CRA · Fabricantes de producto conectado
CRA y Data Act para fabricantes de productos conectados
El Cyber Resilience Act (CRA) cambia el trabajo de los fabricantes de productos con elementos digitales, como dispositivos IoT, equipos industriales conectados o software. También afecta a quien los importa o los vende en la UE. Además, junto con el Data Act, cambia cómo diseñas, documentas y mantienes tus productos.
Las normas que más pesan en los fabricantes, con el CRA a la cabeza
Cyber Resilience Act (CRA): qué exige a los fabricantes
El CRA, Reglamento (UE) 2024/2847, exige a los fabricantes seguridad desde el diseño y gestión de vulnerabilidades durante todo el periodo de soporte. Además, pide documentación técnica y el marcado CE que acredita la ciberseguridad del producto. En concreto, se aplica por fases, que detallamos en la guía de obligaciones del Cyber Resilience Act:
| Cuándo | Qué |
|---|---|
| 11 de septiembre de 2026 | Notificación de vulnerabilidades explotadas activamente e incidentes graves: alerta temprana en 24 horas y notificación en 72 horas. |
| 11 de diciembre de 2027 | Aplicación completa, incluidos los requisitos esenciales y el marcado CE. |
Data Act
Por su parte, el Data Act, Reglamento (UE) 2023/2854, se aplica desde el 12 de septiembre de 2025. Así, los usuarios de un producto conectado tienen derecho a acceder a los datos que genera su uso y a compartirlos con terceros. Además, los productos que se comercialicen a partir del 12 de septiembre de 2026 deben diseñarse para que esos datos sean accesibles de forma fácil y segura. Por eso, los fabricantes de productos conectados deben revisar el CRA y el Data Act a la vez.
Equipos radioeléctricos
Por otro lado, si tu producto se conecta por radio (wifi, bluetooth o red móvil), ya tiene requisitos de ciberseguridad. En concreto, desde el 1 de agosto de 2025 debe cumplir los del Reglamento Delegado (UE) 2022/30 de la Directiva de equipos radioeléctricos. Además, está previsto que el CRA los sustituya cuando sea plenamente aplicable.
Qué deben preparar ya los fabricantes para el CRA
- Primero, un proceso de gestión de vulnerabilidades con canal de notificación y plazos definidos.
- Después, la lista de componentes de software (SBOM) de cada producto.
- También el periodo de soporte que vas a comprometer y cómo vas a publicar las actualizaciones.
- Por último, el diseño del acceso a los datos para los productos que salgan al mercado.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC a los fabricantes con el CRA
- El inventario de productos con sus componentes, versiones y periodo de soporte.
- El registro de vulnerabilidades y el reloj de notificación de 24 y 72 horas; así no se te escapa ningún plazo.
- También la documentación técnica y las evidencias para la evaluación de conformidad.
- Las obligaciones del Data Act por producto y por fecha de comercialización.
FAQ
Preguntas frecuentes
¿El CRA se aplica al software?
Sí, a los productos con elementos digitales, incluido el software que se comercializa por separado, con exclusiones como los servicios SaaS sin producto asociado y algunos sectores con normativa propia, como los productos sanitarios o los vehículos.
¿Qué es el periodo de soporte?
El tiempo durante el que el fabricante debe gestionar las vulnerabilidades del producto: por regla general, al menos cinco años, salvo que el producto vaya a usarse durante menos tiempo.
¿Qué datos debo facilitar con el Data Act?
Los datos del producto y de los servicios relacionados que genera su uso, en el formato en que se generan y, además, con los metadatos necesarios para interpretarlos.
Otros sectores: Banca y fintechAseguradorasProveedores de la AdministraciónEnergía y servicios esenciales
¿Lo vemos con tus propios servicios?
Te enseñamos la plataforma con un caso real de tu sector. Así lo ves sin compromiso y sin guion comercial.
