Obligaciones del productor fuera de la UE según el Cyber Resilience Act

• Obligación de representante UE (Art. 18 CRA) para productores fuera de la UE
• Notificación de vulnerabilidades en 24 horas (Art. 14 CRA) a través del representante
• REP27: mandato CRA €490/año (precio publicado, octubre 2026)
• Servicios incluidos y límites varían entre proveedores, verifica siempre antes
• No incluido: evaluación de conformidad, pruebas, SBOM, reporte técnico
• Importadores/distribuidores sin venta a nombre propio no tienen obligación

Actualizado 21 octubre 2026 · 4 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 21 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

Qué exige la ley: artículos clave del CRA

El Cyber Resilience Act (CRA, Reglamento UE 2024/2847) establece obligaciones estrictas para productores de productos con elementos digitales que quieran vender en la Unión Europea. Si el productor no tiene sede en la UE, debe nombrar un representante autorizado en la Unión conforme al Artículo 18. Este representante actúa como punto único de contacto para todas las comunicaciones oficiales con las autoridades europeas de vigilancia del mercado y gestiona la recepción y reenvío de solicitudes formales.

Otra obligación fundamental es la notificación de vulnerabilidades: el Artículo 14 CRA obliga al productor a informar en 24 horas sobre cualquier vulnerabilidad explotada activamente o incidente grave que afecte la seguridad del producto. La notificación se realiza a través de la plataforma ENISA y el CSIRT coordinador, determinado según la sede del representante. El representante autorizado es esencial para garantizar la rapidez y corrección de las comunicaciones, especialmente para empresas con zonas horarias diferentes o sin personal en Europa.

Importante: la obligación afecta solo a productores. Importadores y distribuidores no deben nombrar representante CRA, salvo que comercialicen el producto a nombre propio. Quienes venden a través de marketplaces (Amazon, Etsy, eBay) deben evaluar si son considerados productores según la definición CRA. Los productos ya en el mercado antes de la entrada en vigor del CRA siguen sujetos a las obligaciones de notificación.

• Artículo 18 CRA: Nombramiento de representante UE para productores fuera de la UE
• Artículo 14 CRA: Notificación de vulnerabilidades en 24 horas
• Excluidos: Importadores/distribuidores que no venden a nombre propio

Cómo elegir el representante CRA: criterios, comparación y preguntas clave

La elección del representante CRA es una decisión estratégica que afecta la conformidad, la rapidez de respuesta a incidentes y la transparencia de costos. Los criterios principales a considerar son:

• Precio publicado y claridad sobre renovación: Solo algunos proveedores (ej. REP27) publican precios y condiciones de renovación transparentes; otros requieren contacto directo para detalles.
• Servicios incluidos: Verifica siempre qué está comprendido en el mandato: recepción y reenvío de solicitudes, certificado verificable, apoyo para la notificación, disponibilidad 24/7.
• Exclusiones explícitas: Ningún representante puede ofrecer evaluación de conformidad, pruebas de seguridad, generación SBOM o reporte técnico: estos quedan a cargo del productor.
• Verificación del mandato: Prefiere quien ofrece certificado con código QR y página pública de verificación.
• Preguntas a hacer: ¿Quién firma el mandato? ¿Cuál es el proceso ante solicitudes de autoridades? ¿En qué idiomas responden? ¿Cuáles son los costos de renovación y posibles gastos extra?

A continuación, una tabla comparativa de los servicios declarados:

La transparencia sobre inclusiones, exclusiones y precios es señal de fiabilidad: desconfía de quien no especifica claramente su oferta.

Qué incluye realmente el precio: transparencia, límites y comparación práctica

El mandato del representante CRA cubre exclusivamente la representación legal y la gestión de comunicaciones con las autoridades europeas. El precio publicado por REP27 (€490/año, €440 renovación) incluye:

• Mandato escrito Art. 18 CRA, firmado electrónicamente
• Certificado verificable con código QR y página pública
• Recepción y reenvío de todas las solicitudes de autoridades de vigilancia del mercado
• Gestión de la notificación de vulnerabilidades según plazos CRA

No están incluidos:

• Evaluación de conformidad del producto (tarea de organismos notificados, no del representante)
• Pruebas de seguridad o generación SBOM
• Redacción o envío de reportes técnicos
• Soporte operativo o consultoría técnica

La mayoría de proveedores no publica detalles de servicios incluidos: kadano (€999/año) y Euverify (£590/año) no especifican qué está incluido o excluido. Es fundamental pedir siempre lista detallada antes de firmar.

Atención también a renovaciones automáticas y políticas de facturación: REP27 garantiza una sola factura anual y precio de renovación declarado anticipadamente.

Costos ocultos y riesgos: qué evaluar realmente para la conformidad CRA

El costo del mandato de representante es solo una pequeña parte de la conformidad CRA. Los costos principales, a menudo ocultos o subestimados, son:

• Evaluación de conformidad: Para productos de clase importante o crítica, es obligatorio involucrar un organismo notificado, con costos que pueden superar ampliamente los del representante.
• Soporte técnico y actualizaciones: El productor debe garantizar al menos cinco años de actualizaciones de seguridad, con recursos dedicados.
• Gestión de incidentes y reporte: La falta de notificación rápida de una vulnerabilidad puede conllevar sanciones, bloqueo de comercialización y daños reputacionales.
• Renovaciones y costos extra: Algunos proveedores aplican costos adicionales por solicitudes fuera de horario, idiomas extra o gestión de incidentes complejos. REP27 declara no aplicar costos extras, otros no especifican.

El riesgo operativo más grave es no tener un canal de notificación activo 24/7: el servicio del representante debe estar siempre disponible, incluso de noche y festivos, para cumplir el plazo de 24 horas.

En resumen, la conformidad CRA requiere planificación, recursos internos y elección consciente del representante, sin basarse solo en el precio más bajo.

Cómo funciona el nombramiento: pasos operativos y mejores prácticas

El nombramiento del representante CRA sigue un esquema preciso, fundamental para garantizar la conformidad y rapidez en la gestión de solicitudes de autoridades:

1. Evalúa la necesidad: ¿Eres productor fuera de la UE que vende productos digitales en la Unión? Si sí, procede.
2. Elige el proveedor: Analiza precios publicados, servicios incluidos, método de verificación del mandato y disponibilidad 24/7.
3. Solicita el servicio: Completa el formulario en el sitio del proveedor elegido.
4. Firma el mandato: Recibe y firma el mandato escrito Art. 18 CRA, preferiblemente con firma electrónica reconocida (ej. eIDAS).
5. Recibe el certificado: Obtén el certificado verificable (código QR, página pública) e inclúyelo en la documentación técnica.
6. Actualiza procedimientos internos: Incorpora datos del representante en políticas de seguridad, runbook de respuesta a incidentes y documentación técnica.
7. Prepara la notificación: Prepara plantillas para notificación de vulnerabilidades (early warning, notificación 72h, reporte final) y nombra al menos dos submitters con acceso a la plataforma ENISA.
8. Verifica disponibilidad: Asegúrate que el representante sea accesible 24/7 para enviar notificaciones en plazo.

Mejor práctica: pide siempre una simulación de notificación al proveedor antes de firmar para evaluar tiempos de respuesta y claridad de procedimientos.

Checklist para la conformidad CRA (productores fuera de la UE)

1. Verifica si vendes productos digitales en la UE
2. Clasifica el producto según CRA (default, importante I/II, crítico)
3. Nombrar representante UE con mandato Art. 18
4. Prepara canales y procedimientos para notificación de vulnerabilidades 24/7
5. Documenta el nombramiento en documentación técnica y políticas internas
6. Nombrar al menos dos submitters con acceso a plataforma ENISA
7. Prepara plantillas de notificación (early warning, notificación, reporte final)
8. Asigna recursos para al menos 5 años de actualizaciones de seguridad
9. Verifica cobertura del representante en todos los países UE de interés
10. Simula una notificación para probar la preparación operativa

Lo que los proveedores suelen no decir: exclusiones, límites y riesgos prácticos

• El mandato cubre solo la representación legal: Ningún representante puede ofrecer evaluación de conformidad, pruebas de seguridad, SBOM o soporte técnico en el precio base.
• Los costos principales son internos: La conformidad CRA requiere recursos de ingeniería, soporte y actualizaciones, no incluidos en el servicio de representación.
• Renovaciones automáticas y precios no publicados: Algunos proveedores no declaran precio de renovación o aplican aumentos no transparentes. REP27 publica precios y renovaciones anticipadamente.
• Servicio no siempre activo: La disponibilidad 24/7 no siempre está garantizada: pregunta siempre cómo gestionan notificaciones fuera de horario.
• Responsabilidad limitada: El representante no asume responsabilidad técnica sobre el producto, solo por transmitir comunicaciones.
• Costos por solicitud: Algunos proveedores pueden cobrar extra por solicitudes complejas, idiomas adicionales o gestión de incidentes fuera de horario: verifica siempre antes de firmar.

Matriz decisional: quién debe nombrar representante CRA

Esta matriz ayuda a determinar rápidamente la obligación de nombramiento según rol y modelo de negocio.

Escenarios prácticos: tres ejemplos reales y la solución más sencilla

• SaaS USA: Una empresa estadounidense ofrece una plataforma software a clientes UE. Debe nombrar representante CRA, preparar canales de notificación y añadir certificado en documentación técnica. Solución: REP27 ofrece mandato a €490/año, servicio 24/7, certificado verificable.
• Vendedor Amazon China: Si el vendedor es productor del producto digital, debe nombrar representante CRA y preparar documentación de notificación. Si solo revende/importa, no aplica obligación. Solución: evaluar definición de productor según CRA y nombrar representante solo si es necesario.
• Tienda UK: Una tienda online británica que produce y vende dispositivos digitales en UE debe nombrar representante CRA y preparar procedimientos de notificación. Si importa productos de terceros sin modificarlos o marcarlos, no tiene obligación. Solución: aclarar rol en cadena de suministro y elegir proveedor con precios publicados y servicio activo.

En todos los casos, elegir un proveedor transparente reduce riesgos y costos inesperados.