El Cyber Resilience Act (Reglamento (UE) 2024/2847) es la primera ley europea que impone requisitos obligatorios de ciberseguridad a todo producto con elementos digitales que se comercialice en la Unión. No regula a las empresas de forma abstracta: regula productos —hardware y software— y reparte responsabilidades concretas entre quienes los fabrican, importan, distribuyen y supervisan. Este artículo explica sus objetivos, cómo funciona su marco de control y qué obligaciones asume cada actor.
Por qué existe el CRA: el problema que resuelve
Durante años, la ciberseguridad de un producto digital ha sido opcional: dependía de la buena voluntad del fabricante. El resultado son millones de dispositivos con contraseñas por defecto, sin actualizaciones y con vulnerabilidades que nunca se corrigen. El CRA parte de dos ideas simples: un producto no debería llegar al mercado si no es razonablemente seguro, y el fabricante debe seguir respondiendo por él durante toda su vida útil.
Sus objetivos principales son cuatro: elevar la ciberseguridad de base de los productos con elementos digitales; obligar a una gestión de vulnerabilidades continua durante todo el ciclo de vida; dar transparencia al comprador (información clara sobre soporte y actualizaciones); y crear un mercado único donde las reglas de seguridad sean las mismas en los 27 Estados miembros.
El marco de control: cómo se demuestra la conformidad
El corazón técnico del CRA es su Anexo I, que contiene los requisitos esenciales de ciberseguridad. Se divide en dos partes: la Parte I (propiedades de seguridad del producto) —diseño seguro, protección frente a accesos no autorizados, minimización de la superficie de ataque, cifrado por defecto— y la Parte II (gestión de vulnerabilidades) —inventario de componentes (SBOM), corrección de vulnerabilidades sin demora, política de divulgación coordinada y distribución de actualizaciones de seguridad.
Cumplir esos requisitos se demuestra mediante una evaluación de la conformidad, cuya vía depende de cómo se clasifique el producto:
- Productos por defecto (la mayoría): el fabricante puede realizar una autoevaluación (control interno) y declarar la conformidad bajo su responsabilidad.
- Productos importantes (Anexo III, clases I y II): requieren aplicar una norma armonizada o, en su defecto, la intervención de un organismo notificado (evaluación por un tercero).
- Productos críticos (Anexo IV): pueden exigir un certificado europeo de ciberseguridad.
Superada la evaluación, el fabricante redacta la Declaración UE de Conformidad (Anexo V), elabora la documentación técnica (Anexo VII) y coloca el marcado CE. Sin ese recorrido, el producto no puede venderse legalmente en la UE.
Responsabilidades por actor
Fabricante
Es quien soporta el grueso de las obligaciones. Debe diseñar el producto de forma segura, mantener el SBOM, gestionar y corregir vulnerabilidades durante el periodo de soporte que él mismo define (mínimo orientativo de cinco años salvo vida útil menor), distribuir actualizaciones gratuitas, redactar la documentación técnica y la Declaración UE, colocar el marcado CE y notificar a las autoridades las vulnerabilidades explotadas activamente.
Importador
No puede introducir en el mercado de la UE un producto que no cumpla el CRA. Debe verificar que el fabricante ha hecho la evaluación de conformidad, que existe la documentación y el marcado CE, y que se acompaña la información al usuario. Si detecta un riesgo, debe actuar y, en su caso, informar a las autoridades.
Distribuidor
Debe actuar con la diligencia debida: comprobar que el producto lleva el marcado CE y la documentación exigida antes de comercializarlo, y no distribuir productos que sepa o deba saber que no cumplen.
Representante autorizado y fabricantes de fuera de la UE
Aquí está la pieza que muchos exportadores pasan por alto: un fabricante establecido fuera de la Unión que quiera vender en la UE debe designar un representante autorizado en el territorio. Ese representante es el responsable de la custodia de la conformidad de cara a las autoridades europeas: conserva la documentación técnica y la Declaración UE, coopera con los organismos de vigilancia del mercado y actúa como punto de contacto. Sin este eslabón, el producto no tiene una vía legal de entrada al mercado europeo.
ENISA
La Agencia de la UE para la Ciberseguridad no "certifica" productos, pero tiene un papel operativo central: gestiona la Plataforma Única de Notificación por la que los fabricantes comunican las vulnerabilidades explotadas, elabora un informe técnico bienal sobre tendencias y puede, en circunstancias concretas, intervenir en la coordinación de la divulgación.
Comisión Europea, Estados miembros y organismos notificados
La Comisión desarrolla el reglamento mediante actos delegados y de ejecución, y encargó las normas armonizadas. Los Estados miembros designan las autoridades de vigilancia del mercado y los CSIRT nacionales que reciben las notificaciones. Los organismos notificados son entidades independientes que realizan la evaluación por tercero cuando la ruta de conformidad lo exige.
Fechas que marcan el calendario
El CRA entró en vigor el 10 de diciembre de 2024. El capítulo sobre organismos notificados aplica desde el 11 de junio de 2026; las obligaciones de notificación (Artículo 14) arrancan el 11 de septiembre de 2026; y la plena aplicación —requisitos esenciales, evaluación de conformidad y marcado CE— llega el 11 de diciembre de 2027.
Qué hacer ahora
Aunque 2027 parezca lejano, los procesos que exige el CRA —inventariar componentes, cruzar vulnerabilidades, documentar riesgos y preparar la notificación— no se improvisan. Empezar por clasificar el producto y montar el SBOM es el primer paso realista. CRAtrustNorth automatiza justamente ese recorrido: clasificación, SBOM, cruce de vulnerabilidades, evaluación de riesgos y generación de la documentación, para que el fabricante llegue a la Declaración con un expediente sólido.
Sanciones: qué arriesga quien no cumple
El CRA no es una recomendación. Las autoridades de vigilancia del mercado pueden exigir la retirada o recuperación de un producto no conforme, y las sanciones son disuasorias: el incumplimiento de los requisitos esenciales del Anexo I o de las obligaciones del fabricante puede acarrear multas de hasta 15 millones de euros o el 2,5 % del volumen de negocio mundial anual, la cifra que sea mayor (Artículo 64). Facilitar información incorrecta o incompleta a los organismos notificados o a las autoridades tiene su propio régimen de multas. En la práctica, esto convierte la conformidad en una cuestión de acceso al mercado y de riesgo financiero, no solo de buenas prácticas.
Qué productos entran y cuáles quedan fuera
El CRA aplica a los productos con elementos digitales —hardware o software— cuyo uso previsto incluya una conexión de datos, directa o indirecta, con un dispositivo o red. Quedan fuera de su ámbito los productos ya cubiertos por marcos sectoriales específicos (por ejemplo, dispositivos médicos, aviación o vehículos de motor, que tienen su propia legislación de ciberseguridad), así como el software libre y de código abierto desarrollado fuera de una actividad comercial. Comprobar si tu producto entra —y en qué categoría— es el primer paso antes de cualquier otra cosa.