Cyber Resilience Act (CRA) y las nuevas obligaciones de ciberseguridad para los productos digitales
Desde el 11 de septiembre de 2026, los fabricantes afectados por el Cyber Resilience Act deben comunicar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos con elementos digitales. La fecha abre una nueva etapa, pero no supone todavía la aplicación completa del Reglamento, prevista para diciembre de 2027.
El Reglamento (UE) 2024/2847, conocido como Cyber Resilience Act o CRA, introduce requisitos horizontales de ciberseguridad para el hardware y el software comercializados en la Unión Europea. Su objetivo es que la seguridad deje de abordarse únicamente cuando aparece una vulnerabilidad y forme parte de la planificación, el diseño, el desarrollo, la producción y el mantenimiento del producto.
La norma también busca ofrecer más información a empresas y consumidores para que puedan valorar la seguridad de los productos que adquieren y conocer durante cuánto tiempo recibirán soporte. En la práctica, la confianza digital pasa a depender de la capacidad del fabricante para prevenir riesgos, gestionar vulnerabilidades y demostrar el cumplimiento mediante documentación y procesos verificables.
Qué productos y empresas quedan afectados por la CRA (Cyber Resilience Act)
El CRA se aplica, con carácter general, a productos de hardware y software con una conexión directa o indirecta, física o lógica, a un dispositivo o una red cuando se ponen a disposición del mercado europeo en el marco de una actividad comercial. El concepto incluye tanto productos finales como componentes comercializados por separado y, en determinadas circunstancias, soluciones de procesamiento remoto necesarias para que el producto cumpla sus funciones.
Entre los ejemplos habituales pueden encontrarse:
• Dispositivos conectados e Internet de las Cosas.
• Aplicaciones, programas informáticos y sistemas operativos.
• Equipos de red, componentes de hardware y determinadas soluciones de seguridad.
• Software integrado en maquinaria, equipos industriales o productos de consumo.
• Componentes digitales suministrados para su incorporación a otros productos.
Las obligaciones principales recaen sobre los fabricantes que comercializan el producto bajo su nombre o marca, aunque el Reglamento también asigna responsabilidades a representantes autorizados, importadores y distribuidores. Existen exclusiones y regímenes específicos, por ejemplo para productos ya cubiertos por determinada legislación sectorial y para parte del software libre y de código abierto. Por ello, el alcance debe evaluarse caso por caso.
El calendario del Cyber Resilience Act
| Fecha | Hito |
| 10 diciembre 2024 | Entrada en vigor del Reglamento. |
| 11 junio 2026 | Aplicación de las disposiciones sobre notificación de organismos de evaluación de la conformidad. |
| 11 septiembre 2026 | Aplicación de las obligaciones de notificación de vulnerabilidades explotadas activamente e incidentes graves. |
| 11 diciembre 2027 | Aplicación general de los principales requisitos del CRA. |
Qué debe notificarse desde septiembre de 2026 a raíz de la aplicación de la Cyber Resilience Act (CRA)
La primera obligación de gran impacto operativo llega el 11 de septiembre de 2026. Desde esa fecha, los fabricantes deben notificar dos tipos de situaciones cuando tengan conocimiento de ellas:
• Vulnerabilidades explotadas activamente que afecten a un producto con elementos digitales.
• Incidentes graves que repercutan en la seguridad del producto.
Esto no significa que cualquier empresa deba comunicar cualquier ciberataque en virtud del CRA. La obligación se vincula a los fabricantes y demás sujetos previstos por el Reglamento, y a la seguridad de productos con elementos digitales incluidos en su ámbito. Una misma organización puede estar sometida, además, a otras normas de notificación, como NIS2 o el RGPD, según su actividad y el tipo de incidente.
Plazos y canal de comunicación de la CRA
El modelo de notificación es escalonado:
• Alerta temprana en un plazo máximo de 24 horas desde que se tiene conocimiento.
• Notificación principal en un plazo máximo de 72 horas.
• Informe final sobre una vulnerabilidad explotada activamente, como máximo 14 días después de que esté disponible una medida correctora o de mitigación.
• Informe final sobre un incidente grave, dentro del mes siguiente a la notificación de 72 horas.
Las comunicaciones se realizan una sola vez mediante la plataforma única de notificación gestionada por ENISA. La notificación se dirige al CSIRT coordinador correspondiente al establecimiento principal del fabricante y, salvo circunstancias excepcionales justificadas, la información se pone también a disposición de ENISA y se comparte con los CSIRT de los Estados miembros en los que el producto se haya comercializado.
La seguridad durante todo el ciclo de vida
El cambio de fondo llegará con la aplicación general del Reglamento en diciembre de 2027. Para entonces, los fabricantes deberán integrar la ciberseguridad en el producto y mantenerla durante el periodo de soporte comunicado al usuario. Entre los elementos centrales se encuentran:
• Realizar y documentar una evaluación de riesgos de ciberseguridad.
• Aplicar requisitos de seguridad desde el diseño y por defecto.
• Reducir vulnerabilidades conocidas antes de la comercialización.
• Gestionar vulnerabilidades, actualizaciones y medidas correctoras durante el periodo de soporte.
• Controlar los riesgos asociados a componentes de terceros y a la cadena de suministro.
• Preparar la documentación técnica y conservar evidencias de conformidad.
• Facilitar instrucciones para una instalación, configuración y utilización seguras.
• Superar el procedimiento de evaluación de la conformidad que corresponda, emitir la declaración UE de conformidad y colocar el marcado CE.
La evaluación no será idéntica para todos los productos. Muchos podrán seguir procedimientos de control interno, mientras que determinadas categorías de productos importantes o críticos deberán recurrir a una evaluación por terceros o a otros mecanismos previstos por el Reglamento.
La cadena de suministro también debe prepararse ante las amenazas en ciberseguridad
El CRA extiende la responsabilidad más allá del equipo de desarrollo. Compras, producto, ingeniería, operaciones, soporte, legal y dirección deben coordinarse para conocer qué componentes forman parte de cada producto, quién mantiene cada dependencia, cómo se reciben y priorizan las vulnerabilidades y qué evidencias deben conservarse.
Los importadores deberán comprobar que el fabricante ha realizado las evaluaciones y preparado la documentación exigida. Los distribuidores, por su parte, tendrán que verificar aspectos como el marcado CE, la información de contacto y las instrucciones y datos sobre el periodo de soporte. Si detectan motivos para considerar que un producto no es conforme, no podrán tratar la situación como una cuestión ajena.
Por qué no conviene esperar a 2027 a la aplicación total del reglamento CRA
Adaptarse al Cyber Resilience Act no consiste en completar una lista documental al final del desarrollo. Requiere incorporar controles y responsabilidades en procesos que pueden tardar meses en madurar: inventario de productos y componentes, gobierno de vulnerabilidades, desarrollo seguro, monitorización, gestión de incidentes, soporte y coordinación con proveedores.
Además, las obligaciones de notificación ya exigen saber quién decide si un hallazgo cumple los criterios del CRA, qué equipo recopila la información, quién accede a la plataforma de ENISA y cómo se coordinan los avisos con otras obligaciones regulatorias o contractuales. Sin procedimientos ensayados, los plazos de 24 y 72 horas resultan difíciles de cumplir.
El incumplimiento de los requisitos esenciales y de determinadas obligaciones de fabricantes y notificación puede dar lugar a sanciones administrativas de hasta 15 millones de euros o, si el infractor es una empresa, hasta el 2,5 % de su volumen de negocio mundial anual del ejercicio anterior, aplicándose el importe que resulte superior. Las sanciones concretas dependerán del tipo de incumplimiento y de las reglas nacionales de aplicación.
Cómo preparar el cumplimiento del CRA con el apoyo de Neotica
Neotica acompañamos a los fabricantes, desarrolladores y organizaciones de la cadena de suministro en la preparación técnica y organizativa necesaria para el CRA.
El trabajo puede incluir el análisis inicial de alcance y brechas, la evaluación de riesgos, la definición de políticas y responsabilidades, el refuerzo del desarrollo seguro, la gestión de vulnerabilidades y proveedores, la monitorización y la preparación de procedimientos de respuesta y notificación.
Este acompañamiento ayuda a generar evidencias, ordenar responsabilidades y convertir el cumplimiento en una mejora real de la seguridad del producto. Neotica no sustituye al fabricante en su responsabilidad ni al organismo notificado cuando sea obligatoria una evaluación independiente, pero puede ayudar a que la organización llegue al proceso con controles, documentación y capacidades operativas más maduras.
Si tu empresa desarrolla, fabrica, importa o distribuye productos con elementos digitales, este es el momento de determinar si está afectada y preparar una hoja de ruta antes de que los requisitos generales sean plenamente exigibles.
Fuentes oficiales consultadas
• Reglamento UE 2024 2847 en EUR Lex
• Resumen oficial del Cyber Resilience Act
• Obligaciones de notificación del CRA
