillas de advertencia temprana y notificación.
7. Registre al menos dos remitentes en la plataforma ENISA (en diferentes zonas horarias si es posible).
8. Presupueste organismo notificado o esquema de certificación si su producto es importante clase II o crítico.
9. Declare y asigne recursos para un periodo de soporte de al menos cinco años para actualizaciones y gestión de vulnerabilidades.
10. Programe revisiones regulares de cumplimiento y actualizaciones documentales.

Seguir estos pasos le preparará para los plazos de aplicación CRA 2026-2027 y evitará costosas brechas de cumplimiento.