CRA (Cyber Resilience Act): obligaciones y cómo prepararte
Las obligaciones CRA afectan a quien fabrica, importa o distribuye productos con elementos digitales en la UE. Además, desde el 11 de septiembre de 2026 ya debes notificar vulnerabilidades explotadas e incidentes graves. Aquí tienes el calendario, los requisitos del anexo I y cómo prepararte antes de diciembre de 2027.
En 30 segundos: el Reglamento (UE) 2024/2847 entró en vigor el 10 de diciembre de 2024. Desde el 11 de junio de 2026 rigen las normas sobre organismos notificados. Después, el 11 de septiembre llegó la notificación a ENISA. El resto, incluido el marcado CE, será exigible el 11 de diciembre de 2027. Por tanto, fija ya el periodo de soporte, prepara el SBOM y comprueba si tu producto es importante o crítico.
Qué es el CRA y a quién afectan sus obligaciones
El Reglamento (UE) 2024/2847 se conoce como Cyber Resilience Act (CRA) o Reglamento de Ciberresiliencia. Fija requisitos de ciberseguridad para el hardware y el software que se conectan a un dispositivo o a una red. Al ser un reglamento, se aplica de forma directa, sin transposición nacional.
Las obligaciones CRA recaen sobre todo en el fabricante, pero también alcanzan a importadores y distribuidores. Además, existe un régimen ligero para los administradores de software libre (open-source stewards). En cambio, el software libre que no se ofrece en una actividad comercial queda fuera. También quedan fuera productos con normas sectoriales propias, como los productos sanitarios, los vehículos o la aviación.
Si fabricas dispositivos conectados, tienes más contexto en nuestra página para fabricantes de producto conectado.
Calendario del CRA: fechas clave de 2024 a 2027
Estas fechas coinciden con las que publica la Comisión Europea en su página del CRA:
| Fecha | Qué ocurre |
|---|---|
| 10/12/2024 | Entrada en vigor del Reglamento (UE) 2024/2847 |
| 01/12/2025 | Publicación del Reglamento de Ejecución (UE) 2025/2392 sobre productos importantes y críticos |
| 11/06/2026 | Aplicación del capítulo IV: autoridades notificantes y organismos notificados |
| 27/07/2026 | Guía práctica de la Comisión para aplicar el CRA |
| 11/09/2026 | Notificación obligatoria de vulnerabilidades explotadas e incidentes graves |
| 11/12/2027 | Aplicación plena: requisitos esenciales, evaluación de la conformidad y marcado CE |
Ojo: un producto introducido en el mercado antes del 11/12/2027 solo queda sujeto si después se modifica sustancialmente. Sin embargo, las obligaciones CRA de notificación alcanzan a todos los productos disponibles en la UE, también a los antiguos.
Obligaciones CRA del fabricante: el anexo I
El anexo I recoge los requisitos esenciales de ciberseguridad y se divide en dos partes. Primero, el fabricante debe evaluar los riesgos de ciberseguridad y tenerlos en cuenta durante todo el ciclo de vida. Además, tiene que vigilar que los componentes de terceros no comprometan la seguridad del producto.
Requisitos del producto (parte I)
- Sin vulnerabilidades explotables conocidas al salir al mercado.
- Configuración segura por defecto, con opción de volver al estado original.
- Actualizaciones de seguridad, automáticas por defecto y con opción de desactivarlas.
- Control de acceso, cifrado y protección de la integridad de los datos.
- Minimización de datos y superficie de ataque reducida.
- Registro de la actividad relevante y borrado seguro de los datos.
Vulnerabilidades, SBOM y periodo de soporte (parte II)
La parte II obliga a gestionar las vulnerabilidades durante todo el periodo de soporte. Para ello, debes elaborar una lista de materiales de software (SBOM) en un formato legible por máquina. Como mínimo, cubrirá las dependencias de primer nivel, y la autoridad puede pedírtela. También necesitas una política de divulgación coordinada de vulnerabilidades y un contacto para recibir avisos.
Por su parte, el periodo de soporte dura al menos cinco años, salvo que el uso previsto sea menor. Debes indicar su fecha de fin, con mes y año, en el momento de la compra. Además, cada actualización de seguridad debe seguir disponible diez años o, si es más, hasta el fin del soporte.
En la práctica, las obligaciones CRA convierten la seguridad en un proceso continuo, no en un trámite.
Productos importantes y críticos: anexos III y IV
La mayoría de productos puede usar la autoevaluación (módulo A) antes de colocar el marcado CE. En cambio, los productos de los anexos III y IV siguen procedimientos más exigentes. El Reglamento de Ejecución (UE) 2025/2392 describe cada categoría, y lo que cuenta es la funcionalidad principal del producto.
| Categoría | Ejemplos | Evaluación |
|---|---|---|
| Importantes, clase I (anexo III) | Navegadores, gestores de contraseñas, VPN, sistemas operativos, routers, cámaras y cerraduras inteligentes | Autoevaluación solo con normas armonizadas o certificación; si no, organismo notificado |
| Importantes, clase II (anexo III) | Hipervisores, cortafuegos, sistemas de detección y prevención de intrusiones | Organismo notificado o certificación europea |
| Críticos (anexo IV) | Pasarelas de contadores inteligentes, tarjetas inteligentes y elementos seguros | Certificación europea cuando se exija; si no, como la clase II |
Eso sí, un producto no entra en estas categorías solo por integrar un componente de ellas. Por ejemplo, una app de noticias con un navegador integrado no se convierte en un navegador. Esta clasificación no cambia las obligaciones CRA del fabricante, sino el procedimiento para demostrar que las cumple. Por eso, en la clase I, sigue de cerca las normas armonizadas: sin ellas necesitarás un organismo notificado.
Notificar a ENISA: obligaciones CRA desde septiembre de 2026
Desde el 11 de septiembre de 2026, las obligaciones CRA de notificación ya se aplican a todos los fabricantes. Afectan a las vulnerabilidades explotadas activamente y a los incidentes graves que comprometen la seguridad del producto. Los avisos van por la plataforma única de notificación de ENISA, operativa desde ese mismo día. Estos son los plazos:
- 24 horas: alerta temprana desde que tienes conocimiento.
- 72 horas: notificación con información general y una primera evaluación.
- 14 días desde que hay una corrección disponible: informe final de la vulnerabilidad.
- Un mes desde la notificación de 72 horas: informe final del incidente grave.
La notificación llega a la vez al CSIRT coordinador de tu Estado y a ENISA. En España, ese CSIRT es INCIBE-CERT. Para acceder necesitas una cuenta EU Login con doble factor, así que prepárala antes del primer aviso. Las sanciones no alcanzan a micro y pequeñas empresas que incumplan el plazo de 24 horas, aunque igualmente deben notificar.
El proceso se parece al que explicamos para notificar una brecha de datos en 72 horas.
Relación del CRA con NIS2 y el Data Act
El CRA regula la seguridad del producto; NIS2, la de las organizaciones que prestan servicios esenciales o importantes. Por eso, un fabricante puede estar sujeto a ambos, y un mismo incidente puede activar dos notificaciones. Si dudas, empieza por comprobar si te afecta la NIS2. Además, comprar productos conformes facilita a las entidades NIS2 la seguridad de su cadena de suministro.
El Data Act, en cambio, regula el acceso a los datos que generan los productos conectados. Desde el 12 de septiembre de 2026, los productos nuevos deben diseñarse para facilitar ese acceso. Así, un mismo dispositivo debe cumplir las obligaciones CRA de seguridad y las del Data Act sobre datos. Lo explicamos en qué implica el Data Act para tu empresa.
Por último, la Comisión propuso en noviembre de 2025 el Digital Omnibus. Entre otras cosas, plantea un punto único para notificar incidentes de NIS2, el RGPD, DORA y otras normas. Sigue en tramitación, así que hoy no cambia ningún plazo del CRA.
Preguntas frecuentes
¿Las obligaciones CRA se aplican al software como servicio (SaaS)?
En general, no: el SaaS puro queda fuera y suele regirse por NIS2. Sin embargo, el CRA sí cubre el tratamiento remoto de datos sin el cual un producto no puede funcionar.
¿Qué sanciones prevé el incumplimiento de las obligaciones CRA?
Incumplir los requisitos esenciales o los artículos 13 y 14 puede costar hasta 15 millones de euros. El tope sube al 2,5 % de la facturación mundial anual si esa cifra es mayor. Otras infracciones tienen topes de 10 millones o el 2 %. Para la información inexacta, son 5 millones o el 1 %. Después, cada Estado concreta su régimen sancionador.
¿Afectan las obligaciones CRA a importadores y distribuidores?
Sí, aunque son más ligeras que las del fabricante. El importador comprueba la evaluación de la conformidad, la documentación técnica y el marcado CE. Por su parte, el distribuidor verifica el marcado CE y la información al usuario. Además, si alguno vende el producto con su marca o lo modifica sustancialmente, asume el papel de fabricante.
¿Cuánto dura el periodo de soporte?
Al menos cinco años, salvo que el producto vaya a usarse durante menos tiempo. Además, el comprador debe conocer la fecha de fin del soporte antes de pagar.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC
Atalaya GRC te ayuda a cumplir las obligaciones CRA producto por producto: un control, varias normas. Así, inventarías productos y componentes, y guardas el SBOM y la documentación técnica como evidencias. Además, las reutilizas para NIS2, ISO 27001 y el Data Act. El reloj regulatorio también te avisa de los fines de soporte y de los plazos de 2027. Ante una vulnerabilidad explotada, la gestión de incidentes te guía por los plazos de 24 y 72 horas. Consulta la ficha del CRA o solicita una demo.
