Evaluación de conformidad CRA: guía de decisión Módulo A vs B+C vs H

Tu ruta de evaluación de conformidad CRA determina el coste, el cronograma y las dependencias externas. Elige mal y perderás meses y miles de euros. Elige bien y tendrás un camino claro hacia el marcado CE.

Esta guía te ayuda a seleccionar el módulo de evaluación de conformidad correcto y entender lo que implica cada uno.

Visión general de la evaluación de conformidad

La evaluación de conformidad es como demuestras que tu producto cumple los requisitos del CRA. La Declaración de Conformidad UE que firmas declara que tu producto es conforme, pero debes tener evidencia para respaldar esa afirmación.

El CRA ofrece tres módulos de evaluación de conformidad:

OPCIONES DE MODULO POR CATEGORIA DE PRODUCTO

┌─────────────────────────────────────────────────────────────┐
│                  PRODUCTOS POR DEFECTO                       │
│                  (~90% de productos)                         │
├─────────────────────────────────────────────────────────────┤
│   Modulo A (Autoevaluacion)    ✓ Permitido                  │
│   Modulo B+C (Terceros)        ✓ Permitido (opcional)       │
│   Modulo H (QA Completo)       ✓ Permitido (opcional)       │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│            PRODUCTOS IMPORTANTE CLASE I                      │
│              (Anexo III, Parte I)                            │
├─────────────────────────────────────────────────────────────┤
│   Modulo A (Autoevaluacion)    ✓ SI estandares armonizados  │
│   Modulo B+C (Terceros)        ✓ Permitido                  │
│   Modulo H (QA Completo)       ✓ Permitido                  │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│            PRODUCTOS IMPORTANTE CLASE II                     │
│              (Anexo III, Parte II)                           │
├─────────────────────────────────────────────────────────────┤
│   Modulo A (Autoevaluacion)    ✗ NO Permitido               │
│   Modulo B+C (Terceros)        ✓ REQUERIDO                  │
│   Modulo H (QA Completo)       ✓ Permitido                  │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│                  PRODUCTOS CRITICOS                          │
│                    (Anexo IV)                                │
├─────────────────────────────────────────────────────────────┤
│   Modulo A (Autoevaluacion)    ✗ NO Permitido               │
│   Modulo B+C (Terceros)        ✓ REQUERIDO + EUCC           │
│   Modulo H (QA Completo)       ✓ Permitido + EUCC           │
└─────────────────────────────────────────────────────────────┘

¿Cuándo puedes usar la autoevaluación del módulo A?

Autoevaluación. Tú evalúas tu propio producto contra los requisitos del CRA.

Cuando el módulo A está disponible

• Productos por defecto: Siempre disponible
• Importante Clase I: Solo si aplicas completamente estándares armonizados relevantes

Qué significa "estándares armonizados"

Para la autoevaluación de Importante Clase I, debes aplicar estándares armonizados que:

• Cubran los requisitos esenciales del Anexo I
• Estén publicados en el Diario Oficial de la UE
• Se apliquen completamente (no parcialmente)

Si no existe estándar armonizado para tu tipo de producto, los productos Importante Clase I deben usar Módulo B+C o H.

VERIFICAR CON FUENTE PRIMARIA: Los estándares armonizados para el CRA aún se están desarrollando. Monitoriza las publicaciones del DOUE.

Proceso del módulo A

Evaluación DE CONFORMIDAD MODULO A

1. FASE DE DISENO
   ├── Aplicar principios de seguridad por diseno
   ├── Realizar evaluación de riesgos (requisitos Anexo I)
   ├── Documentar arquitectura de seguridad
   └── Aplicar estandares armonizados (si Clase I)

2. Documentación
   ├── Crear expediente técnico (Anexo VII)
   │   ├── Descripción del producto
   │   ├── Resultados de evaluación de riesgos
   │   ├── documentación de diseno
   │   ├── Estandares aplicados
   │   ├── Resultados de pruebas
   │   └── SBOM
   └── Preparar Declaración de Conformidad UE

3. CONTROLES DE PRODUCCION
   ├── Asegurar qué la producción mantiene la conformidad
   ├── Documentar controles de calidad
   └── Verificar cada unidad (donde aplique)

4. FINALIZACION
   ├── Firmar Declaración de Conformidad UE
   ├── Aplicar marcado CE
   └── Conservar documentación (10 años)

Requisitos de documentación del módulo A

Tu expediente técnico bajo el Módulo A debe incluir:

Descripción General:

• Identificación del producto y propósito previsto
• Versiones cubiertas
• Instrucciones de usuario proporcionadas

Evaluación de Riesgos:

• Riesgos de ciberseguridad identificados
• Amenazas y escenarios de ataque considerados
• Decisiones de tratamiento de riesgos

Documentación de Diseño:

• Arquitectura del sistema
• Medidas de seguridad implementadas
• Como se cumple cada requisito del Anexo I

Estándares y Pruebas:

• Estándares aplicados (con números de versión)
• Planes de prueba y resultados
• Verificación de que los estándares se aplican completamente (para Clase I)

SBOM:

• Componentes incluidos
• Vulnerabilidades conocidas en el momento de la Evaluación

Producción:

• Como la producción mantiene la conformidad
• Medidas de control de calidad

Costes del módulo A

Rango total típico: 15.000-50.000€ (costes internos)

Cronograma del módulo A

Cronograma total típico: 2-4 meses

¿Cuándo exige el RCR un organismo notificado?

Evaluación de terceros. Un Organismo Notificado examina el diseño de tu producto.

Cuando el módulo B+C es requerido

• Importante Clase II: Obligatorio
• Productos criticos: Obligatorio (más EUCC)
• Importante Clase I: Si no se usan estándares armonizados

Módulo B: examen de tipo UE

Un Organismo Notificado examina una muestra representativa (tipo) de tu producto y emite un certificado.

PROCESO MODULO B

1. SOLICITUD
   ├── Seleccionar Organismo Notificado
   ├── Enviar solicitud con:
   │   ├── Muestra(s) del producto
   │   ├── documentación técnica
   │   └── Formulario de solicitud
   └── Pagar tasas iniciales

2. EXAMEN
   ├── ON revisa Documentación
   ├── ON prueba muestra del producto
   ├── ON verifica cumplimiento del Anexo I
   └── ON puede solicitar información/pruebas adicionales

3. Decisión
   ├── Conforme → Certificado de Examen de Tipo UE
   ├── No conforme → Informe de deficiencias
   └── Si deficiencias: remediar y reenviar

4. CERTIFICADO
   ├── Valido para el tipo de producto evaluado
   ├── Lista condiciones y limitaciones
   └── Sujeto a revision (tipicamente 5 años)

Módulo C: conformidad con el tipo

Después del Módulo B, aseguras que la producción se ajusta al tipo certificado.

PROCESO MODULO C

1. CONTROLES DE PRODUCCION
   ├── Asegurar qué cada unidad se ajusta al tipo certificado
   ├── Documentar procesos de producción
   └── Mantener controles de calidad

2. Declaración
   ├── Referenciar Certificado de Examen de Tipo UE
   ├── Firmar Declaración de Conformidad UE
   └── Aplicar marcado CE

3. CONTINUO
   ├── Mantener conformidad con el tipo certificado
   ├── Informar cambios qué afecten al tipo al ON
   └── Recertificar si hay cambios sustanciales

Selección de organismo notificado

Consideraciones al elegir un Organismo Notificado:

Encontrar ONs: Consulta la base de datos NANDO (registro oficial de Organismos Notificados de la UE) una vez se publiquen las designaciones CRA.

Costes del módulo B+C

Rango total típico: 30.000-100.000€+

Cronograma del módulo B+C

Cronograma total típico: 4-10 meses

Módulo H: aseguramiento de calidad total

Enfoque de sistema de gestión de calidad. El ON aprueba tu SGC para diseño, producción y pruebas.

Cuando el módulo H tiene sentido

El Módulo H es ventajoso cuando:

• Tienes múltiples productos que requieren evaluación de terceros
• Ya tienes un SGC maduro (ISO 9001, ISO 27001)
• Quieres una relación continua con el ON en lugar de examen por producto
• Lanzas actualizaciones frecuentes del producto

Proceso del módulo H

PROCESO MODULO H

1. ESTABLECIMIENTO DEL SGC
   ├── Disenar sistema de calidad qué cubra:
   │   ├── Proceso de diseno
   │   ├── Controles de producción
   │   ├── Procedimientos de prueba
   │   └── Gestión de Documentación
   └── Alinear con requisitos del CRA

2. evaluación DEL ON
   ├── Enviar documentación del SGC
   ├── ON audita tu SGC
   ├── ON verifica alineacion con CRA
   └── ON emite certificado de aprobación del SGC

3. DISENO DE PRODUCTO (por producto)
   ├── Seguir SGC aprobado para diseno
   ├── Realizar examen de diseno
   ├── Documentar cumplimiento
   └── ON puede auditar proceso de diseno

4. PRODUCCION
   ├── Seguir SGC aprobado para producción
   ├── Documentar conformidad
   └── ON realiza auditorias de vigilancia

5. Declaración (por producto)
   ├── Firmar Declaración de Conformidad UE
   ├── Referenciar certificado del SGC
   └── Aplicar marcado CE

6. CONTINUO
   ├── Mantener SGC
   ├── Auditorias de vigilancia del ON (tipicamente anuales)
   └── Recertificar SGC (tipicamente cada 3-5 años)

Requisitos del SGC para módulo H

Tu sistema de gestión de calidad debe cubrir:

Calidad de Diseño:

• Controles del proceso de diseño
• Metodología de evaluación de riesgos
• Procedimientos de revisión de diseño
• Gestión de Configuración
• Verificación y validación del diseño

Calidad de Producción:

• Controles del proceso de producción
• Pruebas de control de calidad
• Gestión de no conformidades
• Trazabilidad
• Calibración de equipos

Calidad de Documentación:

• Requisitos del expediente técnico
• Control de documentos
• Retención de registros
• Gestión de cambios

Integración de Ciberseguridad:

• Ciclo de vida de desarrollo seguro
• Gestión de vulnerabilidades
• Procesos de actualización
• Respuesta a incidentes

Costes del módulo H

Configuración inicial: 40.000-100.000€ Continuo anual: 10.000-30.000€

Decisión módulo H vs B+C

Regla general: El Módulo H se vuelve rentable con 4+ productos o cuando necesitarías re-examen frecuentemente.

Marco de decisión

Paso 1: determinar clasificación del producto

Usa la guía de Clasificación de productos para determinar: Por Defecto, Importante Clase I, Importante Clase II o Crítico.

Paso 2: identificar opciones disponibles

SI Por Defecto:
    Opciones: A, B+C, H
    Recomendacion: Modulo A (a menos qué quieras validación de terceros)

SI Importante Clase I:
    SI existen estandares armonizados Y los aplicas completamente:
        Opciones: A, B+C, H
        Recomendacion: Modulo A (con estandares)
    SINO:
        Opciones: B+C, H
        Recomendacion: B+C (a menos qué multiples productos)

SI Importante Clase II:
    Opciones: B+C, H
    Recomendacion: B+C (a menos qué multiples productos o SGC maduro)

SI Crítico:
    Opciones: B+C + EUCC, H + EUCC
    Recomendacion: Depende de las capacidades de la organización

Paso 3: considerar factores empresariales

Declaración de conformidad UE

Independientemente del módulo elegido, debes emitir una Declaración de Conformidad UE.

Contenido requerido de la DoC

Declaración DE CONFORMIDAD UE
(Ley de Ciberresiliencia - Reglamento (UE) 2024/2847)

1. Identificación del producto:
   [Nombre del producto, tipo, lote, número(s) de serie]

2. Nombre y direccion del fabricante:
   [Datos de tu empresa]

3. Esta Declaración de conformidad se emite bajo la exclusiva
   responsabilidad del fabricante.

4. Objeto de la Declaración:
   [Descripción del producto, suficiente para trazabilidad]

5. El objeto de la Declaración descrito anteriormente es conforme
   con la legislación de armonizacion de la Union pertinente:
   - Reglamento (UE) 2024/2847 (Ley de Ciberresiliencia)
   - [Otra legislación aplicable]

6. Referencias a las normas armonizadas pertinentes utilizadas, o
   referencias a las especificaciones con respecto a las cuales se
   declara la conformidad:
   [Lista de estandares aplicados, con numeros de version]

7. Cuando proceda, el organismo notificado:
   [Nombre del ON, número, referencia del certificado]
   realizo: [Examen Modulo B/H]
   y emitio: [número de certificado]

8. información adicional:
   [Periodo de soporte, contacto para informes de vulnerabilidades, etc.]

Firmado en nombre de:
[Nombre, función]
[Lugar y fecha de emision]
[Firma]

Marcado CE

Después de la evaluación de conformidad, aplica el marcado CE.

Requisitos del marcado CE

• Visible, legible, indeleble
• Altura mínima de 5mm
• Proporciones correctas (como se especifica en la legislación)
• En el producto o embalaje (si el marcado en el producto no es factible)
• Acompañado del número del Organismo Notificado si se usó Módulo B o H

Colocación del marcado CE

EJEMPLOS DE MARCADO CE

Producto fisico:
├── En el producto mismo (preferido)
├── En placa de caracteristicas/etiqueta
├── En embalaje (si el producto es demasiado pequeno)
└── En documentación (si el marcado fisico es imposible)

Software:
├── En pantalla acerca de/información
├── En Documentación
└── En embalaje (si hay medios fisicos)

Con Organismo Notificado (Modulo B o H):
Marcado CE + número ON
ej., CE 1234 (donde 1234 es el número de identificación del ON)

Errores comunes

Autoevaluarse cuando no está permitido

Problema: Elegir Módulo A para producto Importante Clase II.

Consecuencia: Evaluación de conformidad inválida. El producto no puede comercializarse legalmente.

Prevención: Siempre verifica la Clasificación del producto antes de elegir la ruta de Evaluación.

Aplicación parcial de estándares

Problema: Reclamar Módulo A para Importante Clase I mientras solo se aplican parcialmente los estándares armonizados.

Consecuencia: El Módulo A no está disponible sin aplicación completa del estándar.

Prevención: Si no puedes aplicar completamente los estándares, usa Módulo B+C o H.

Documentación inadecuada

Problema: El expediente técnico carece del contenido requerido para el módulo elegido.

Consecuencia: No se puede demostrar conformidad. DoC no válida.

Prevención: Usa listas de Verificación. Revisa los requisitos de documentación para tu módulo específico.

Sorpresa del organismo notificado

Problema: Descubrir tarde que el producto requiere evaluación por ON.

Consecuencia: Retraso en la entrada al mercado (los tiempos de espera del ON pueden ser meses).

Prevención: Clasifica productos temprano. Involucra a los ONs de forma proactiva.

DoC antes de la evaluación

Problema: Firmar DoC antes de completar la evaluación de conformidad.

Consecuencia: Declaración falsa. Responsabilidad legal.

Prevención: La DoC es el paso final, después de que todas las actividades de evaluación estén completas.

Lista de verificación de evaluación de conformidad

LISTA DE verificación DE evaluación DE CONFORMIDAD

PRE-Evaluación:
[ ] Clasificación del producto determinada
[ ] Modulos disponibles identificados
[ ] Modulo seleccionado basado en requisitos y factores empresariales
[ ] Cronograma establecido
[ ] Presupuesto asignado

MODULO A (Autoevaluacion):
[ ] evaluación de riesgos completada
[ ] Requisitos del Anexo I abordados
[ ] Estandares armonizados aplicados (si Clase I)
[ ] Expediente técnico preparado
[ ] Pruebas completadas
[ ] Controles de producción documentados
[ ] DoC preparada

MODULO B (Examen de Tipo UE):
[ ] Organismo Notificado seleccionado
[ ] Solicitud enviada
[ ] documentación técnica proporcionada
[ ] Muestra(s) del producto proporcionadas
[ ] Examen completado
[ ] Certificado recibido
[ ] Deficiencias abordadas (si las hay)

MODULO C (Conformidad con el Tipo):
[ ] Controles de producción establecidos
[ ] Conformidad con el tipo verificada
[ ] documentación mantenida
[ ] DoC referencia el certificado

MODULO H (QA Completo):
[ ] SGC desarrollado/actualizado
[ ] Auditoria ON programada
[ ] Certificado SGC recibido
[ ] Revision de diseno por producto completada
[ ] Calendario de auditorias de vigilancia establecido

FINALIZACION (Todos los Modulos):
[ ] Declaración de Conformidad UE firmada
[ ] Marcado CE aplicado
[ ] Expediente técnico archivado (retención 10 años)
[ ] Listo para comercialización

Próximos pasos

¿Gestionas la conformidad CRA de varios productos? CRA Evidence registra el módulo de evaluación asignado a cada producto, almacena la documentación del expediente técnico y monitoriza el estado de las designaciones de Organismos Notificados a medida que NANDO se actualiza. Una vez confirmado el módulo, construye el paquete de evidencias con la guía del expediente técnico Anexo VII. Si la categoría del producto todavía no está clara, consulta primero la guía de clasificación de productos.

Este artículo es solo para fines informativos y no constituye asesoramiento legal. Para orientación específica sobre cumplimiento, consulta con asesores legales cualificados.