Resumen de la Ley de Ciberresiliencia de la UE

Finalidad y estructura

La CRA se aplica a productos de consumo e industriales cuando cumplen las condiciones de su ámbito de aplicación. Empiece por identificar el producto y determinar si se aplica alguna exclusión. A continuación, las obligaciones del fabricante y las vías disponibles de evaluación de la conformidad dependen de su función y de la clasificación del producto.

Las páginas temáticas siguientes explican cada una de estas cuestiones e incluyen las definiciones legales, los ejemplos y las referencias a las fuentes necesarios para una evaluación específica del producto.

Conceptos clave

Elija una ruta de lectura

Los responsables de producto, los ingenieros de seguridad y los equipos de evaluación de la conformidad necesitan consultar partes distintas del Reglamento. Las rutas de lectura siguientes se corresponden con esas responsabilidades.

• Responsables de producto y cumplimiento: determinen qué producto y versiones se comercializan, si se aplica la CRA, la función legal, la categoría del producto y las fechas de aplicación pertinentes.
• Equipos de seguridad e ingeniería: relacionen la arquitectura, los activos, los límites de confianza, los componentes y el diseño de las actualizaciones con la evaluación de riesgos de ciberseguridad.
• Equipos de gestión de vulnerabilidades: mantengan los registros de componentes y vulnerabilidades, evalúen el impacto en el producto, preparen medidas correctivas y valoren los criterios de notificación del artículo 14 tan pronto como se conozcan hechos pertinentes.
• Equipos de documentación técnica y evaluación: recopilen pruebas específicas del producto, verifiquen las normas y la vía de evaluación, y mantengan el expediente coherente con la versión comercializada.

Por ejemplo, un dispositivo conectado puede depender de firmware integrado, una aplicación y un tratamiento remoto controlado por el fabricante. Primero se define el producto; después, la evaluación de riesgos, los registros de componentes y la documentación utilizan ese mismo límite definido.

Orden de lectura para fabricantes

Primero determine si el producto está dentro del ámbito de aplicación. Las páginas siguientes explican las partes responsables, las categorías de productos y los requisitos aplicables. Consulte por separado las normas de notificación: el artículo 14 se aplica a partir del 11 de septiembre de 2026, antes que los principales requisitos de producto.

1. Empiece por Productos incluidos en el ámbito de aplicación y Comercialización en el mercado .
2. Identifique la función del operador económico en Funciones y obligaciones .
3. Clasifique el producto mediante Clasificación de productos y Descripciones técnicas del Reglamento de Ejecución (UE) 2025/2392 .
4. Consulte las obligaciones relativas al producto y los procesos en Requisitos esenciales de ciberseguridad .
5. Consulte las normas pertinentes en Normas y normas armonizadas y Normas de producto por categoría .
6. Continúe con Evaluación de riesgos de ciberseguridad, Documentación técnica e Información e instrucciones para el usuario.
7. Prepare la notificación del artículo 14 con Notificación de vulnerabilidades y Preparación para la notificación del artículo 14 .
8. Use las fechas clave para distinguir los plazos de notificación, de los organismos notificados, de transición y de aplicación plena.

Productos incluidos en el ámbito de aplicación

El presente Reglamento se aplica a los productos con elementos digitales comercializados cuyo uso previsto o uso razonablemente previsible incluya una conexión de datos lógica o física, directa o indirecta, a un dispositivo o una red.

Reglamento (UE) 2024/2847, artículo 2, apartado 1

Un producto con elementos digitales puede ser software, hardware, un componente de software o hardware comercializado por separado y la solución de tratamiento remoto de datos del producto. El tratamiento remoto solo forma parte del producto cuando lo diseña y desarrolla el fabricante o se hace bajo su responsabilidad, y el producto no puede realizar una de sus funciones sin dicho tratamiento.

La CRA no convierte todo servicio digital en un producto con elementos digitales. Un sitio web o servicio en la nube ajeno a la responsabilidad del fabricante sobre el producto se distingue del tratamiento remoto que el producto necesita para funcionar. Las exclusiones explícitas se tratan en la página sobre el ámbito de aplicación; los antecedentes generales de la legislación de productos se explican en la página de conceptos básicos.

Funciones y categorías de productos

Un fabricante, importador y distribuidor pueden tener obligaciones respecto del mismo producto. La clasificación del producto responde a otra pregunta: qué vías de evaluación de la conformidad están disponibles o son obligatorias. Las categorías de productos importantes y críticos dependen de su funcionalidad básica.

• Los productos de la categoría predeterminada siguen sujetos a la CRA, pero normalmente utilizan la vía de evaluación de la conformidad basada en el control interno.
• Los productos importantes figuran en el anexo III y se dividen en las clases I y II.
• Los productos críticos figuran en el anexo IV y pueden estar sujetos a certificación o a vías más estrictas de evaluación por terceros.
• El Reglamento de Ejecución (UE) 2025/2392 de la Comisión establece descripciones técnicas de las categorías de productos importantes y críticos.

Un producto no es importante ni crítico solo por contener un componente que figura en una categoría enumerada. La cuestión pertinente es si el producto en su conjunto tiene la funcionalidad básica de esa categoría.

Requisitos esenciales y normas

El artículo 6 exige que tanto el producto como los procesos del fabricante para gestionar vulnerabilidades cumplan el anexo I. Sus dos partes establecen estos requisitos por separado. Una norma armonizada cuya referencia se haya publicado en el Diario Oficial puede otorgar presunción de conformidad respecto de los requisitos que cubra.

Las páginas detalladas explican la estructura del anexo I y cómo las normas pueden ayudar a demostrar la conformidad. Requisitos esenciales de ciberseguridad y Normas y normas armonizadas.

Notificación y gestión de vulnerabilidades

La gestión de vulnerabilidades es una obligación que abarca todo el ciclo de vida. La notificación es una obligación más limitada, activada por determinados eventos. A partir del 11 de septiembre de 2026, el artículo 14 se aplica cuando el fabricante tenga conocimiento de una vulnerabilidad activamente explotada en el producto o de un incidente grave que afecte a la seguridad del producto.

• Alerta temprana: en un plazo de 24 horas desde que el fabricante tenga conocimiento.
• Notificación: en un plazo de 72 horas desde que el fabricante tenga conocimiento, salvo que ya se haya facilitado la información pertinente.
• Informe final sobre una vulnerabilidad activamente explotada: como máximo 14 días después de que esté disponible una medida correctiva o de mitigación.
• Informe final sobre un incidente grave: en el plazo de un mes desde la notificación del incidente de 72 horas.

Fechas clave

La CRA se publicó en el Diario Oficial el 20 de noviembre de 2024 y entró en vigor el 10 de diciembre de 2024. Su aplicación es gradual, por lo que las fechas de notificación y de los organismos de evaluación de la conformidad llegan antes que la aplicación plena.