Reporte de Vulnerabilidades 24 Horas CRA: Proveedores y Precios (2026)

• El Artículo 14 del CRA exige reporte en 24 horas de vulnerabilidades explotadas a ENISA.
• Fabricantes fuera de la UE deben nombrar un representante autorizado con sede en la UE para reportes.
• REP27 — Europe Services, SE cobra €490/año por el mandato del Artículo 18.
• Precios competidores: kadano (€999/año), Euverify (£590/año), otros bajo solicitud.
• REP27 no incluye asesoría legal, generación de SBOM ni evaluación de conformidad.
• No aplica para importadores, distribuidores ni productos legacy puestos en mercado antes del 11 Sep 2026.

Actualizado 17 octubre 2026 · 8 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 17 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

Qué exige la ley: Artículos 14 y 18 del CRA

El Cyber Resilience Act (CRA) establece un régimen estricto para fabricantes que introducen productos con elementos digitales en el mercado de la UE. El Artículo 1 define el alcance: hardware y software con elementos digitales, incluyendo dispositivos conectados, firmware y aplicaciones, están cubiertos. El Artículo 10 establece requisitos esenciales para medidas de ciberseguridad durante el ciclo de vida del producto, mientras que el Artículo 11 detalla obligaciones del fabricante, como evaluación de riesgos, manejo de vulnerabilidades y evaluación de conformidad.

El Artículo 14 es central: exige a los fabricantes reportar cualquier vulnerabilidad explotada activamente o incidente grave que afecte la seguridad del producto a ENISA mediante la plataforma única de reporte en un plazo de 24 horas desde que se tenga conocimiento. El deber se activa por evidencia creíble de explotación o evento de seguridad significativo, no por el mero descubrimiento de una vulnerabilidad. El plazo de 24 horas se cuenta en horas calendario, incluyendo noches, fines de semana y festivos.

Para fabricantes establecidos fuera de la UE, el Artículo 18 exige nombrar un representante autorizado establecido en la UE. Este representante es responsable de gestionar el proceso de reporte 24 horas y actúa como punto de contacto oficial para las autoridades europeas. Importadores y distribuidores tienen obligaciones propias bajo el Artículo 12, pero la responsabilidad principal de reporte recae en el fabricante o su representante autorizado.

Los productos puestos en el mercado de la UE antes del 11 de septiembre de 2026 están exentos del requisito de reporte en 24 horas, pero deben cumplir otras disposiciones del CRA. El incumplimiento puede acarrear multas de hasta €15 millones o el 2,5% del volumen de negocio global anual, lo que sea mayor. La ley es clara: si eres un fabricante no comunitario que vende productos digitales en la UE tras esta fecha, debes contar con un representante autorizado listo para actuar en 24 horas ante cualquier incidente calificado.

Cómo elegir un representante autorizado CRA

Elegir el representante autorizado adecuado es crítico para el cumplimiento y la eficiencia operativa. Comienza verificando la entidad legal del proveedor, su establecimiento en la UE y su trayectoria. Por ejemplo, REP27 — Europe Services, SE está establecido en Praga, República Checa, y opera desde 2018, con mandatos firmados para empresas en 24 países.

Los criterios clave de selección incluyen:

• Precios transparentes: Busca precios claros y publicados, así como condiciones de renovación. REP27 publica precios para el primer año y para renovaciones. Algunos proveedores, como kadano y Euverify, también publican precios, mientras que otros requieren cotización.
• Alcance del mandato: Asegúrate de que el mandato se limite a las obligaciones del Artículo 18. Mandatos demasiado amplios pueden pretender cubrir obligaciones del Artículo 13, lo que el Artículo 18(2) prohíbe. REP27 limita explícitamente su alcance al reporte del Artículo 18.
• Disponibilidad: La mesa de reporte debe estar operativa 24/7, incluyendo fines de semana y festivos. REP27 garantiza cobertura continua, mientras que detalles de otros proveedores pueden requerir confirmación.
• Verificación del certificado: Un certificado verificable (como el código QR y verificación pública de REP27) proporciona prueba de nombramiento y puede ser comprobado por autoridades o clientes.
• Exclusiones: Clarifica qué no está incluido, como asesoría legal, generación de SBOM o pruebas técnicas. REP27 lista todas las exclusiones claramente; muchos competidores no.

Los servicios integrados (por ejemplo, escaneo técnico, generación de SBOM) pueden ser útiles si no cuentas con recursos internos, pero siempre verifica costos ocultos, precios de renovación poco claros o descripciones vagas. Solicita el proceso por escrito, incluyendo cómo se gestionan solicitudes, en qué idiomas y en qué horarios.

Finalmente, asegúrate de que el mandato del proveedor sea verificable y que su proceso para reenviar solicitudes a autoridades sea rápido y documentado. Esto no es solo un trámite de cumplimiento: retrasos o mala comunicación pueden tener consecuencias legales y comerciales.

Qué incluye realmente el precio: comparación de proveedores

Entender qué incluye el precio publicado es esencial para evitar sorpresas. A continuación, una comparación detallada de lo que ofrece cada proveedor según datos disponibles:

El precio de REP27 (€490/año, €440 en renovación) corresponde solo al mandato del Artículo 18, con exclusiones claras. Kadano y Euverify publican precios pero no especifican inclusiones o exclusiones públicamente. Proveedores como ResilienceWP y Seentrix ofrecen servicios técnicos adicionales (SBOM, escaneo, documentación), pero precios y alcance solo están disponibles bajo solicitud.

Siempre solicita una descripción detallada del servicio y confirmación escrita de precios de renovación antes de firmar. El error más costoso es asumir que el cumplimiento técnico o asesoría legal están incluidos cuando no es así.

Costos ocultos y lo que los proveedores suelen no decir

Aunque el precio inicial es importante, los costos ocultos y exclusiones pueden impactar significativamente tu presupuesto de cumplimiento y riesgo operativo. Esto es lo que los proveedores a menudo no revelan de entrada:

• Exclusiones: REP27 es explícito: no incluye asesoría legal, servicios DPO, evaluaciones técnicas de cumplimiento, generación de SBOM ni pruebas. Muchos competidores no publican tales exclusiones, por lo que siempre pregunta. El cumplimiento técnico (SBOM, evaluación de conformidad, ingeniería) nunca está incluido en un mandato solo representante y debe presupuestarse aparte.
• Precios de renovación: Algunos proveedores ofrecen un precio bajo el primer año pero no publican tarifas de renovación. REP27 publica ambos. Siempre obtén términos de renovación por escrito para evitar aumentos inesperados.
• Tarifas por solicitud: Algunos representantes pueden cobrar extra por cada solicitud de autoridad o interesado, o por presentaciones urgentes. REP27 no indica tales cargos, pero no es siempre así en otros casos. Aclara antes de firmar.
• Plazos y terminación: El proceso para terminar el mandato o cambiar de proveedor rara vez se detalla. Pregunta por plazos de aviso y posibles costos asociados.
• Límites de responsabilidad: La mayoría de representantes limitan su responsabilidad por incumplimientos o errores en reportes. Estos límites no siempre se divulgan en páginas públicas.
• Servicios integrados: Proveedores que ofrecen servicios técnicos (SBOM, escaneo) pueden cobrar tarifas adicionales importantes o exigir contratos a largo plazo. Confirma alcance y precios por escrito.

En resumen, el costo real del cumplimiento incluye no solo la tarifa del representante, sino también tu ingeniería interna, cumplimiento técnico y costos de mantener un proceso de respuesta a incidentes 24/7. Solicita siempre un desglose completo y confirmación escrita de todos los términos antes de comprometerte.

Cómo funciona el nombramiento: paso a paso

Nombrar un representante autorizado CRA es un proceso que requiere planificación y documentación cuidadosa. Aquí una guía práctica paso a paso basada en mejores prácticas actuales y requisitos legales:

1. Evaluar aplicabilidad: Confirma que tu producto es un elemento digital (hardware/software) puesto en el mercado de la UE tras el 11 de septiembre de 2026. Si es así, aplica el requisito de reporte 24 horas del CRA.
2. Seleccionar proveedor: Compara proveedores según precio publicado, alcance, exclusiones y reputación. Solicita todos los términos y precios de renovación por escrito.
3. Contrato y mandato: Firma un mandato escrito con el representante autorizado elegido. REP27 emite mandato firmado Artículo 18 y certificado verificable en 24 horas. Asegura que la entidad legal esté establecida en la UE y registrada comercialmente.
4. Actualizar documentación: Registra los datos del representante en tu runbook de cumplimiento. Prepara un proceso claro de reporte, incluyendo quién puede declarar un incidente y cómo se documenta la evidencia.
5. Preparación interna: Designa al menos dos empleados como remitentes para la plataforma ENISA, idealmente en zonas horarias diferentes. Prepara plantillas de alerta temprana y asigna responsabilidades para notificación en 72 horas y comunicación a usuarios.
6. Respuesta a incidentes: Cuando se detecte una vulnerabilidad o incidente calificado, notifica inmediatamente al representante. Este presenta la alerta temprana a ENISA/CSIRT en 24 horas, luego sigue con notificación en 72 horas y reporte final.
7. Registro: Mantén registros detallados de conocimiento, tiempos de envío y comunicaciones. Esto es crítico si las autoridades cuestionan tu cumplimiento.
8. Revisión continua: Revisa regularmente tus procesos y actualiza datos de contacto, plantillas y responsabilidades según sea necesario.

Este proceso asegura cumplir con los estrictos plazos del CRA y evitar sanciones. La clave es la preparación: define disparadores, asigna roles y ensaya el flujo antes de que la ley entre en vigor.

Riesgos, multas y plazos de cumplimiento

El Cyber Resilience Act introduce riesgos legales y financieros significativos por incumplimiento. El Artículo 15 detalla procedimientos de aplicación y sanciones. El riesgo más inmediato es no cumplir el plazo de 24 horas para reportar vulnerabilidades explotadas activamente o incidentes graves. El reloj comienza al tener conocimiento, no al completar la investigación. Retrasos pueden acarrear multas de hasta €15 millones o 2,5% del volumen global, lo que sea mayor.

Otros riesgos incluyen:

• Retrasos en acceso al mercado: No nombrar representante o no proveer certificado verificable puede retrasar lanzamientos o estancar compras, especialmente en ciclos empresariales.
• Acciones de cumplimiento: Autoridades pueden iniciar investigaciones, solicitar documentación o imponer medidas correctivas si no se cumplen reportes.
• Daño reputacional: Fallas públicas en reportes pueden afectar marca y confianza de clientes.
• Múltiples regímenes de reporte: Un solo incidente puede activar reportes bajo CRA, NIS2, GDPR y GPSR, cada uno con plazos y autoridades distintas. Por ejemplo, un ataque ransomware que explote tu producto puede requerir tres reportes separados.

Los plazos son estrictos: el requisito de reporte 24 horas aplica desde el 11 de septiembre de 2026 para productos nuevos. Productos legacy puestos antes están exentos de reporte 24 horas pero deben cumplir otras disposiciones. El periodo de soporte para actualizaciones de seguridad —al menos cinco años— es otro costo oculto que debe planificarse y presupuestarse como línea de producto, no proyecto único.

En resumen, los riesgos de incumplimiento son sustanciales y el costo de no prepararse es mucho mayor que el de nombrar un representante calificado.

Matriz de decisión: ¿Necesitas un representante autorizado CRA?

Usa la siguiente matriz para determinar si necesitas un representante autorizado CRA:

Esta matriz cubre la mayoría de escenarios. En caso de duda, consulta a tu asesor legal o contacta a un proveedor para aclaraciones. Recuerda, el deber recae en el fabricante o su representante, no en importador o distribuidor salvo que pongan el producto bajo su nombre.

Lista de verificación: pasos para cumplir reporte 24 horas CRA

1. Mapear productos: Lista todos los productos con elementos digitales vendidos en la UE y sus fechas de lanzamiento.
2. Evaluar procesos internos: Revisa cómo se detectan, escalan y documentan vulnerabilidades en tu organización.
3. Seleccionar representante: Compara proveedores, solicita confirmación escrita de todas las tarifas, precios de renovación y alcance de servicio.
4. Firmar mandato: Obtén mandato firmado Artículo 18 y certificado verificable del proveedor elegido.
5. Actualizar documentación: Añade datos del representante a tu runbook y documentación de cumplimiento. Prepara plantillas de alerta temprana y notificación.
6. Asignar roles de reporte: Nombra al menos dos remitentes para la plataforma ENISA, idealmente en diferentes zonas horarias.
7. Probar flujo de trabajo: Realiza un ejercicio simulado de vulnerabilidad explotada para asegurar que todos conocen responsabilidades y tiempos.
8. Capacitar equipo: Educa al personal sobre qué activa el reloj de 24 horas y cómo escalar incidentes.
9. Monitorear actualizaciones regulatorias: Mantente informado sobre cambios en requisitos CRA o plataformas de reporte antes de septiembre 2026.
10. Revisar y actualizar regularmente: Revisa procesos y documentación anualmente o tras incidentes mayores.

Seguir esta lista ayudará a garantizar que estés preparado para cumplir con las estrictas obligaciones de reporte del CRA y evitar multas costosas.

Escenarios realistas: ¿Qué ruta aplica?

• Empresa SaaS de EE.UU. vendiendo a negocios en la UE: Es fabricante no comunitario que pone productos digitales en el mercado UE. Debe nombrar representante autorizado para reporte Artículo 18 (ej. REP27, kadano, Euverify). El equipo interno detecta vulnerabilidades y notifica al representante, quien gestiona presentaciones ENISA/CSIRT en 24 horas. No hay importador o distribuidor, por lo que el deber es directo.
• Vendedor chino en Amazon enviando dispositivos IoT a consumidores UE: Si el vendedor es fabricante y está fuera de la UE, debe nombrar representante autorizado. Si Amazon actúa como importador de registro, el deber de reporte puede trasladarse a Amazon. El vendedor debe aclarar con la plataforma y, si es necesario, nombrar representante y actualizar documentación.
• Tienda online del Reino Unido vendiendo routers con marca propia en la UE: Como fabricante no comunitario, debe nombrar representante autorizado para reporte 24 horas. Los datos del representante deben incluirse en documentación de cumplimiento y procesos internos deben estar listos para escalar incidentes rápidamente. Si la tienda también actúa como importador o distribuidor bajo su nombre, pueden aplicar obligaciones adicionales.

Estos escenarios muestran la importancia de mapear la cadena de suministro y clarificar roles. La ruta más sencilla para cumplir es nombrar representante, documentar el proceso y entrenar al equipo para respuesta rápida.