¿Me aplica el Reglamento de Ciberresiliencia (CRA)?

El Reglamento (UE) 2024/2847, de requisitos horizontales de ciberseguridad para productos con elementos digitales. Exige diseñarlos con seguridad, gestionar sus vulnerabilidades durante el periodo de soporte y notificar las aprovechadas activamente (art. 6, 13 y 14; anexo I).

A los productos con elementos digitales que se comercializan en la UE y cuya finalidad o uso razonablemente previsible incluye una conexión de datos, directa o indirecta, a un dispositivo o a una red (art. 2.1). Las obligaciones recaen en el fabricante y también en importadores y distribuidores (art. 13, 19 y 20). Hay exclusiones, como los productos sanitarios y los vehículos (art. 2).

Está en vigor desde el 10-12-2024 y se aplica por fases (art. 71): las normas sobre organismos de evaluación de la conformidad, desde el 11-06-2026; la notificación de vulnerabilidades aprovechadas activamente e incidentes graves, desde el 11-09-2026; y el resto, desde el 11-12-2027.

Para que un producto resista los ataques y se recupere de ellos con el menor daño posible. En el CRA se traduce en requisitos de diseño (anexo I, parte I) y en la gestión de vulnerabilidades durante el periodo de soporte (anexo I, parte II).

Desde el 11-09-2026, los fabricantes deben notificar las vulnerabilidades aprovechadas activamente y los incidentes graves que afecten a la seguridad de sus productos, también de los que ya estaban en el mercado: alerta temprana en 24 horas y notificación en 72 horas desde que tienen conocimiento, e informe final 14 días después de disponer de una medida correctora o paliativa (vulnerabilidades) o un mes después de la notificación (incidentes graves) (art. 14 y 69.3).

El software como servicio por sí solo queda fuera. Sí forma parte del producto el tratamiento de datos a distancia sin el cual el producto no puede cumplir alguna de sus funciones, siempre que su software lo haya diseñado y desarrollado el fabricante o se haya desarrollado bajo su responsabilidad (art. 3.2). Un servicio estándar de otro proveedor es una dependencia externa del producto.

Queda fuera si no se pone en el mercado en el curso de una actividad comercial. Cuenta como actividad comercial, por ejemplo, cobrar por el software, usarlo para monetizar otros productos o servicios o exigir datos personales para fines distintos de la seguridad, la compatibilidad o la interoperabilidad (art. 3.22 y considerandos 15 y 18). Los administradores de software de código abierto tienen un régimen propio más ligero (art. 24).

Los productos introducidos en el mercado antes del 11-12-2027 solo quedan sujetos a los requisitos si después se modifican de forma sustancial (art. 69.2). La obligación de notificar del art. 14 se aplica también a ellos (art. 69.3).

Depende de la categoría. Por defecto vale cualquier vía del art. 32.1, incluido el control interno. Un producto importante de clase I puede usar el control interno solo si aplica por completo normas armonizadas, especificaciones comunes o un esquema europeo de certificación de nivel al menos «sustancial»; si no, necesita un organismo notificado (art. 32.2). Uno de clase II necesita un organismo notificado o un esquema europeo de certificación de nivel al menos «sustancial» (art. 32.3). Uno crítico, un certificado europeo si un acto delegado lo exige; mientras no lo haya, las vías de la clase II (art. 32.4). El software libre de categoría importante puede usar el control interno si publica la documentación técnica (art. 32.5).

• 20-10-2026 · versión 2026.10.12-r6. Primera versión completa: fabricante, importador, distribuidor, software a medida, componentes, nube ligada a un producto, software libre y administradores; categorías del Reglamento de Ejecución (UE) 2025/2392; notificación desde el 11-09-2026 y aplicación general desde el 11-12-2027; corrección de errores del art. 64.10.