CRA: qué exige y cómo cumplir sin perderte
El Cyber Resilience Act (CRA) es el primer reglamento europeo que exige ciberseguridad a los productos con elementos digitales durante todo su ciclo de vida. Por eso, si fabricas hardware o software, te afecta —y ya hay fechas en el calendario: la notificación de vulnerabilidades desde septiembre de 2026 y el cumplimiento pleno con marcado CE en diciembre de 2027—. Además, Atalaya GRC te ayuda a llegar a tiempo.
Sin compromiso. Además, te enseño la plataforma con un caso real.
- Referencia
- Reg. (UE) 2024/2847
- Aplica desde
- 11 sep 2026 · 11 dic 2027
- A quién
- Fabricantes de productos con elementos digitales
- Si no cumples
- Hasta 15 M€ o 2,5 % facturación
¿Qué es el Cyber Resilience Act (CRA)?
El Cyber Resilience Act es el Reglamento (UE) 2024/2847, en vigor desde el 10 de diciembre de 2024. Así, establece requisitos obligatorios de ciberseguridad para los productos con elementos digitales comercializados en la UE: desde el diseño hasta su retirada del mercado.
¿A quién aplica el Cyber Resilience Act?
El Cyber Resilience Act aplica a fabricantes, importadores y distribuidores de productos hardware y software con conexión digital. Por ejemplo, abarca desde dispositivos IoT hasta aplicaciones y sistemas industriales. Además, tienes el detalle en las obligaciones del Cyber Resilience Act, paso a paso.
Fechas clave del Cyber Resilience Act
El Cyber Resilience Act llega por fases; por eso conviene tener estas fechas en el calendario:
10 dic. 2024
Primero, entra en vigor el reglamento.
11 jun. 2026
Después llegan las obligaciones relativas a los organismos de evaluación de la conformidad (capítulo IV).
11 sep. 2026
Además, empieza la obligación de notificar vulnerabilidades explotadas e incidentes graves (inicial en 24h, completa en 72h).
11 dic. 2027
Por último, aplicación plena: ningún producto podrá comercializarse en la UE sin cumplir el CRA y su marcado CE.
¿Qué te exige el Cyber Resilience Act?
Primero, el Cyber Resilience Act exige seguridad desde el diseño y gestión de vulnerabilidades durante toda la vida del producto. Además, pide documentación de evaluación de riesgos (conservada al menos 10 años), actualizaciones de seguridad y la notificación de vulnerabilidades explotadas e incidentes graves en los plazos de 24h y 72h.
Diciembre de 2027: la fecha que no puedes fallar
Desde el 11 de diciembre de 2027, ningún producto con elementos digitales podrá comercializarse en la UE sin cumplir el CRA y obtener el marcado CE. Por eso, esperar al último momento no es viable: la seguridad desde el diseño hay que construirla antes, no añadirla al final.
Atalaya GRC
Cómo te ayuda Atalaya GRC
Así, Atalaya GRC convierte el Cyber Resilience Act en algo que controlas:
- Tus obligaciones del CRA centralizadas y, además, conectadas con el resto de tu cumplimiento.
- El reloj regulatorio también vigila las fechas escalonadas (junio y septiembre de 2026, diciembre de 2027) para que ninguna te pille.
- Gestión de la notificación de vulnerabilidades, de modo que los plazos de 24h y 72h quedan bajo control.
- Trazabilidad para auditoría: así tienes la documentación de evaluación de riesgos lista y conservada como exige el Cyber Resilience Act.
¿Quieres verlo con tus propios productos?
Solicitar demoPor sector: Fabricantes de producto conectado
FAQ
Preguntas frecuentes
¿A quién aplica el CRA?
A fabricantes, importadores y distribuidores de productos con elementos digitales (hardware y software conectado).
¿Cuándo se aplica el CRA?
Está en vigor desde diciembre de 2024; la notificación de vulnerabilidades aplica desde septiembre de 2026 y el cumplimiento pleno (marcado CE) desde diciembre de 2027.
¿Qué plazos de notificación exige?
Para vulnerabilidades explotadas e incidentes graves: notificación inicial en 24 horas y completa en 72 horas.
¿Qué pasa si mi producto no cumple en 2027?
Desde el 11 de diciembre de 2027 no podrá comercializarse en la UE sin cumplir el CRA y obtener el marcado CE.
