Clasificación de productos CRA: ¿tu producto es por defecto, importante o crítico?

Tu ruta de evaluación de conformidad CRA depende de la clasificación de tu producto. Los productos "Importantes" y "Críticos" requieren evaluación de terceros obligatoria. Los productos "Por Defecto" pueden autocertificarse.

¿Cuáles son las cuatro categorías de productos del CRA?

El CRA clasifica los productos con elementos digitales en cuatro niveles según el riesgo de ciberseguridad:

Productos Por Defecto

La gran mayoría de productos caen aquí. Si tu producto no está específicamente listado en el Anexo III o IV, es "Por Defecto".

Evaluación de conformidad: Autoevaluación (Módulo A) es suficiente.

Ejemplos:

• Sensores IoT simples
• Electrónica de consumo básica
• Software empresarial estándar
• Aplicaciones de propósito general
• Dispositivos embebidos sin conexión de red

Importante Clase I (Anexo III, Parte I)

Productos con riesgo elevado debido a su función o base de usuarios.

Evaluación de conformidad: Autoevaluación permitida SI aplicas completamente los estándares armonizados relevantes. De lo contrario, evaluación de terceros requerida.

Lista completa del Anexo III, Parte I:

1. Sistemas de gestión de identidad y software/hardware de gestión de acceso privilegiado, incluyendo lectores de control de acceso y autenticación, incluyendo lectores biométricos
2. Navegadores independientes e integrados
3. Gestores de contraseñas
4. Software que busca, elimina o pone en cuarentena software malicioso
5. Productos con elementos digitales con funcionalidad VPN
6. Sistemas de gestión de redes
7. Sistemas de gestión de información y eventos de seguridad (SIEM)
8. Gestores de arranque
9. Software de infraestructura de clave pública y emisión de certificados digitales
10. Interfaces de red físicas y virtuales
11. Sistemas operativos
12. Routers, módems destinados a la conexión a internet, y conmutadores
13. Microprocesadores con funcionalidades relacionadas con la seguridad
14. Microcontroladores con funcionalidades relacionadas con la seguridad
15. Circuitos integrados específicos de aplicación (ASIC) y matrices de puertas programables en campo (FPGA) con funcionalidades relacionadas con la seguridad
16. Asistentes virtuales de propósito general para hogar inteligente
17. Productos de hogar inteligente con funcionalidades de seguridad, incluyendo cerraduras inteligentes de puertas, cámaras de seguridad, sistemas de vigilancia de bebés y sistemas de alarma
18. Juguetes conectados a internet cubiertos por la Directiva 2009/48/CE que tengan funciones sociales interactivas (p. ej. hablar o grabar) o funciones de seguimiento de ubicación
19. Productos personales vestibles que deben llevarse o colocarse en el cuerpo humano y que tienen una finalidad de monitorización de la salud (como el seguimiento) y a los que no se aplica el Reglamento (UE) 2017/745 o el (UE) n.º 2017/746, o productos personales vestibles destinados al uso por y para niños

Importante Clase II (Anexo III, Parte II)

Productos de mayor riesgo que requieren evaluación de terceros obligatoria.

Evaluación de conformidad: evaluación de terceros (Organismo Notificado) requerida. Sin opción de autoevaluación.

Lista completa del Anexo III, Parte II:

1. Hipervisores y sistemas de tiempo de ejecución de contenedores que admiten la ejecución virtualizada de sistemas operativos y entornos similares
2. Cortafuegos, sistemas de detección y prevención de intrusiones
3. Microprocesadores resistentes a manipulaciones
4. Microcontroladores resistentes a manipulaciones

Productos Críticos (Anexo IV)

La categoría de mayor riesgo. Módulos de seguridad de hardware y similares.

Evaluación de conformidad: evaluación de terceros MÁS certificación de Ciberseguridad de la Unión Europea (EUCC) a nivel "sustancial" o superior.

Lista completa del Anexo IV:

1. Dispositivos de hardware con cajas de seguridad
2. Pasarelas de medidores inteligentes dentro de los sistemas de medición inteligente según se definen en el artículo 2, punto 23, de la Directiva (UE) 2019/944 y otros dispositivos para fines de seguridad avanzados, incluido el criptoprocesamiento seguro
3. Tarjetas inteligentes o dispositivos similares, incluidos los elementos seguros

Árbol de decisión: encontrando tu categoría

Usa este proceso para clasificar tu producto:

INICIO: ¿Tu producto tiene elementos digitales?
│
├─ NO → No está en el alcance del CRA. Para aquí.
│
└─ SÍ → ¿Está listado en Anexo IV (Productos críticos)?
     │
     ├─ SÍ → CRÍTICO
     │        Terceros + certificación EUCC requerida
     │
     └─ NO → ¿Está listado en Anexo III, Parte II (Importante Clase II)?
          │
          ├─ SÍ → IMPORTANTE CLASE II
          │        evaluación de terceros requerida
          │
          └─ NO → ¿Está listado en Anexo III, Parte I (Importante Clase I)?
               │
               ├─ SÍ → IMPORTANTE CLASE I
               │        Terceros O autoevaluación con estándares
               │
               └─ NO → POR DEFECTO
                        Autoevaluación (Módulo A) permitida

Rutas de evaluación de conformidad por categoría

El Módulo A es el ciclo completo de autoevaluación: expediente técnico, Declaración de Conformidad UE, marcado CE. No se necesita auditor externo.

El Módulo B+C divide el trabajo: un Organismo Notificado examina un espécimen tipo y emite un certificado (Módulo B); el fabricante garantiza entonces que toda la producción se ajusta a ese tipo (Módulo C).

El Módulo H sustituye el enfoque producto por producto por una auditoría del sistema de gestión de calidad del fabricante. Más adecuado cuando se tiene un amplio portfolio de productos.

La EUCC complementa el Módulo B+C o H para los productos Críticos. Emitida bajo la Ley de Ciberseguridad de la UE al nivel de garantía "sustancial" o superior por un organismo de evaluación de conformidad acreditado.

¿Cómo clasificar un producto que encaja en varias categorías?

La Clasificación de productos no siempre es obvia. Aquí hay orientación para preguntas comunes:

Productos multifunción

Regla: Si CUALQUIER función activa una categoría superior, todo el producto se clasifica en ese nivel.

Ejemplo: Un hub de hogar inteligente que incluye:

• Control de automatización básico (Por Defecto)
• Funcionalidad VPN (Importante Clase I)
• Integración de cámara de seguridad (Importante Clase I)

Clasificación: Importante Clase I (categoría más alta activada)

Componentes embebidos

Regla: Considera si los componentes relevantes para la seguridad activan la Clasificación.

Ejemplo: Un dispositivo de consumo que contiene:

• Microcontrolador de propósito general → Por Defecto
• Microcontrolador "con funcionalidades relacionadas con la seguridad" → Importante Clase I

Pregunta clave: ¿El microcontrolador realiza funciones de seguridad (cifrado, autenticación, arranque seguro)?

Consideraciones de "destinado a"

Algunos elementos del Anexo III especifican uso previsto o contexto de producto. Por ejemplo, los juguetes conectados hacen referencia a los cubiertos por la Directiva 2009/48/CE, y los productos vestibles de monitorización de la salud hacen referencia a los Reglamentos (UE) 2017/745 y 2017/746 para determinar qué queda excluido.

Si tu producto podría usarse en estos contextos pero no está específicamente destinado a ellos, la clasificación puede no aplicar. Documenta tu uso previsto claramente.

Sistemas operativos

Los sistemas operativos están listados únicamente en el Anexo III Parte I (Importante Clase I). No existe una categoría de sistemas operativos en Clase II:

Ejemplo: Una distribución Linux personalizada para dispositivos embebidos sería típicamente Por Defecto. Ubuntu Server es Importante Clase I.

Orientación específica por industria

Fabricantes de dispositivos IoT

La mayoría de dispositivos IoT son Por Defecto a menos que:

• Incluyan funcionalidad VPN → Clase I
• Sean dispositivos de seguridad de hogar inteligente → Clase I
• Sean IoT industrial → Clase I o II
• Incluyan características de seguridad resistentes a manipulación → Clase II

Empresas de software

La mayoría del software es Por Defecto a menos que esté específicamente listado:

• Navegadores, gestores de contraseñas, anti-malware → Clase I
• Herramientas de seguridad de red (cortafuegos, IDS) → Clase II
• Sistemas operativos → Clase I

Sistemas embebidos

La Clasificación depende en gran medida de:

• Funciones de seguridad de microcontroladores/procesadores
• Si el producto es de uso industrial/profesional
• Entorno de despliegue objetivo (¿infraestructura crítica?)

Dispositivos médicos

Los dispositivos médicos están excluidos del alcance del CRA (cubiertos por MDR/IVDR). Sin embargo, el software complementario o las funciones no médicas pueden estar dentro del alcance.

Lista de verificación de clasificación de productos

LISTA DE VERIFICACIÓN DE CLASIFICACIÓN DE PRODUCTOS

Producto: _______________________________________
Fecha: _________________________________________

VERIFICACIÓN INICIAL DE ALCANCE:
[ ] El producto tiene elementos digitales (software y/o conexión de datos)
[ ] El producto se comercializará en el mercado de la UE
[ ] El producto no está excluido (médico, automoción, aviación, militar)

Verificación ANEXO IV (CRÍTICO):
[ ] No es un dispositivo de hardware con caja de seguridad
[ ] No es una pasarela de medidor inteligente (según Directiva (UE) 2019/944 Art. 2(23)) u otro dispositivo para fines de seguridad avanzados
[ ] No es una tarjeta inteligente o dispositivo similar, incluidos los elementos seguros

Si alguno de los anteriores es SÍ → CRÍTICO (parar aquí)

Verificación ANEXO III PARTE II (IMPORTANTE CLASE II):
[ ] No es un hipervisor o sistema de tiempo de ejecución de contenedores
[ ] No es un cortafuegos, sistema de detección o prevención de intrusiones
[ ] No es un microprocesador resistente a manipulaciones
[ ] No es un microcontrolador resistente a manipulaciones

Si alguno de los anteriores es SÍ → IMPORTANTE CLASE II (parar aquí)

Verificación ANEXO III PARTE I (IMPORTANTE CLASE I):
[ ] Revisar lista completa de 19 categorías
[ ] Considerar implicaciones multifunción
[ ] Verificar funcionalidades relacionadas con seguridad en componentes

Si aplica alguna categoría → IMPORTANTE CLASE I (parar aquí)

POR DEFECTO:
[ ] Producto no listado en ningún Anexo
[ ] Clasificación: POR DEFECTO

RUTA DE EVALUACIÓN DE CONFORMIDAD:
[ ] Módulo A (autoevaluación) - Por Defecto, Clase I con estándares
[ ] Módulo B+C (terceros) - Clase I sin estándares, Clase II
[ ] Módulo H (aseguramiento de calidad) - Alternativa a B+C
[ ] Certificación EUCC - Solo productos críticos

Documentación:
[ ] Justificación de Clasificación documentada
[ ] Análisis multifunción completado
[ ] Uso previsto claramente definido
[ ] Organismo Notificado identificado (si se requiere)

Clasificado por: _________________________________
Fecha: _________________________________________

Próximos pasos

¿Gestionar la conformidad CRA en varios productos? CRA Evidence centraliza clasificación, rutas de conformidad y documentación.

Una vez que conozcas tu clasificación, el siguiente paso es tu ruta de evaluación de conformidad. Consulta el cronograma de implementación del CRA para las fechas clave. Todas las categorías, independientemente del nivel, requieren un SBOM. Consulta la guía de requisitos de SBOM.

Este artículo es solo para fines informativos y no constituye asesoramiento legal. Para orientación específica sobre cumplimiento, consulta con asesores legales cualificados familiarizados con las regulaciones de productos de la UE.