Proveedores para reporte de vulnerabilidades 24 horas: panorama del mercado y precios (2026)

• La obligación de reporte en 24h aplica desde el 11.09.2026 para fabricantes de productos digitales (CRA Art. 14)
• REP27, kadano y Euverify ofrecen representación correspondiente
• Precios: REP27 desde EUR 490/año, kadano EUR 999/año, Euverify GBP 590/año
• Servicios varían: mandato, canal de reporte, sin revisión técnica ni creación de SBOM
• No es obligatorio para importadores, distribuidores o vendedores solo en marketplace

Actualizado 26 octubre 2026 · 4 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 26 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

¿Qué exige la ley? (CRA Art. 14, Art. 18)

El Reglamento Europeo de Resiliencia Cibernética (CRA) obliga desde el 11 de septiembre de 2026 a los fabricantes de productos con elementos digitales a reportar vulnerabilidades explotadas activamente o incidentes graves de seguridad dentro de las 24 horas tras conocerlos (Artículo 14). El reporte se realiza vía el portal central de ENISA y se dirige al CSIRT competente del Estado miembro. Los plazos son estrictos: 24 horas para la alerta temprana, 72 horas para el reporte completo inicial y 14 días para el informe final. El reloj corre en tiempo real, también de noche, fines de semana y festivos.

Los fabricantes fuera de la UE deben nombrar un representante autorizado en la UE según el Artículo 18 CRA. Este representante actúa como canal de reporte y contacto con autoridades. Sin este representante no es posible reportar conforme a la ley. Importadores, distribuidores y vendedores en marketplaces (p.ej. Amazon, Etsy, eBay) que no comercializan productos bajo su propio nombre están exentos. Para proyectos open-source no comerciales hay un régimen de reporte reducido, pero la obligación persiste.

• Artículo 14 CRA: alerta en 24h, reporte completo en 72h, informe final en 14 días
• Artículo 18 CRA: representante autorizado para fabricantes sin sede en la UE

La definición exacta de vulnerabilidad reportable es clave: solo vulnerabilidades explotadas activamente o incidentes graves que afecten la seguridad del producto generan obligación. Vulnerabilidades no detectadas o no explotadas no deben reportarse. La responsabilidad del cumplimiento recae en el fabricante; retrasos o reportes erróneos pueden acarrear sanciones severas.

Servicios comparados: qué está incluido y qué no

Los proveedores difieren notablemente en transparencia y alcance de servicios. REP27 es el único que publica todos los precios y detalla claramente qué incluye y qué no el mandato. El mandato cubre la representación legal según Artículo 18 CRA, un servicio 24h en Europa, recepción y reenvío de reportes a autoridades, y verificación pública del mandato. REP27 no realiza revisiones técnicas, creación de SBOM, evaluaciones de conformidad ni pruebas; estas tareas corresponden al fabricante o deben contratarse aparte.

En kadano y Euverify los precios están publicados pero los detalles de servicios incluidos, costes adicionales o exclusiones son "a solicitud". Se recomienda solicitar por escrito antes de contratar qué servicios están cubiertos y si hay cargos extras por reportes, idiomas o consultas extraordinarias.

Importante: la elaboración técnica, creación de SBOMs y auditorías de seguridad no están incluidas en el precio de la representación. Quien necesite estos servicios debe contratarlos aparte con proveedores especializados.

Matriz de decisión: quién necesita qué

Si necesita un representante CRA y el reporte 24h depende de su rol en la cadena de suministro, ubicación y estructura de ventas. La siguiente matriz ayuda a clasificar rápidamente:

Ejemplos prácticos: un proveedor SaaS estadounidense que vende a clientes UE necesita representante y reporte 24h. Un fabricante chino de IoT que vende bajo su marca en la UE también está obligado. Una tienda online británica que solo actúa como vendedor sin marca propia no necesita representante ni reporte 24h.

Lista de verificación para compradores: pasos a seguir

1. Verifique su rol: ¿Es fabricante de un producto con elementos digitales comercializado en la UE?
2. Determine ubicación: ¿Su empresa está fuera de la UE?
3. Compare proveedores: Elija uno con precio publicado y mandato claro. Verifique si el precio cubre todos los servicios o hay costes adicionales.
4. Confirme servicios y exclusiones por escrito: Solicite confirmación escrita antes de contratar qué incluye el mandato y qué no.
5. Prepare procesos internos: Defina responsables internos para el reporte 24h. Prepare manuales con responsabilidades y plantillas de reporte.
6. Registre datos del representante: Incluya al representante y sus datos en su documentación de cumplimiento e informe a su equipo.
7. Pruebe el proceso de reporte: Realice una simulación antes de la fecha límite para detectar fallos en el proceso.
8. Revise periódicamente: Verifique anualmente si cambios en ventas o productos afectan la obligación de reporte.

Con esta lista evita errores comunes y asegura cumplimiento a tiempo.

Lo que los proveedores suelen no decir (exclusiones, plazos, tarifas)

Muchos proveedores no comunican claramente qué servicios incluye el mandato y cuáles no. REP27 especifica que revisiones técnicas, evaluaciones de conformidad, creación de SBOM y pruebas no forman parte del mandato. Tampoco incluyen servicios adicionales como creación de plantillas, apoyo en análisis técnicos o comunicación con clientes finales.

• El precio de REP27 es fijo sin costes ocultos. El precio de renovación es conocido y no cambia sin aviso.
• En kadano y Euverify no hay información sobre costes adicionales, plazos de cancelación o límites de responsabilidad. Se recomienda preguntar explícitamente.
• La responsabilidad del cumplimiento de plazos y calidad del reporte siempre recae en el fabricante. El representante solo recibe y reenvía, no evalúa técnicamente.
• El plazo para emitir mandato en REP27 es 24 horas. En otros proveedores es "a solicitud".

Un error común: el mandato no cubre toda la conformidad CRA. Las partes costosas y complejas (evaluación de conformidad, documentación técnica, SBOM) deben gestionarse aparte. No estar preparado puede causar retrasos y multas.

Tres escenarios prácticos: quién debe hacer qué

• Proveedor SaaS estadounidense: Empresa con sede en EE.UU. ofrece software en la nube a empresas europeas. Como fabricante digital que vende en la UE, debe nombrar representante CRA. El reporte 24h se realiza a través de este representante, nombrado claramente en el mandato. Debe designar responsables internos y preparar plantillas.
• Vendedor chino en Amazon: Empresa china vende dispositivos IoT bajo su marca directamente a clientes en la UE. También está obligado: sin sede en la UE requiere representante según Art. 18 CRA. El reporte se hace vía representante. Si solo fuera vendedor sin marca propia, no habría obligación.
• Tienda online británica: Tienda británica vende productos de terceros en Europa sin marca propia. No tiene obligación de reporte 24h ni de nombrar representante CRA, pues no es fabricante. La responsabilidad es del fabricante real.

Estos escenarios muestran la importancia de clasificar correctamente el rol. Errores pueden generar costes innecesarios o brechas de cumplimiento.