Representante Autorizado Cyber Resilience Act para Fabricantes No UE: Proveedores y Precios (2026)

• El Artículo 18 del CRA exige que fabricantes no UE nombren un representante autorizado en la UE.
• REP27 — Europe Services, SE: €490/año (renovación €440), precio publicado, alcance claro.
• Kadano: €999/año, precio verificado, con sede en Austria.
• Euverify: £590/año, precio verificado, con sede en Irlanda.
• El servicio no incluye evaluación de conformidad ni asesoría legal.
• No es necesario para fabricantes basados en la UE o importadores que comercializan bajo su propio nombre.

Actualizado 16 octubre 2026 · 7 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 16 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

Qué exige la ley: Artículo 18 del CRA

El Cyber Resilience Act (CRA), Reglamento (UE) 2024/2847, es una ley pionera de la UE que impone requisitos obligatorios de ciberseguridad a todos los productos con elementos digitales—hardware o software—puestos en el mercado de la UE. El Artículo 18 del CRA exige específicamente que cualquier fabricante establecido fuera de la UE debe nombrar un representante autorizado establecido dentro de la UE. Este representante actúa como punto de contacto oficial para las autoridades de vigilancia del mercado de la UE, posee la declaración de conformidad y la documentación técnica, y es responsable de reenviar las solicitudes regulatorias al fabricante.

La ley aplica a una amplia gama de productos, incluidos dispositivos integrados, software, SaaS, IoT y componentes vendidos por separado. El rol del representante está estrictamente definido: no asume la responsabilidad legal del fabricante ni proporciona asesoría técnica o legal. Su deber principal es asegurar que las autoridades puedan contactar al fabricante rápida y eficientemente, especialmente en caso de vulnerabilidad o incidente.

• Artículo 14 introduce una obligación de reporte en 24 horas para vulnerabilidades explotadas activamente, a partir del 11 de septiembre de 2026. Los fabricantes deben notificar a ENISA (Agencia de Ciberseguridad de la UE) mediante una plataforma única, con notificación completa en 72 horas y reporte final en 14 días.
• Artículo 71(2) establece fechas de aplicación: obligaciones de reporte desde 11 septiembre 2026, obligaciones completas (incluyendo marcado y evaluación de conformidad) desde 11 diciembre 2027.
• El incumplimiento del Artículo 18 (no nombrar representante) conlleva multas hasta €10 millones o 2% de la facturación global (Artículo 69(1)), mientras que incumplimientos de requisitos esenciales pueden alcanzar €15 millones o 2.5% (Artículo 69(2)).

Importante: si un fabricante no UE no nombra representante, el importador o distribuidor puede asumir la responsabilidad por defecto, pudiendo causar interrupciones comerciales o retrasos en compras.

Cómo elegir un representante autorizado CRA

Elegir el representante autorizado CRA adecuado es una decisión crítica para el cumplimiento. El mercado es nuevo y los proveedores difieren en transparencia, alcance y términos de renovación. Aquí cómo elegir informado:

• Entidad legal: Verifique que el proveedor sea una empresa registrada en la UE con identidad legal clara. Por ejemplo, REP27 es Europe Services, SE, registrada en Praga desde 2014 (IČO 03571785).
• Precio publicado y términos de renovación: Exija un proveedor que publique precios de primer año y renovación. REP27 lista €490/año (renovación €440), con descuentos por paquete. Muchos no publican precios de renovación, lo que puede causar costes inesperados.
• Alcance del mandato: El mandato debe limitarse al Artículo 18(3). Los proveedores no deben cubrir deberes legales adicionales (como Artículo 13), pues no lo permite el CRA.
• Verificación del certificado: Busque proveedores que ofrezcan certificado verificable, por ejemplo con código QR comprobable en página pública. Es esencial para auditorías y compras.
• Gestión de solicitudes: Entienda cómo el proveedor reenvía peticiones de autoridades—idiomas, tiempos de respuesta y posibles tarifas por solicitud.

Comparación de inclusiones, exclusiones y posibles costes extra por proveedor:

Siempre solicite contrato muestra y pida todas exclusiones y condiciones de renovación por escrito antes de decidir.

Qué incluye realmente el precio

La mayoría de precios publicados para representantes CRA cubren solo el mandato básico del Artículo 18. Esto típicamente incluye:

• Carta de nombramiento firmada (mandato) con la entidad legal del representante en la UE
• Certificado verificable (a veces con código QR o registro público)
• Reenvío de solicitudes de autoridades de la UE al fabricante
• Opcional: mesa de solicitudes o canal de soporte para consultas regulatorias, a veces multilingüe

Lo que no incluye:

• Asesoría legal o representación judicial
• Evaluación de conformidad, pruebas de seguridad o generación de SBOM
• Respuesta a incidentes o remediación técnica
• Redacción o revisión de documentación técnica

La tarifa publicada de REP27 es €490/año para el mandato CRA, con renovación a €440/año. Opciones combinadas: €690/año para CRA y GDPR Artículo 27, €990/año para CRA, GDPR y NIS2, más €200 para persona responsable GPSR Artículo 16. Precios sin IVA, facturados anualmente por adelantado. Para clientes no UE, no aplica IVA checo; para clientes UE con NIF válido, se aplica inversión del sujeto pasivo.

Kadano cobra €999/año para mandato predeterminado o Importante Clase I (detalles a solicitud). Euverify cobra £590/año solo por representación CRA (inclusiones a solicitud). Ninguno publica detalles de inclusiones o términos de renovación a octubre 2026.

Resumen: la tarifa del representante suele ser la parte menor del coste total de cumplimiento CRA. La mayoría de gastos provienen de ingeniería interna, documentación y, para productos de mayor riesgo, evaluación por organismo notificado.

Costes ocultos y exclusiones

Aunque el precio publicado para representante CRA es directo, compradores deben conocer costes ocultos o excluidos que pueden impactar mucho en el gasto total de cumplimiento:

• Evaluación de conformidad: Para productos Importantes Clase II y Críticos, la evaluación por organismo notificado es obligatoria y puede costar miles de euros, con plazos de meses. No está incluida en ninguna tarifa de representante.
• Ingeniería interna: Costes de preparar documentación técnica, SBOMs y compromisos de soporte corren por cuenta del fabricante. Para productos clase predeterminada, estos costes son mayormente internos.
• Asesoría legal y servicios DPO: Ningún proveedor aquí ofrece asesoría legal, servicios DPO o evaluaciones de cumplimiento como parte del paquete CRA. REP27 lo excluye explícitamente.
• Tarifas por solicitud: Algunos proveedores pueden cobrar tarifas adicionales por reenviar o gestionar solicitudes de autoridades, aunque REP27 no publica tales tarifas. Siempre confirme por escrito.
• Aumentos en precio de renovación: Muchos no publican precios de renovación, lo que puede causar incrementos inesperados. REP27 es transparente en este aspecto.
• Plazos de aviso y cancelación: Revise contrato para plazos de aviso y condiciones de cancelación. Renovaciones silenciosas y precios bajos iniciales son comunes.

Tabla de exclusiones:

En resumen, aclare siempre qué está incluido y presupuestar los costes sustanciales de ingeniería, documentación y, si aplica, evaluación por organismo notificado.

Cómo funciona el nombramiento: paso a paso

Nombrar un representante CRA es un proceso estructurado. Así suele funcionar, con consejos prácticos:

1. Determinar aplicabilidad: Confirme que su producto está en alcance (cualquier producto con elementos digitales, hardware o software, vendido en la UE).
2. Verificar establecimiento: Si su empresa no está establecida en la UE, debe nombrar representante.
3. Investigar proveedores: Compare entidades legales, precios publicados, términos de renovación y alcance. Solicite contratos muestra y aclare exclusiones.
4. Firmar mandato: Formalice acuerdo escrito (mandato) con el proveedor elegido. Asegure que el mandato se limite a obligaciones del Artículo 18.
5. Recibir documentación: Obtenga carta de designación firmada y certificado verificable. REP27 ofrece firma electrónica eIDAS y código QR para verificación pública.
6. Actualizar archivos técnicos: Incluya datos del representante en documentación técnica, declaraciones de conformidad y etiquetas de producto cuando aplique.
7. Preparar reporte: Configure un runbook para reporte de vulnerabilidades (Artículo 14), incluyendo quién declara incidentes, acceso a plataforma y plantillas de aviso y notificación.
8. Combinar si es necesario: Si requiere representación para GDPR Artículo 27, NIS2 o GPSR, considere paquetes combinados para ahorro y simplicidad administrativa.

Matriz de decisión:

Riesgos y multas

Los riesgos de incumplimiento del CRA son sustanciales, financieros y operativos. La ley prevé multas y otras consecuencias:

• No nombrar representante: Puede acarrear multas hasta €10 millones o 2% de facturación global (Artículo 69(1)).
• Incumplimiento de requisitos esenciales: Multas hasta €15 millones o 2.5% de facturación global (Artículo 69(2)).
• Retraso en reportes: Perder la ventana de 24 horas para reportar vulnerabilidades explotadas (Artículo 14) puede causar acciones de cumplimiento, retiradas de mercado y daño reputacional.
• Retrasos en compras: Sin representante, ciclos de venta pueden frenarse, pues equipos de compras exigen prueba de representación UE antes de comprar.
• Pérdida de control: Sin representante, importador o distribuidor puede ser contacto por defecto, perdiendo control sobre reportes e interacciones regulatorias.
• Renovaciones silenciosas: Múltiples mandatos con fechas distintas aumentan riesgo de lapsos accidentales y no cumplimiento.

REP27 destaca que el valor principal del mandato es lo que previene: tiempo perdido en incidentes, retrasos en documentación, bloqueos en compras y lapsos accidentales. Estos riesgos operativos son tan importantes como las multas.

Lo que los proveedores suelen no decir

Muchos proveedores en el mercado de representación CRA no revelan detalles contractuales y operativos importantes. Compradores deben saber lo siguiente:

• Precios de renovación: Algunos ofrecen precios bajos el primer año pero no publican tarifas de renovación, que pueden subir inesperadamente. REP27 es de los pocos transparentes.
• Plazos de aviso: Renovaciones silenciosas y largos plazos para cancelar son comunes. Solicite estos términos por escrito.
• Ampliación de alcance: Algunos proveedores pueden afirmar cubrir deberes más allá del Artículo 18, como Artículo 13, lo cual no permite el CRA. Asegure que el mandato se limite a lo legalmente permitido.
• Tarifas por solicitud: Pueden aplicarse cargos adicionales por gestionar o reenviar solicitudes de autoridades, aunque REP27 no los publica. Aclare antes.
• Límites de responsabilidad: Rara vez se divulgan límites o exclusiones de responsabilidad por daños, lo cual es crítico en disputas.
• Exclusiones: Ningún proveedor cubre evaluación de conformidad, pruebas de seguridad, generación SBOM o asesoría legal. Siempre es responsabilidad del fabricante.

En resumen, exija total transparencia escrita sobre precios de renovación, plazos, tarifas por solicitud y términos de responsabilidad antes de firmar.

Matriz de decisión: ¿Necesita representante autorizado CRA?

Use esta matriz para determinar si necesita representante CRA según su modelo de negocio y presencia en el mercado:

Esta matriz cubre escenarios prácticos para fabricantes y vendedores. En duda, consulte la ley o especialista para su producto y modelo de venta.

Lista de verificación: pasos para cumplimiento CRA

Siga esta lista para asegurar cumplimiento eficiente con CRA:

1. Determine si su producto está en alcance CRA (hardware/software con elementos digitales).
2. Verifique si está establecido fuera de la UE.
3. Identifique si vende directo a clientes UE o via marketplaces (Amazon, Etsy, eBay).
4. Investigue y compare proveedores de representantes CRA por entidad legal, precio y alcance.
5. Solicite contratos muestra y aclare exclusiones y términos de renovación por escrito.
6. Firme mandato Artículo 18 con proveedor elegido.
7. Reciba y verifique carta de designación y certificado (preferiblemente con verificación pública).
8. Actualice documentación técnica y declaraciones de producto para incluir representante.
9. Prepare runbook para reporte de vulnerabilidades (obligaciones Artículo 14 desde septiembre 2026).
10. Presupueste ingeniería interna, documentación y, si aplica, evaluación por organismo notificado.
11. Revise compromisos de periodo de soporte (mínimo cinco años de actualizaciones de seguridad).
12. Controle fechas de renovación y plazos de cancelación para evitar lapsos silenciosos.

Escenarios realistas

• Proveedor SaaS USA: Vende producto en la nube a clientes UE. Debe nombrar representante CRA y establecer canal de reporte en 24 horas. REP27 ofrece precio publicado, nombramiento rápido y certificado verificable. Debe preparar documentación técnica y runbook de reportes, aunque evaluación de conformidad es probable auto declarada salvo para productos Importantes Clase II o Críticos.
• Vendedor chino en Amazon: Envía dispositivos IoT con marca a la UE. Necesita representante CRA para acceso al mercado, ya que Amazon y aduanas UE pueden exigir prueba de representación. Debe asegurar cumplimiento CRA, nombrar representante (REP27, Kadano o Euverify) y actualizar documentación. Si vende bajo su nombre, aplica obligación; si importador cambia marca, importador asume responsabilidad.
• Comerciante online UK: Vende dispositivos conectados B2B a empresas UE. Necesita representante CRA salvo que importador UE asuma obligaciones. Debe aclarar con socios responsabilidades, nombrar representante si aplica y prepararse para reporte de vulnerabilidades desde septiembre 2026.

Estos escenarios ilustran aplicación práctica de la ley y pasos para cumplimiento, independientemente de tamaño o sector.