CRA de la UE: prEN 40000-1-2, principios de ciberresiliencia
Sytance · Actualizado
Esta página explica el texto de consulta de octubre de 2025 de la norma horizontal prEN 40000-1-2:2025, un proyecto de norma sobre principios de ciberresiliencia. Describe el trabajo del ciclo de vida basado en riesgos que respalda la parte I del anexo I, en especial el diseño, el desarrollo y la producción de productos con un nivel de ciberseguridad adecuado a los riesgos.
Estado del proyecto de norma
El texto aquí analizado se presentó a consulta en octubre de 2025. Es una explicación de una versión concreta del proyecto de norma, no una afirmación de que la consulta siga abierta ni de que este sea el texto más reciente. Los requisitos pueden cambiar en versiones posteriores. El proyecto no crea una presunción de conformidad con la CRA.
La entrada 1 de M/606 solicita una norma europea sobre el diseño, el desarrollo y la producción de productos con elementos digitales para garantizar un nivel adecuado de ciberseguridad en función de los riesgos. El plazo de M/606 para esa entrada es el 30 de agosto de 2026.
Relación con el anexo I
Los productos con elementos digitales se diseñarán, desarrollarán y producirán de manera que garanticen un nivel adecuado de ciberseguridad en función de los riesgos.
Reglamento (UE) 2024/2847, anexo I, parte I, punto 1
prEN 40000-1-2 es la norma más directamente relacionada con este requisito general de la parte I. Es una norma de procesos y del ciclo de vida. No sustituye a los requisitos de seguridad del producto más específicos de los puntos 2(a) a 2(m) de la parte I del anexo I ni es la norma sobre gestión de vulnerabilidades.
Principios de ciberseguridad
La cláusula 5 del proyecto de octubre de 2025 describe cuatro principios para la planificación, el diseño, la implementación, la producción y el mantenimiento del producto: enfoque basado en riesgos, seguridad desde el diseño, configuración segura por defecto y transparencia.
Enfoque basado en riesgos
Las medidas de seguridad se seleccionan y revisan atendiendo a los riesgos del producto, su finalidad prevista y su uso razonablemente previsible.
Seguridad desde el diseño
La ciberseguridad se integra en el diseño y desarrollo del producto, en vez de añadirse cuando este ya está terminado.
Seguridad por defecto
El producto parte de una configuración segura que se ajusta a su finalidad prevista y a su entorno operativo.
Transparencia
Las partes interesadas pertinentes reciben información de ciberseguridad accesible y práctica para ayudar a lograr y mantener la seguridad del producto (cláusula 5.5).
Estructura de gestión de riesgos
El proyecto trata la gestión de riesgos como una actividad recurrente del producto, no como un formulario que se completa una sola vez. Primero se define el contexto del producto, porque el mismo software o hardware puede generar riesgos distintos en diferentes casos de uso.
El contexto describe el producto, su finalidad prevista, los usuarios esperados, el entorno operativo, los activos, las interfaces, las dependencias y los supuestos sobre el ciclo de vida.
El método define cómo se identifican, estiman, evalúan, tratan, aceptan, comunican, supervisan y registran los riesgos.
La evaluación identifica los activos, los objetivos de ciberseguridad, las amenazas y los niveles de riesgo. El tratamiento selecciona las medidas y determina las decisiones sobre el riesgo residual.
El trabajo sobre los riesgos continúa cuando cambian el producto, el entorno de amenazas, los componentes, los supuestos sobre el soporte o el contexto de implementación.
Actividades del ciclo de vida
A continuación, el proyecto convierte los principios en actividades del ciclo de vida. Estas pueden adaptarse a distintos modelos de desarrollo; lo importante es planificar, realizar, comprobar y mantener actualizadas las tareas de seguridad.
- planificación de la ciberseguridad del producto;
- requisitos de ciberseguridad del producto;
- arquitectura y diseño de ciberseguridad;
- implementación segura;
- verificación y validación de ciberseguridad;
- producción y distribución seguras;
- gestión de problemas de ciberseguridad;
- supervisión del producto;
- planificación del desmantelamiento seguro;
- gestión de la ciberseguridad de los componentes de terceros.
Límites con otras normas
prEN 40000-1-2 es la norma sobre principios y gestión de riesgos durante el ciclo de vida. La gestión de vulnerabilidades corresponde a prEN 40000-1-3 Gestión de vulnerabilidades. Las normas específicas de producto pueden añadir requisitos por categoría para navegadores, enrutadores, cortafuegos, elementos seguros y otros productos importantes o críticos.
El programa de normalización de la CRA se explica en Normas y normas armonizadas.
Fuentes
- Reglamento (UE) 2024/2847, anexo I, parte I
- Decisión de Ejecución C(2025) 618 de la Comisión, solicitud M/606
- Registro del proyecto de BSI para prEN 40000-1-2:2025 (texto de consulta de octubre de 2025, cláusulas 5 a 7)
- Registro del seminario web de CEN-CENELEC sobre gestión de identidades y de acceso privilegiado (material de contexto, no el proyecto de principios)
- Registro de edición de DIN Media: versión alemana e inglesa prEN 40000-1-2:2025, proyecto DIN EN 40000-1-2:2026-03