Cumple con todos los requisitos del Cyber Resilience Act de forma fácil, asistida y continua

¿Qué es el Cyber Resilience Act?

El Reglamento (UE) 2024/2847, o Cyber Resilience Act, es la primera norma europea que impone requisitos obligatorios de ciberseguridad a todo producto con elementos digitales —hardware o software— que se comercialice en la UE. Obliga al fabricante a diseñar de forma segura, mantener el inventario de componentes (SBOM), gestionar las vulnerabilidades durante todo el ciclo de vida y notificar a ENISA las que se exploten activamente; sin cumplirlo no hay marcado CE ni acceso al mercado europeo. Aplica igualmente a importadores, distribuidores y a cualquier fabricante o exportador de fuera de la UE: si tu producto llega al mercado europeo, el CRA te aplica. Las obligaciones de notificación arrancan el 11 sep 2026 y la plena aplicación, el 11 dic 2027.

Según el tipo de producto —CRAtrustNorth te ayuda a clasificarlo (por defecto, importante o crítico)— cambia el nivel de exigencia del Anexo I (Diseño Seguro) y la ruta de conformidad: desde la autoevaluación (control interno) hasta la aplicación de una norma armonizada, que otorga presunción de conformidad, o incluso una evaluación de la conformidad por un organismo notificado para las clases de mayor criticidad.

¿Qué puede hacer CRAtrustNorth?

1. 1Evaluación y clasificación del productoArt. 7–8Anexo III–IVArt. 32

   Un cuestionario inicial evalúa el producto y su criticidad, y fija la ruta de conformidad que deberá seguir (por defecto, importante o crítico).

   Ver ejemplo▾

   
2. 2Extracción automática del inventario (SBOM)Anexo I · P.II 1Anexo VII

   Genera el SBOM del producto desde CycloneDX, SPDX, manifest/lockfile, contenedor, repositorio o firmware/binario.

   Ver ejemplo▾

   
3. 3Identificación continua de vulnerabilidades (CVE)Anexo I · P.II 1Art. 14Art. 13(6)

   Cruza cada componente y versión contra OSV, CISA KEV, EPSS y EUVD. Si la explotación es conocida (KEV), arma el reloj de notificación a ENISA y el aviso al mantenedor upstream. De forma continua.

   Ver ejemplo▾

   
4. 4Registro de actualizaciones de seguridadAnexo I · P.II 2Anexo I · P.II 8Anexo I · P.II 4

   Registra automáticamente las actualizaciones y las vulnerabilidades remediadas por versión, y asiste en su notificación y divulgación.

   Ver ejemplo▾

   
5. 5Análisis de riesgos (NIST SP 800-30 Rev.1)Art. 13(2)Anexo I · P.IAnexo VII

   Evaluación de riesgos de ciberseguridad asistida basada en NIST SP 800-30 Rev.1, con control de evidencias de mitigación.

   Ver ejemplo▾

   
6. 6Revisión automática de seguridadAnexo I · P.II 3Anexo I · P.I

   Análisis automático por producto: firmware con EMBA, código con Semgrep y Gitleaks, y contenedores con Trivy y Hadolint.

   Ver ejemplo▾

   
7. 7Evaluación de la conformidad CRAArt. 32Anexo VIIIAnexo I

   Un dashboard de cumplimiento que muestra, requisito a requisito, qué está cubierto, en curso o pendiente.

   Ver ejemplo▾

   
8. 8Generación de la documentación obligatoriaAnexo VAnexo IIAnexo VII

   Genera la Declaración UE de Conformidad, la información e instrucciones al usuario y la documentación técnica.

   Ver ejemplo▾