CRA para fabricantes alemanes: BSI, CERT-Bund y marcado CE

Los fabricantes alemanes tienen las mismas obligaciones bajo el CRA que cualquier otro fabricante de la UE. Lo que es específico de Alemania es la cadena institucional, y Alemania la ha construido en torno a un único organismo. Está previsto que el BSI actúe como autoridad de vigilancia del mercado y como autoridad notificante en el ámbito del CRA. Un solo organismo, dos funciones, mientras que Francia y España las distribuyen entre agencias separadas. Esta es la ficha país para Alemania. Para el conjunto completo de obligaciones del fabricante, consulta la guía del clúster de fabricante.

El BSI asume tanto la vigilancia del mercado como la notificación

Esto es lo que diferencia a Alemania. El proyecto de ley de aplicación del CRA designa al BSI como Marktüberwachungsbehörde (autoridad de vigilancia del mercado) y como notifizierende Behörde (autoridad notificante) en el mismo texto legal. La autoridad notificante decide qué organismos de evaluación de la conformidad pasan a ser organismos notificados. La autoridad de vigilancia del mercado controla los productos ya presentes en el mercado. En Alemania, ambas funciones recaen sobre el BSI.

Algunos Estados miembros hacen lo mismo. Otros reparten las dos funciones entre agencias separadas.

Autoridades nacionales designadas o previstas. Varias están pendientes de instrumentos nacionales definitivos.

La base jurídica es el Gesetz zur Durchführung der Cyberresilienz-Verordnung, la ley de aplicación del CRA, que modifica la Ley del BSI (BSI-Gesetz). Se trata de un proyecto de ley del Gobierno (Gesetzentwurf der Bundesregierung), publicado como impreso parlamentario del Bundestag BT-Drs. 21/6134.

Como autoridad de vigilancia del mercado designada, el BSI tendría las competencias ejecutivas del CRA. Puede exigir medidas correctoras, restringir un producto, retirarlo del mercado u ordenar su recuperación, e imponer multas de hasta 15 millones de euros o el 2,5 % del volumen de negocios anual mundial para las infracciones más graves. La guía de sanciones y ejecución detalla la estructura completa de niveles.

Si el proyecto se aprueba tal como está redactado, una sola agencia redactará las directrices de interpretación alemanas, decidirá quién te certifica y te controlará después. Esa concentración merece planificación. El BSI es tu referente en casi todos los pasos y publica sus orientaciones sobre el CRA, folletos para fabricantes y una línea de ayuda para pymes en su página oficial sobre el Reglamento de Ciberresiliencia.

CERT-Bund: la vía de notificación alemana

Las notificaciones del CRA se dirigen al CSIRT designado como coordinador del Estado miembro donde el fabricante tiene su establecimiento principal, el lugar donde se toman principalmente las decisiones de ciberseguridad, no solo una oficina de ventas. Para un fabricante con sede en Alemania, el contacto operativo es CERT-Bund, el CERT nacional dentro del BSI. La designación formal de coordinador se publica a través de ENISA, así que confírmala antes de tu primera presentación en lugar de darla por supuesta. Si tu establecimiento principal se encuentra en otro Estado miembro y solo vendes en Alemania, tus notificaciones se dirigen al CSIRT de ese Estado miembro, no a CERT-Bund, aunque las normas de idioma alemán que se describen a continuación siguen siendo aplicables a todo lo que coloques en el mercado alemán.

El CRA divide la notificación en dos flujos, cada uno con plazos distintos. Una vulnerabilidad explotada activamente requiere una alerta temprana en 24 horas, una notificación de vulnerabilidad en 72 horas y un informe final a más tardar 14 días después de que esté disponible una medida correctora o de mitigación. Un incidente grave requiere una alerta temprana en 24 horas, una notificación de incidente en 72 horas y un informe final en el plazo de un mes desde la notificación del incidente. El plazo de 14 días y el de un mes no son intercambiables. La guía de gestión de vulnerabilidades y notificación desarrolla ambos en detalle.

La presentación se realiza a través de la plataforma única de notificación de ENISA, que entrará en funcionamiento el 11 de septiembre de 2026, con CERT-Bund como coordinador receptor y ENISA accesible al mismo tiempo. La guía de incorporación a la plataforma ENISA cubre el registro. Para los contactos actuales de notificación, consulta la página de CERT-Bund.

Organismos notificados: DAkkS acredita, el BSI notifica

Solo necesitas un organismo notificado para determinados productos, principalmente los productos importantes y críticos, y solo cuando las normas armonizadas o un esquema de certificación no te cubran ya. La guía de evaluación de la conformidad relaciona tu clase de producto con su vía correspondiente.

La cadena alemana tiene dos pasos:

• DAkkS (Deutsche Akkreditierungsstelle) es el organismo nacional de acreditación. Evalúa la competencia técnica de un candidato a organismo de evaluación de la conformidad en virtud del Reglamento (CE) n.º 765/2008.
• El BSI notifica después a la Comisión Europea el organismo acreditado, tras lo cual aparece en NANDO como organismo notificado del CRA.

Hay un atajo alemán que merece conocerse. El proyecto de Ley del BSI, según lo previsto en BT-Drs. 21/6134, permite al BSI notificar a un organismo sin certificado de acreditación en casos de interés público definidos. El proyecto vincula esto al propio objetivo del Reglamento: que los Estados miembros procuren tener suficientes organismos notificados operativos antes del 11 de diciembre de 2026 para evitar cuellos de botella. La excepción existe porque la vía de acreditación ordinaria puede no producir suficientes organismos a tiempo. Interpreta esto como una señal: Alemania espera que la capacidad de organismos notificados sea limitada.

El problema de capacidad es real y afecta a toda la UE en este momento. El marco de organismos notificados del CRA se aplica desde el 11 de junio de 2026. A esa fecha, NANDO no muestra ningún organismo notificado designado bajo el CRA en toda la Unión. No des por designado a ningún organismo alemán bajo el CRA hasta que aparezca en NANDO. Un fabricante alemán puede recurrir a cualquier organismo notificado de la UE cuando aparezcan las designaciones, no solo a uno alemán. Elegir un organismo alemán es una preferencia de contratación, no un requisito del CRA.

BSI TR-03183: por qué la encontrarás en la contratación pública alemana

El BSI publica la directriz técnica BSI TR-03183, con partes que cubren los requisitos para fabricantes y productos, el SBOM y los informes de vulnerabilidades. Es una orientación técnica provisional, no una norma armonizada, y por sí sola no otorga la presunción de conformidad que concedería una norma armonizada.

Sigue siendo relevante en Alemania por una razón práctica. Está previsto que el BSI sea tu autoridad de vigilancia del mercado y ya constituye un referente habitual en la contratación pública e industrial alemana, por lo que es probable que los compradores alemanes citen la TR-03183 por ser la directriz técnica orientada al CRA del BSI. Trátala como el referente al que recurrirán tus interlocutores alemanes y como un objetivo interno razonable mientras se siguen redactando las normas armonizadas. La guía BSI TR-03183 cubre en detalle los campos de datos requeridos y los niveles de calidad.

Requisitos de idioma alemán en la práctica

El CRA vincula el idioma al público, no a una regla general. La información dirigida al usuario debe estar en un idioma que los usuarios y la autoridad de vigilancia del mercado comprendan fácilmente. Para los productos colocados en el mercado alemán, eso es el alemán.

Debe estar en alemán:

• La información e instrucciones al usuario que se entregan con el producto.
• Los datos de contacto del fabricante donde quiera que aparezcan, en el producto, en el embalaje o en el documento adjunto.
• La fecha de fin de soporte comunicada en el punto de venta.

Puede ser multilingüe:

• El marcado CE y la etiqueta del producto.
• El texto del embalaje y la documentación en línea, siempre que se pueda acceder a una versión en alemán.

El inglés se acepta normalmente para:

• La documentación técnica interna. A petición motivada, el BSI puede exigirla en un idioma que comprenda fácilmente, así que planifica esa posibilidad aunque no traduzcas de forma proactiva. La documentación técnica vinculada a un procedimiento de organismo notificado debe estar en un idioma oficial del Estado miembro donde ese organismo tenga su sede, o en un idioma aceptable para él.

La declaración UE de conformidad debe estar disponible en los idiomas que exija el Estado miembro donde se coloque o comercialice el producto. Para el mercado alemán, prepara una versión en alemán en lugar de tratar la traducción como una contingencia solo para inspecciones.

La única excepción: los sistemas de IA de alto riesgo

Alemania centraliza la vigilancia del mercado del CRA en el BSI. El proyecto de ley de aplicación toma esa decisión deliberadamente y su motivación rechaza expresamente repartir la vigilancia del CRA entre una serie de autoridades sectoriales. Para la mayoría de los fabricantes, el BSI es el supervisor.

Hay una excepción real, y proviene del propio CRA, no del derecho alemán. Si tu producto es un sistema de IA de alto riesgo en virtud de la Ley de IA, la autoridad de vigilancia del mercado designada bajo la Ley de IA, y no el BSI, es la responsable de la vigilancia del mercado del CRA para ese producto. En Alemania, esa autoridad se designa en virtud de la ley de aplicación de la Ley de IA (KI-MIG). Ambas autoridades cooperan, pero la parte de la Ley de IA lidera.

Otros regímenes se solapan con el CRA sin cambiar quién ejerce la vigilancia. Un producto puede estar sujeto al Reglamento de Maquinaria al mismo tiempo que al CRA, y el BSI sigue siendo el responsable de la vigilancia del CRA mientras coopera con la autoridad sectorial correspondiente. En el ámbito financiero, el BSI coopera con los supervisores en virtud del Reglamento (UE) 2022/2554 (DORA) en lugar de cederles la vigilancia del CRA. Los cambios en la legislación sobre energía y telecomunicaciones incluidos en el mismo proyecto de ley son correcciones de NIS2, no una reasignación del CRA. Si fabricas maquinaria o automatización industrial, espera obligaciones paralelas, no un supervisor diferente del CRA.

Vender en otros mercados desde Alemania

Un fabricante alemán que vende en Francia, España, Italia u otro Estado miembro de la UE mantiene la misma regla de ruta única. Tus notificaciones siguen dirigiéndose a CERT-Bund, porque la ruta sigue al establecimiento principal, no al destino de cada envío. No presentas informes ante el CSIRT francés, español o italiano.

La obligación de idioma sí se extiende por mercado. Un producto enviado al mercado francés necesita contenido dirigido al usuario en francés, un producto enviado al mercado español necesita contenido en español, y así sucesivamente. La documentación alemana no cubre esos mercados. La autoridad de vigilancia del mercado de cada Estado miembro receptor también puede solicitar tu documentación técnica en un idioma que comprenda fácilmente, así que prepara de antemano las secciones más solicitadas en un idioma de trabajo ampliamente utilizado.

Financiación y ayudas a verificar

No existe ninguna ayuda alemana específica para el CRA. El panorama es el de la financiación general para la digitalización y la seguridad, y parte de ella ha caducado.

• go-digital ha terminado. El programa solo estuvo vigente hasta el 31 de diciembre de 2024, así que ignora las guías más antiguas que aún lo mencionen.
• Mittelstand-Digital ofrece asesoramiento gratuito y la red de Mittelstand-Digital Zentren, no financiación directa a las pymes.
• El KfW ERP-Förderkredit Digitalisierung und Innovation (programas 511/512) es una línea de financiación para inversión en digitalización y seguridad informática, no una subvención específica para el CRA.
• Las convocatorias de investigación del Gobierno federal pueden apoyar la I+D genuina en ciberseguridad, pero comprueba cada convocatoria caso a caso y no las trates como ayudas habituales para el cumplimiento del CRA.

Las ventanas de los programas y los criterios de elegibilidad cambian con frecuencia. Confirma el estado actual de cualquier línea antes de incluirla en tu presupuesto.

Este artículo tiene fines informativos únicamente y no constituye asesoramiento jurídico. Consulta con un abogado especializado para obtener orientación específica sobre el cumplimiento del CRA.