CRA para fabricantes franceses: ANSSI, ANFR y marcado CE

Los fabricantes franceses afrontan las mismas obligaciones que cualquier otro fabricante de la UE bajo la Ley de Ciberresiliencia. Esta página es un resumen país para Francia: cómo se encaminan las notificaciones de vulnerabilidades e incidentes a través de CERT-FR (el CSIRT operativo de ANSSI), cómo reparte Francia las funciones de evaluación de la conformidad entre la función notificadora de ANSSI y la función de acreditación de COFRAC, por qué ANSSI y la Direction générale des entreprises designan a ANFR como autoridad de vigilancia del mercado CRA, sin que se haya encontrado todavía un instrumento en el Journal Officiel (un papel que a menudo se atribuye erróneamente a la DGCCRF), qué exigen en la práctica las obligaciones de lengua francesa, y qué líneas de Bpifrance y France 2030 están abiertas para inversión en cumplimiento. Para el conjunto completo de obligaciones del fabricante, consulta la guía clúster del fabricante.

Cuándo aplica esta guía

Eres el lector objetivo si el «establecimiento principal en la Unión» de tu empresa como fabricante está en Francia. Eso significa el lugar donde se toman predominantemente las decisiones relacionadas con la ciberseguridad de tus productos con elementos digitales. Una filial de ventas registrada en Francia con ingeniería en el extranjero no es el establecimiento principal. Si tu equipo de ingeniería, tu gobernanza del SDLC y las personas que aprueban las publicaciones de actualizaciones de seguridad están en Francia, esta guía es para ti.

Si tu establecimiento principal está en otro Estado miembro de la UE y solo distribuyes en Francia, tus notificaciones CRA se encaminan a través del CSIRT de tu Estado miembro de establecimiento principal, no a CERT-FR. La obligación de lengua francesa para la información al usuario sí se aplica a cualquier producto puesto en el mercado francés.

ANSSI y CERT-FR: la vía CSIRT francesa

Las notificaciones CRA se encaminan a través del CSIRT designado como coordinador del Estado miembro donde el fabricante tiene su establecimiento principal en la Unión. Para un fabricante cuyo establecimiento principal está en Francia, ese CSIRT es CERT-FR, el brazo operativo de ANSSI (Agence nationale de la sécurité des systèmes d'information).

ANSSI depende del SGDSN y gestiona los esquemas nacionales de certificación franceses (CSPN, Visa de Sécurité) y los centros de evaluación acreditados (CESTI). CERT-FR publica avisos de vulnerabilidad en francés y opera la vía nacional de coordinación de vulnerabilidades.

Contacto CERT-FR: sitio web https://cert.cyber.gouv.fr/, correo cert-fr@ssi.gouv.fr. ANSSI: https://cyber.gouv.fr/.

El canal técnico para el ritmo de notificación 24 h / 72 h / 14 días es la plataforma única de notificación de ENISA, en funcionamiento desde el 11 de septiembre de 2026. Un fabricante francés envía a través de esa plataforma con CERT-FR como coordinador receptor. La designación CSIRT es el enrutamiento. La plataforma es el transporte.

Organismos notificados: ANSSI notifica, COFRAC acredita

Los productos Importantes de Clase I necesitan un organismo notificado (Módulo B+C o Módulo H) únicamente cuando las normas armonizadas, las especificaciones comunes o un esquema de certificación no los cubren íntegramente. Los productos Importantes de Clase II utilizan un organismo notificado (Módulo B+C o Módulo H) o un esquema de certificación disponible y aplicable. Los productos Críticos (Anexo IV) siguen el Artículo 32(4): la vía de certificación del Artículo 8(1) cuando la Comisión la haya activado; de lo contrario, las mismas vías del Artículo 32(3).

La división institucional francesa es:

• ANSSI actúa como autoridad notificante que designa formalmente los organismos notificados franceses ante la Comisión Europea bajo la Ley de Ciberresiliencia. ANSSI evalúa, controla y notifica a los organismos de evaluación de la conformidad.
• COFRAC (Comité français d'accréditation) es el organismo nacional de acreditación francés y evalúa la competencia técnica de un candidato. La notificación de ANSSI se basa normalmente en esa acreditación.

El marco CRA para organismos notificados se aplica desde el 11 de junio de 2026. ANSSI, como autoridad notificante, evaluará, controlará y notificará a los organismos sobre la base de la acreditación de COFRAC (ANSSI, septiembre de 2026). A 17 de octubre de 2026, NANDO registra a ANSSI como autoridad notificante francesa del CRA, pero sigue sin listar ningún organismo notificado bajo la Ley de Ciberresiliencia. El artículo 1 del Décret n° 2026-944, de 9 de octubre de 2026, vigente desde el 12 de octubre de 2026, designa a ANSSI como autoridad notificante del CRA, y el decreto organiza la notificación de los organismos de evaluación de la conformidad del CRA. La notificación se basa normalmente en un certificado de acreditación de COFRAC. El CRA también permite notificar sin él, sobre la base de pruebas documentales, y entonces el plazo para formular objeciones es de dos meses en lugar de dos semanas. Comprueba por separado, en los instrumentos franceses aplicables, la designación de ANFR como autoridad de vigilancia del mercado y las normas nacionales de ejecución.

Un fabricante francés puede usar cualquier organismo notificado de la UE, no solo los designados en Francia. Elegir uno designado en Francia (LNE, LCIE Bureau Veritas, SGS France y otros organismos históricamente acreditados) es una preferencia de contratación, no un requisito del Reglamento. Las designaciones finales CRA se publican en la base de datos NANDO de la Comisión Europea.

ANFR: la autoridad de vigilancia del mercado CRA

La vigilancia del mercado CRA para productos con elementos digitales puestos en el mercado francés recae en ANFR (Agence nationale des fréquences), no en la DGCCRF. ANSSI lo confirma en su página oficial CRA en cyber.gouv.fr (septiembre de 2026), y la propia ANSSI presta apoyo técnico a ANFR en el marco de vigilancia del mercado. Verifica la designación definitiva en el Journal Officiel antes de cualquier presentación formal.

La vía de implementación francesa otorgaría a ANFR poderes sancionadores de hasta 15 millones de euros o el 2,5 % de la facturación anual global para las infracciones más graves de la Ley de Ciberresiliencia, dentro de los límites establecidos por el Reglamento a nivel de la UE.

La DGCCRF mantiene su papel histórico de inspección de seguridad de productos de consumo y seguirá detectando productos no conformes en frontera o en comercio minorista, pero la función de vigilancia del mercado CRA para productos digitales es de ANFR. Planifica en torno a ANFR, comprobando el texto final del JO antes de cualquier presentación formal.

Requisitos de lengua francesa en la práctica

La Ley de Ciberresiliencia exige que la información del producto destinada al usuario esté en una lengua fácilmente comprensible por los usuarios y por la autoridad de vigilancia del mercado local. Para productos puestos en el mercado francés, esa lengua es el francés. La Loi Toubon (Law 94-665) exige de forma independiente el francés en toda la información al consumidor, de modo que la obligación CRA se alinea con una regla nacional de larga trayectoria.

Debe estar en francés:

• Las instrucciones de uso y la información del producto que acompañan al producto.
• Los datos de contacto del fabricante (nombre, dirección, correo electrónico u otro contacto digital) allá donde aparezcan, incluidos el propio producto, el embalaje o el documento adjunto.
• La fecha de fin de soporte que se muestra en el punto de venta.

Puede ser multilingüe:

• La etiqueta del producto y el marcado CE.
• El texto del embalaje.
• La documentación en línea, siempre que sea accesible una versión en francés.

El inglés se acepta normalmente para:

• La documentación técnica interna. ANFR u otra autoridad de vigilancia del mercado de cualquier otro Estado miembro puede solicitar una traducción al francés si presenta una solicitud motivada, así que planifica esa contingencia aunque no traduzcas de forma proactiva.

La declaración UE de conformidad debe estar disponible en las lenguas exigidas por el Estado miembro donde el producto se introduce o se comercializa. Para Francia, planifica una versión francesa en lugar de tratar la traducción como una contingencia solo de inspección.

Venta transfronteriza desde Francia

Los fabricantes franceses que venden en Bélgica, España, Alemania, Italia o cualquier otro Estado miembro de la UE aplican la misma regla de enrutamiento único: tus notificaciones siguen yendo a CERT-FR, porque el enrutamiento sigue al establecimiento principal, no al destino de cada envío. No notificas al CSIRT belga, español, alemán ni italiano.

La obligación lingüística sí se ramifica por mercado. Un producto enviado al mercado español necesita información al usuario en español. Un producto enviado al mercado alemán necesita información en alemán. El paquete solo en francés no cubre esos mercados.

La autoridad de vigilancia del mercado de cada Estado miembro receptor también puede solicitar tu documentación técnica en una lengua fácilmente comprensible para esa autoridad. Si tu distribución abarca ampliamente la UE, espera solicitudes en al menos una lengua de trabajo ampliamente utilizada y trata la traducción anticipada de las secciones más solicitadas de la documentación técnica como una medida prudente.

Programas nacionales de financiación

A diferencia del Plan de Recuperación español, que está cerrando su ventana NextGenEU en 2026, los programas nacionales franceses para inversión en ciberseguridad siguen abiertos y activos en 2026 y más allá.

• Bpifrance gestiona el Diagnostic Cybersécurité (una auditoría de ciberseguridad subvencionada para PYMES) y el programa Cyber PME. La Fase B de Cyber PME aceptó solicitudes hasta el 26 de noviembre de 2025 para empresas cuya fecha de presentación del plan de seguridad sea posterior al 1 de enero de 2024. La Fase A y convocatorias de seguimiento continúan abriéndose.
• France 2030 es el plan nacional de inversión con convocatorias específicas de ciberseguridad gestionadas conjuntamente por el Secretariado General para la Inversión (SGPI), Bpifrance y ANSSI. Las convocatorias de desarrollo de productos de ciberseguridad están cofinanciadas con el EU Digital Europe Programme, con convocatorias recientes que ofrecen hasta 2 millones de euros en apoyo combinado. La I+D en seguridad impulsada por la Ley de Ciberresiliencia encaja donde el ángulo es una innovación genuina en desarrollo de producto.
• France Num ofrece cheques de diagnóstico regional gestionados a través de las cámaras de comercio e industria. Útil para un Plan de Cybersécurité inicial, pero no para la inversión completa en herramientas CRA.
• Prêt Innovation y la Aide pour le développement de l'innovation son líneas de préstamo y subvención de Bpifrance que pueden financiar herramientas SBOM, construcción de capacidad de gestión de vulnerabilidades y tasas de evaluación de la conformidad cuando el trabajo de ciberseguridad tiene un componente de innovación genuino.

Las ventanas de elegibilidad y los topes presupuestarios cambian anualmente. Confirma la convocatoria vigente antes de imputar cualquier partida a estos programas.

Este artículo es solo para fines informativos y no constituye asesoramiento legal. Para orientación específica de cumplimiento CRA, consulta con asesoría legal cualificada.