Normas armonizadas de la CRA y presunción de conformidad
Sytance · Actualizado
La conformidad con normas armonizadas puede generar una presunción de conformidad con la CRA para los requisitos que cubran únicamente cuando sus referencias se publiquen en el Diario Oficial. Los proyectos de normas, los trabajos en curso, los registros de planificación de M/606 y los textos de consulta pueden ayudar en la labor de ingeniería, pero no generan por sí solos una presunción jurídica.
Presunción de conformidad
Se presumirá que los productos con elementos digitales y los procesos establecidos por el fabricante que sean conformes con normas armonizadas o partes de estas, cuyas referencias se hayan publicado en el Diario Oficial de la Unión Europea, cumplen los requisitos esenciales de ciberseguridad establecidos en el anexo I que estén cubiertos por dichas normas o partes de ellas.
Reglamento (UE) 2024/2847, artículo 27(1)
Las últimas palabras son importantes. Por defecto, una norma no cubre todo el Reglamento. Cubre los requisitos del anexo I especificados en la referencia publicada, y solo para los productos y procesos incluidos en su ámbito.
Norma armonizada
Vía técnica voluntaria. Solo genera presunción después de que su referencia se publique en el Diario Oficial.
Especificación común
Vía alternativa de la Comisión cuando se cumplen las condiciones del artículo 27(2) y la especificación cubre el requisito.
Esquema de certificación
Un certificado europeo de ciberseguridad puede respaldar la conformidad para los requisitos cubiertos por el esquema.
Programa de trabajo M/606
M/606 es la solicitud de la Comisión a CEN, CENELEC y ETSI. La página de normalización de la Comisión describe 41 normas solicitadas, divididas entre normas horizontales y normas verticales específicas de producto. CEN, CENELEC y ETSI aceptaron la solicitud el 3 de abril de 2025.
Las entradas 1 y 15 de M/606 abarcan la primera norma horizontal sobre principios y la norma horizontal sobre gestión de vulnerabilidades.
Las entradas 16 a 41 de M/606 abarcan categorías de productos importantes y críticos, como navegadores, productos VPN, sistemas operativos, enrutadores, cortafuegos, semiconductores, productos para hogares inteligentes, dispositivos ponibles y elementos seguros.
Las entradas 2 a 14 de M/606 abarcan otras normas horizontales para propiedades de seguridad de los productos, como configuración segura por defecto, actualizaciones, control de acceso, confidencialidad, integridad, disponibilidad, reducción de la superficie de ataque, supervisión y eliminación de datos.
Normas horizontales
Las normas horizontales están concebidas para ser útiles en distintas categorías de productos. Establecen un vocabulario común y una estructura compartida para la gestión de riesgos, la seguridad de los productos y la gestión de vulnerabilidades. Las normas específicas de producto pueden desarrollarse a partir de ellas.
Un vocabulario común respalda las normas horizontales y las específicas de producto. No debe tratarse, por sí solo, como una norma de controles de seguridad del producto.
El proyecto actual explica los principios de ciberresiliencia, la ciberseguridad de productos basada en riesgos y las actividades del ciclo de vida. Se explica por separado en prEN 40000-1-2, Principios de ciberresiliencia.
M/606 solicita requisitos y controles de seguridad genéricos para las propiedades de producto de la parte I del anexo I. La función prevista se explica en prEN 40000-1-4, material público.
El proyecto actual explica la gestión de vulnerabilidades para la parte II del anexo I. Se explica por separado en prEN 40000-1-3, Gestión de vulnerabilidades.
Los documentos públicos actuales 1-2 y 1-3 son proyectos de normas. Son útiles para la planificación, pero no deben describirse como normas EN definitivas ni como normas armonizadas citadas mientras no tengan ese estado.
Referencia a normas de producto
El avance de las normas específicas de producto se indica en Normas de producto por categoría. En esa página se enumeran normas candidatas para las categorías de los anexos III y IV y se indica el estado de las fuentes consultadas.
Demostrar cómo las normas abordan los requisitos
Un producto puede utilizar normas como prueba de ingeniería antes de que se citen oficialmente, pero esto es distinto de la presunción jurídica de conformidad. La documentación técnica debería indicar qué requisitos cubren las normas citadas, las especificaciones comunes, los esquemas de certificación u otras soluciones técnicas.
Las páginas de los proyectos de normas horizontales se explican por separado: prEN 40000-1-2, Principios de ciberresiliencia y prEN 40000-1-3, Gestión de vulnerabilidades.