Evaluación de conformidad CRA: guía de decisión Módulo A vs B+C vs H

Tu ruta de evaluación de conformidad CRA determina el coste, el cronograma y las dependencias externas. Elige mal y perderás meses y miles de euros. Elige bien y tendrás un camino claro hacia el marcado CE.

Esta guía te ayuda a seleccionar el módulo de evaluación de la conformidad correcto y entender lo que implica cada uno.

Fuentes: artículo 13 del RCR (período de conservación), base de datos NANDO, registro oficial de Organismos Notificados de la UE (estado de designaciones), cifras indicadas en esta guía.

Resumen

• Módulo A (Autoevaluación): Disponible para productos Por Defecto e Importante Clase I (si se aplican normas armonizadas)
• Módulo B+C (Terceros): Obligatorio para Importante Clase II, opcional para otros
• Módulo H (Garantía total de calidad): Alternativa a B+C para organizaciones con múltiples productos
• La clasificación del producto determina qué opciones están disponibles
• Diferencia de coste: Módulo A (~5-20K€ interno), B+C (~30-100K€+), H (~50K€+ configuración + continuo)

Visión general de la evaluación de la conformidad

La evaluación de la conformidad es la forma de demostrar que tu producto cumple los requisitos del RCR. La declaración UE de conformidad que firmas declara que tu producto es conforme, pero debes contar con evidencias que respalden esa afirmación.

El RCR ofrece tres módulos de evaluación de la conformidad. El árbol de decisión anterior muestra qué categorías de producto corresponden a cada ruta. El Módulo A es una autoevaluación del fabricante. El Módulo B+C combina un examen de tipo UE realizado por un Organismo Notificado (B) con una fase de conformidad de la producción que gestiona el propio fabricante (C). El Módulo H es una ruta única en la que un Organismo Notificado aprueba tu sistema de gestión de la calidad y lo supervisa de forma continua.

¿Cuándo puedes usar la autoevaluación del Módulo A?

Autoevaluación. Tú evalúas tu propio producto frente a los requisitos del RCR.

Cuándo está disponible el Módulo A

• Productos por defecto: Siempre disponible
• Importante Clase I: Solo si aplicas completamente las normas armonizadas pertinentes

Qué significa «normas armonizadas»

Para la autoevaluación de Importante Clase I debes aplicar normas armonizadas que:

• Cubran los requisitos esenciales del Anexo I
• Estén publicadas en el Diario Oficial de la UE
• Se apliquen completamente (no parcialmente)

Si no existe ninguna norma armonizada para tu tipo de producto, los productos de Importante Clase I deben usar el Módulo B+C o H.

Las normas armonizadas para el RCR están aún en desarrollo. Monitoriza las publicaciones del DOUE.

Proceso del Módulo A

1. Fase de diseño. Aplica principios de seguridad por diseño, realiza una evaluación de riesgos frente al Anexo I, documenta la arquitectura de seguridad y aplica las normas armonizadas si tu producto es Importante Clase I.
2. Documentación. Crea el expediente técnico del Anexo VII con la descripción del producto, los resultados de la evaluación de riesgos, la documentación de diseño, las normas aplicadas, los resultados de las pruebas y el SBOM. Prepara la declaración UE de conformidad.
3. Controles de producción. Asegura que la producción mantiene la conformidad, documenta los controles de calidad y verifica cada unidad cuando proceda.
4. Finalización. Firma la declaración UE de conformidad, aplica el marcado CE y conserva la documentación durante 10 años.

Requisitos de documentación del Módulo A

Tu expediente técnico del Anexo VII bajo el Módulo A debe cubrir estas seis áreas.

Costes del Módulo A

Rango total típico: 15.000-50.000€ (costes internos)

Cronograma del Módulo A

Cronograma total típico: 2-4 meses

¿Cuándo exige el RCR un Organismo Notificado?

Evaluación por terceros. Un Organismo Notificado examina el diseño de tu producto.

Cuándo es obligatorio el Módulo B+C

• Importante Clase II: Obligatorio
• Productos críticos: Obligatorio (más EUCC)
• Importante Clase I: Si no se aplican normas armonizadas

Módulo B: examen de tipo UE

Un Organismo Notificado examina una muestra representativa (tipo) de tu producto y emite un certificado.

1. Solicitud. Selecciona un Organismo Notificado y presenta tu solicitud con muestras del producto, documentación técnica y el formulario de solicitud. Abona las tasas iniciales.
2. Examen. El Organismo Notificado revisa la documentación, prueba la muestra del producto, verifica el cumplimiento del Anexo I y puede solicitar información o pruebas adicionales.
3. Resolución. Si el producto es conforme, el Organismo Notificado emite el Certificado de Examen de Tipo UE. Si se detectan deficiencias, debes subsanarlas y volver a presentar.
4. Certificado. Válido para el tipo de producto evaluado, indica condiciones y limitaciones, y está sujeto a revisión (habitualmente cada 5 años).

Módulo C: conformidad con el tipo

Tras el Módulo B, aseguras que la producción se ajusta al tipo certificado.

1. Controles de producción. Asegura que cada unidad se ajusta al tipo certificado, documenta los procesos de producción y mantén los controles de calidad.
2. Declaración. Referencia el Certificado de Examen de Tipo UE, firma la declaración UE de conformidad y aplica el marcado CE.
3. Seguimiento. Mantén la conformidad con el tipo certificado, notifica al Organismo Notificado los cambios que afecten al tipo y recertifica si se producen cambios sustanciales.

Selección del Organismo Notificado

Criterios a tener en cuenta al elegir un Organismo Notificado:

Cómo encontrar ONs: Consulta la base de datos NANDO (registro oficial de Organismos Notificados de la UE) una vez se publiquen las designaciones RCR.

Costes del Módulo B+C

Rango total típico: 30.000-100.000€+

Cronograma del Módulo B+C

Cronograma total típico: 4-10 meses

Módulo H: garantía total de calidad

Enfoque basado en el sistema de gestión de la calidad. El ON aprueba tu SGC para diseño, producción y pruebas.

Cuándo tiene sentido el Módulo H

El Módulo H es ventajoso cuando:

• Tienes múltiples productos que requieren evaluación por terceros
• Ya cuentas con un SGC maduro (ISO 9001, ISO 27001)
• Prefieres una relación continua con el ON en lugar de un examen por producto
• Lanzas actualizaciones frecuentes del producto

Proceso del Módulo H

1. Establecimiento del SGC. Diseña un sistema de calidad que cubra tu proceso de diseño, los controles de producción, los procedimientos de prueba y la gestión de la documentación, alineado con los requisitos del RCR.
2. Evaluación del Organismo Notificado. Presenta la documentación del SGC, acoge la auditoría del Organismo Notificado, verifica la alineación con el RCR y recibe el certificado de aprobación del SGC.
3. Diseño del producto (por producto). Sigue el SGC aprobado para el diseño, realiza un examen de diseño, documenta el cumplimiento y permite las auditorías del Organismo Notificado sobre el proceso de diseño.
4. Producción. Sigue el SGC aprobado para la producción, documenta la conformidad y acepta las auditorías de vigilancia del Organismo Notificado.
5. Declaración (por producto). Firma la declaración UE de conformidad, referencia el certificado del SGC y aplica el marcado CE.
6. Seguimiento. Mantén el SGC, supera las auditorías de vigilancia del Organismo Notificado (habitualmente anuales) y recertifica el SGC (habitualmente cada 3 a 5 años).

Requisitos del SGC para el Módulo H

Tu sistema de gestión de la calidad debe cubrir cuatro áreas en paralelo. Las carencias en cualquiera de ellas bloquearán la certificación.

Costes del Módulo H

Configuración inicial: 40.000-100.000€ Coste anual continuo: 10.000-30.000€

Decisión Módulo H vs B+C

Regla general: el Módulo H resulta rentable con 4 o más productos, o cuando necesitarías realizar re-exámenes con frecuencia.

Marco de decisión

Paso 1: determinar la clasificación del producto

Usa la guía de clasificación de productos para determinar si tu producto es Por Defecto, Importante Clase I, Importante Clase II o Crítico.

Paso 2: identificar las opciones disponibles

El árbol de decisión al inicio de esta guía muestra la asignación completa. La tabla siguiente resume las mismas rutas en formato textual.

Paso 3: valorar los factores empresariales

El Paso 3 solo te ayuda a elegir entre los módulos que el Paso 2 ha dejado disponibles. El Anexo VIII del RCR hace que el Módulo A sea legalmente inalcanzable para Importante Clase I sin normas armonizadas, para Importante Clase II y para los productos Críticos. Las dos tablas siguientes se dividen según esa barrera, de modo que cada fila tenga una respuesta alcanzable en tu ruta.

Cuando los Módulos A, B+C y H están todos disponibles

Aplica a los productos Por Defecto y a los de Importante Clase I con normas armonizadas aplicadas completamente.

Cuando solo están disponibles los Módulos B+C y H

Aplica a Importante Clase I sin normas armonizadas, a Importante Clase II y a los productos Críticos. El Módulo A no es una opción legal para estas categorías independientemente del presupuesto o las restricciones de tiempo.

Esta segunda rama refleja la tabla «Decisión Módulo H vs B+C» presentada anteriormente en la guía. Donde ambas coinciden, tratalas como la misma decisión desde dos ángulos: la primera tabla pondera el coste, esta pondera la adecuación operativa.

Paso 4: calcular los costes

Escenario: 5 productos de Importante Clase II, sin SGC existente, horizonte de 5 años con 2 actualizaciones por producto.

Declaración UE de conformidad

Independientemente del módulo elegido, debes emitir una declaración UE de conformidad.

Contenido obligatorio de la declaración UE de conformidad

La declaración UE de conformidad para el Reglamento de Ciberresiliencia es el Reglamento (UE) 2024/2847. Toda declaración debe contener los ocho campos siguientes, seguidos del bloque de firma.

1. Identificación del producto. Nombre, tipo, lote y número(s) de serie del producto, con el detalle suficiente para garantizar la trazabilidad.
2. Nombre y dirección del fabricante. Entidad jurídica responsable de la declaración. Datos del representante autorizado, si procede.
3. Declaración de responsabilidad. «La presente declaración de conformidad se emite bajo la exclusiva responsabilidad del fabricante.»
4. Objeto de la declaración. Descripción del producto suficiente para garantizar la trazabilidad, incluida una fotografía o dibujo si el producto es físico.
5. Legislación de la Unión aplicable. Lista de todos los reglamentos con los que el producto cumple, empezando por el Reglamento (UE) 2024/2847 (Reglamento de Ciberresiliencia) y añadiendo cualquier otra legislación horizontal aplicable (DER, CEM, Maquinaria, etc.).
6. Normas armonizadas o especificaciones aplicadas. Lista de cada norma con número de versión. Si ninguna norma armonizada cubre parte del Anexo I, referencia la especificación o especificación común utilizada en su lugar.
7. Bloque del Organismo Notificado (Módulo B+C o H). Nombre del Organismo Notificado, número de identificación de cuatro dígitos, referencia del certificado, el módulo realizado y el número de certificado emitido. Omite este campo por completo en el Módulo A.
8. Información adicional. Fecha de fin del período de soporte, punto de contacto para la notificación de vulnerabilidades y cualquier otra información exigida por el RCR o la legislación aplicable.

Marcado CE

Tras la evaluación de la conformidad, aplica el marcado CE. La forma visual del marcado es fija. Lo que varía es si un número de cuatro dígitos del Organismo Notificado lo acompaña.

Requisitos del marcado CE

Colocación del marcado CE

Errores comunes

Cada uno de los cinco errores siguientes tiene la misma anatomía: un atajo tentador, una consecuencia grave y un hábito preventivo concreto.

Lista de verificación de la evaluación de la conformidad

Completa primero la tarjeta de pre-evaluación. Después completa solo las tarjetas del módulo que usa tu producto. Todos los productos terminan en la tarjeta de Finalización.

Próximos pasos

Este artículo es solo para fines informativos y no constituye asesoramiento legal. Para orientación específica sobre cumplimiento, consulta con asesores legales cualificados.