¿Qué es el Cyber Resilience Act (CRA)?
El Cyber Resilience Act (CRA), o Reglamento de Ciberresiliencia, es el Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo, la primera norma europea que impone requisitos horizontales obligatorios de ciberseguridad a todos los productos con elementos digitales que se comercializan en la Unión Europea. Su lógica es sencilla y rompedora: si un producto se conecta —directa o indirectamente— a una red de datos, no podrá venderse en la UE sin demostrar que es seguro por diseño y que su fabricante mantendrá esa seguridad durante toda la vida del producto.
Hasta ahora, la ciberseguridad del software y del hardware conectado era prácticamente un compromiso voluntario del fabricante. El CRA cambia el punto de partida: convierte la seguridad en un requisito legal de acceso al mercado, al mismo nivel que la seguridad eléctrica o la compatibilidad electromagnética. El instrumento que lo materializa es conocido y reconocible: el marcado CE, que a partir del CRA también acreditará conformidad en materia de ciberseguridad.
El alcance es deliberadamente amplio. El Reglamento cubre desde un monitor de bebés o un reloj inteligente hasta un sistema operativo, un cortafuegos industrial, una aplicación móvil o un microcontrolador. Y no obliga solo a los grandes fabricantes tecnológicos: importadores, distribuidores y cualquier empresa que ponga un producto conectado en el mercado europeo bajo su propia marca entra en el perímetro.
Esta guía se divide en dos partes. En esta primera resolvemos el encuadre: qué regula el CRA, a quién obliga, qué productos entran y cuáles quedan fuera, qué es exigible en cada fecha, cómo se clasifican los productos según su riesgo y a qué sanciones se expone quien no cumpla. La parte operativa —los requisitos técnicos del Anexo I, los plazos de notificación de vulnerabilidades, el expediente de marcado CE, el encaje con NIS2 e ISO 27001 y la hoja de ruta de preparación— la desarrollamos en Cómo cumplir el Cyber Resilience Act.
El CRA está en vigor desde el 10 de diciembre de 2024 y su aplicación es escalonada. Dos hitos ya se han cumplido: el Reglamento de Ejecución (UE) 2025/2392, en vigor desde el 29 de noviembre de 2025, fija las descripciones técnicas precisas de las 28 categorías de productos importantes y críticos; y desde el 11 de junio de 2026 están operativas las disposiciones sobre organismos notificados y autoridades de notificación.
El siguiente hito es inmediato: el 11 de septiembre de 2026 entran en vigor las obligaciones de notificación de vulnerabilidades explotadas activamente e incidentes graves —también para productos ya comercializados—, junto con la plataforma única de notificación gestionada por ENISA. El resto de obligaciones será exigible el 11 de diciembre de 2027.
En paralelo, la Comisión publicó el 27 de julio de 2026 su guía oficial sobre el ámbito de aplicación del Reglamento, y ha propuesto retrasar dos meses los plazos de la petición de normalización: las normas horizontales de gestión de vulnerabilidades se esperan hacia finales de octubre de 2026 y las normas verticales por producto, a lo largo de diciembre de 2026. Conviene revisar el estado de las normas armonizadas antes de cerrar cualquier plan de conformidad.
¿A quién obliga el Cyber Resilience Act?
El CRA reparte obligaciones a lo largo de toda la cadena de suministro digital, con intensidades distintas según el papel de cada actor:
Fabricantes
Diseñan y desarrollan el producto. Asumen el grueso de las obligaciones: requisitos esenciales del Anexo I, análisis de riesgos de ciberseguridad, documentación técnica, evaluación de la conformidad, marcado CE, gestión de vulnerabilidades durante el periodo de soporte y notificación a las autoridades.
Importadores
Solo pueden introducir en el mercado de la UE productos que cumplan el Reglamento. Deben verificar que el fabricante ha realizado la evaluación de conformidad, que existe documentación técnica y que el producto lleva marcado CE e instrucciones de uso.
Distribuidores
Deben actuar con la diligencia debida: comprobar la presencia del marcado CE y de la documentación, y no comercializar un producto del que sepan o deban sospechar que no es conforme. Si detectan un riesgo, informan al fabricante y a las autoridades.
Custodios de software libre
Las fundaciones y entidades que sostienen software de código abierto (open-source stewards) tienen un régimen específico y más ligero, centrado en políticas de seguridad y cooperación, y no están sujetas a multas por infracciones del Reglamento.
Atención a un punto crítico: un importador o distribuidor que comercialice un producto bajo su propia marca, o que lo modifique sustancialmente, pasa a ser considerado fabricante a todos los efectos y asume todas sus obligaciones. Es el error de encuadre más frecuente en las primeras evaluaciones internas, y conviene resolverlo antes de cualquier otra cosa: de tu rol depende el volumen entero de trabajo que tienes por delante.
¿Qué es un «producto con elementos digitales» y qué queda fuera?
El Reglamento define producto con elementos digitales como cualquier producto de software o hardware —y sus soluciones de tratamiento de datos remoto asociadas— cuyo uso previsto o razonablemente previsible incluya una conexión lógica o física, directa o indirecta, a un dispositivo o a una red. En la práctica, esa definición abarca casi todo el hardware conectado y prácticamente todo el software comercializado en la UE.
Las exclusiones son limitadas y responden a dos criterios: la existencia de legislación sectorial equivalente o la ausencia de finalidad comercial. Quedan fuera del CRA:
- Productos sanitarios cubiertos por los Reglamentos (UE) 2017/745 y 2017/746.
- Vehículos de motor sujetos al Reglamento (UE) 2019/2144 y a los requisitos de ciberseguridad de la homologación de tipo.
- Aviación civil bajo el Reglamento (UE) 2018/1139 y equipos marinos.
- Software libre y de código abierto no suministrado en el marco de una actividad comercial.
- Productos desarrollados exclusivamente para fines de seguridad nacional, defensa o tratamiento de información clasificada.
- Piezas de repuesto destinadas a sustituir componentes idénticos en productos ya comercializados.
El resto —incluido el software distribuido como SaaS cuando forma parte de la solución de tratamiento remoto de un producto— entra en el ámbito de aplicación. La guía de la Comisión sobre el ámbito de aplicación, publicada el 27 de julio de 2026, es la referencia a consultar en los casos frontera.
Calendario del CRA: qué ya es exigible y qué queda por delante
El CRA no se aplica de golpe. Su despliegue escalonado da margen para prepararse, pero obliga a distinguir con precisión qué venció ya y qué está por llegar. A agosto de 2026, el mapa es este:
Entrada en vigor del Reglamento
El Reglamento (UE) 2024/2847 entra en vigor. Arranca el periodo transitorio: ninguna obligación material es todavía exigible.
CumplidoDescripciones técnicas de las 28 categorías
El Reglamento de Ejecución (UE) 2025/2392 sustituye las categorías genéricas del Anexo III por descripciones técnicas precisas. Es hoy la referencia obligada para clasificar un producto.
CumplidoOrganismos notificados operativos
Aplican las disposiciones sobre autoridades de notificación y organismos de evaluación de la conformidad: ya pueden designarse y notificarse.
CumplidoObligaciones de notificación de vulnerabilidades e incidentes
Los fabricantes deben notificar las vulnerabilidades explotadas activamente y los incidentes graves al CSIRT coordinador y a ENISA, por la plataforma única de notificación. Se aplica también a los productos ya comercializados, sin periodo transitorio.
Próximo hito · a semanasAplicación plena del Reglamento
Son exigibles los requisitos esenciales del Anexo I, la evaluación de la conformidad, la documentación técnica, la declaración UE de conformidad y el marcado CE. Desde esa fecha, un producto no conforme no puede comercializarse en la UE.
PendienteEs decir: aunque la aplicación plena llegue a finales de 2027, hay un bloque de obligaciones que empieza a contar en semanas y que afecta a toda la cartera vendida hasta hoy. Los plazos concretos —24 horas, 72 horas, 14 días— y cómo montar el proceso los detallamos en la segunda parte de esta guía.
Clasificación de productos: por defecto, importantes y críticos
El CRA modula la exigencia según el riesgo del producto, con cuatro niveles. Esa clasificación determina el procedimiento de evaluación de la conformidad: cuanto mayor es el riesgo, menor es el margen para la autoevaluación.
| Nivel | Ejemplos de producto | Vía de conformidad |
|---|---|---|
| Por defecto (~90 % del mercado) |
Aplicaciones móviles, videojuegos, discos duros externos, altavoces conectados, software de gestión general. | Autoevaluación Control interno (módulo A). |
| Importantes Clase I (Anexo III, 19 categorías) |
Gestores de contraseñas, navegadores, antimalware, VPN, SIEM, sistemas de gestión de identidades y accesos, sistemas operativos, routers y conmutadores, PKI, gestores de arranque, asistentes virtuales domésticos, cerraduras y cámaras inteligentes, juguetes conectados, wearables de salud. | Autoevaluación solo si se aplican normas armonizadas o un esquema de certificación; en su defecto, evaluación por tercero. |
| Importantes Clase II (Anexo III) |
Hipervisores y motores de contenedores, cortafuegos, sistemas de detección y prevención de intrusiones (IDS/IPS), microprocesadores y microcontroladores resistentes a manipulación, sistemas de control industrial críticos para entidades NIS2. | Tercero obligatorio Examen UE de tipo (B+C) o aseguramiento de calidad total (H). |
| Críticos (Anexo IV, 3 categorías) |
Dispositivos hardware con cajas de seguridad (HSM), pasarelas de contadores inteligentes y dispositivos de criptoprocesamiento seguro, tarjetas inteligentes y elementos seguros. | Certificación Certificación europea de ciberseguridad (EUCC) al menos de nivel «sustancial» cuando así lo exija la Comisión. |
Clasificar bien el producto es la primera decisión estructural del proyecto de conformidad: de ella dependen el coste, los plazos y la necesidad de contratar un organismo notificado. El Reglamento de Ejecución (UE) 2025/2392 es hoy la referencia obligada para hacerlo, porque sustituye las categorías genéricas del Anexo III por descripciones técnicas precisas.
Y tiene una consecuencia práctica con calendario propio: si algún producto de tu cartera cae en importante clase II o en crítico, necesitas un tercero. Los organismos notificados están operativos desde junio de 2026, pero su capacidad es limitada y la demanda se concentrará conforme se acerque diciembre de 2027.
¿No sabes en qué categoría del CRA caen tus productos? Te mostramos cómo inventariarlos, clasificarlos y trazar sus requisitos sobre la plataforma.
Solicita una demoSanciones por incumplimiento del Cyber Resilience Act
El régimen sancionador del CRA se articula en tres tramos, con el criterio habitual del Derecho europeo: la cuantía mayor entre un importe fijo y un porcentaje del volumen de negocios mundial del ejercicio anterior.
| Tipo de incumplimiento | Sanción máxima |
|---|---|
| Incumplimiento de los requisitos esenciales del Anexo I —las propiedades de ciberseguridad del producto y la gestión de vulnerabilidades— y de las obligaciones de los artículos 13 y 14 (obligaciones del fabricante y notificación). | 15 millones de euros o el 2,5 % del volumen de negocios anual mundial. |
| Incumplimiento de cualquier otra obligación del Reglamento (importadores, distribuidores, representantes autorizados, organismos notificados). | 10 millones de euros o el 2 % del volumen de negocios anual mundial. |
| Facilitar información incorrecta, incompleta o engañosa a organismos notificados o autoridades de vigilancia del mercado. | 5 millones de euros o el 1 % del volumen de negocios anual mundial. |
Más allá de la multa, las autoridades de vigilancia del mercado pueden exigir la retirada del producto, prohibir su comercialización o restringir su disponibilidad. Para un fabricante, ese riesgo comercial suele pesar más que la sanción económica. Un matiz relevante para las empresas más pequeñas: las microempresas y pequeñas empresas no se enfrentan a multas por incumplir específicamente el plazo de la alerta temprana de 24 horas, aunque sí mantienen el resto de obligaciones.
Traducido a prioridades: el grueso del riesgo económico se concentra en el tramo alto —requisitos del Anexo I y obligaciones de notificación—, que es precisamente el bloque de trabajo que abordamos en la segunda parte de esta guía.
¿Cómo puede ayudar un software GRC a encuadrar el CRA?
Desde GlobalSuite Solutions abordamos el CRA como lo que realmente es: un problema de gobierno, riesgo y cumplimiento con plazos legales tasados, no una hoja de cálculo de requisitos técnicos. Y todo empieza por el encuadre que hemos recorrido en este artículo. Nuestra plataforma GlobalSuite® permite construir el inventario de productos con elementos digitales y de sus componentes, registrar el rol de la organización en cada uno de ellos —fabricante, importador o distribuidor, con el efecto de la marca propia—, clasificarlos según los Anexos III y IV y el Reglamento de Ejecución 2025/2392, y derivar de esa clasificación la vía de conformidad y las fechas exigibles a cada producto. Sobre esa misma base se gestionan la trazabilidad de cada requisito legal hasta un control, un responsable y una evidencia, el seguimiento del plan de acción con alertas de vencimiento, y el mapeo multinorma con NIS2, ISO 27001, IEC 62443, DORA o el ENS, de forma que una evidencia sirva para varios marcos. El resultado es un cuadro de mando único del estado de cumplimiento y del riesgo residual, listo para auditoría o para una inspección de la autoridad de vigilancia del mercado.
Preguntas frecuentes sobre el Cyber Resilience Act
¿Cuándo entra en vigor el Cyber Resilience Act?
El Reglamento (UE) 2024/2847 está en vigor desde el 10 de diciembre de 2024, pero su aplicación es escalonada. Las disposiciones sobre organismos notificados rigen desde el 11 de junio de 2026, las obligaciones de notificación de vulnerabilidades e incidentes desde el 11 de septiembre de 2026, y el resto de obligaciones —requisitos esenciales, evaluación de la conformidad y marcado CE— desde el 11 de diciembre de 2027.
¿A qué productos se aplica el CRA?
A todos los productos con elementos digitales comercializados en la UE cuyo uso previsto incluya una conexión, directa o indirecta, a un dispositivo o a una red: hardware conectado, software, aplicaciones, sistemas operativos y las soluciones de tratamiento de datos remoto asociadas. Quedan excluidos los productos sanitarios, los vehículos de motor, la aviación civil, los equipos marinos, el software libre sin actividad comercial y los productos de defensa o seguridad nacional.
¿El CRA afecta a los productos que ya están en el mercado?
Sí, en un punto concreto y con fecha inmediata: las obligaciones de notificación de vulnerabilidades explotadas activamente e incidentes graves, exigibles desde el 11 de septiembre de 2026, se aplican también a los productos ya comercializados, sin periodo transitorio ni excepción por antigüedad. Los requisitos esenciales del Anexo I y el marcado CE, en cambio, rigen para los productos introducidos en el mercado a partir del 11 de diciembre de 2027.
¿Qué pasa si vendo bajo mi propia marca un producto fabricado por otro?
Que dejas de ser importador o distribuidor y pasas a ser fabricante a todos los efectos del Reglamento. Lo mismo ocurre si modificas sustancialmente un producto ya comercializado. Eso implica asumir el paquete completo de obligaciones: requisitos del Anexo I, análisis de riesgos, documentación técnica, evaluación de la conformidad, marcado CE, gestión de vulnerabilidades y notificación. Es el primer punto a verificar en cualquier evaluación interna, porque determina el alcance real del proyecto.
¿Necesito un organismo notificado para certificar mi producto?
Depende de la clasificación. Los productos por defecto se autoevalúan mediante control interno. Los importantes de clase I pueden autoevaluarse solo si aplican normas armonizadas o un esquema de certificación europeo; en caso contrario necesitan un tercero. Los importantes de clase II requieren siempre evaluación por organismo notificado, y los críticos del Anexo IV pueden exigir certificación europea de ciberseguridad.
¿Qué sanciones prevé el CRA?
Hasta 15 millones de euros o el 2,5 % del volumen de negocios anual mundial por incumplir los requisitos esenciales del Anexo I y las obligaciones de los artículos 13 y 14; hasta 10 millones o el 2 % por el resto de obligaciones; y hasta 5 millones o el 1 % por facilitar información incorrecta o engañosa a las autoridades. Se aplica siempre la cuantía mayor, y a ello puede sumarse la retirada del producto del mercado.
El Cyber Resilience Act convierte la ciberseguridad en condición de acceso al mercado europeo para cualquier producto conectado, con el marcado CE como prueba y sanciones de hasta 15 millones de euros o el 2,5 % del volumen de negocios mundial. Obliga a fabricantes, importadores y distribuidores —y quien vende bajo marca propia cuenta como fabricante—, con exclusiones limitadas a los sectores que ya tienen legislación equivalente.
El calendario deja poco margen: tres hitos ya vencidos, el 11 de septiembre de 2026 para las obligaciones de notificación —también sobre productos ya comercializados— y el 11 de diciembre de 2027 para el resto. Las dos decisiones que ordenan todo lo demás son determinar tu rol y clasificar la cartera según los Anexos III y IV: de ahí salen el coste, los plazos y la necesidad de un organismo notificado.
Con el encuadre resuelto, el siguiente paso es el trabajo técnico y documental: Cómo cumplir el Cyber Resilience Act: requisitos del Anexo I, notificación y hoja de ruta.
Inventaría y clasifica tu cartera de productos sobre una única plataforma
Inventario de productos con elementos digitales y componentes, registro del rol por producto, clasificación según los Anexos III y IV, fechas exigibles por producto y mapeo multinorma con NIS2 e ISO 27001. Te lo mostramos con un caso real.
Solicita una demo
