La aplicación comienza en diciembre de 2027

Reglamento de Ciberresiliencia de la UE (CRA)

El Reglamento UE 2024/2847 establece requisitos de ciberseguridad para productos con elementos digitales. Esto es lo que necesita saber.

¿Qué es el Reglamento de Ciberresiliencia?

El CRA exige a las empresas documentar su cadena de suministro de software, monitorizar vulnerabilidades durante el ciclo de vida del producto y mantener archivos técnicos durante 10 años. Es mucho papeleo.

Publicado como Reglamento (UE) 2024/2847, cubre productos de hardware y software vendidos en la UE: dispositivos IoT, sistemas de control industrial, software independiente y más.

El reglamento exige Listas de Materiales de Software (SBOMs), procesos de manejo de vulnerabilidades, evaluaciones de riesgos y documentación técnica. Para productos de hardware, también se requieren HBOMs. Los documentos VEX comunican el estado de vulnerabilidades a los usuarios posteriores.

Fechas Clave de Cumplimiento

11 de septiembre de 2026

Comienza el Reporte de Vulnerabilidades

Los fabricantes deben reportar vulnerabilidades activamente explotadas a ENISA y autoridades nacionales dentro de las 24 horas de tener conocimiento. Los informes detallados deben entregarse en 72 horas.

11 de diciembre de 2027

Aplicación Completa del CRA

Todos los productos con elementos digitales deben cumplir con los requisitos esenciales de ciberseguridad. Los productos no conformes no pueden venderse en el mercado de la UE.

Sanciones por Incumplimiento

El CRA introduce sanciones financieras significativas por incumplimiento. Las autoridades de vigilancia del mercado también pueden ordenar retiradas de productos y prohibir ventas en el mercado de la UE.

€15M
o 2.5% facturación global
Requisitos esenciales
€10M
o 2% facturación global
Otras obligaciones
€5M
o 1% facturación global
Información engañosa

Clasificación de Productos

El CRA categoriza los productos según su nivel de riesgo de ciberseguridad. Los productos de mayor riesgo enfrentan requisitos de evaluación de conformidad más estrictos.

Categoría Ejemplos Evaluación de Conformidad
Predeterminado La mayoría de aplicaciones de software, dispositivos IoT, electrónica de consumo Autoevaluación permitida
Importante Clase I Gestión de identidad, navegadores, gestores de contraseñas, VPNs, gestión de redes Autoevaluación si se utilizan normas armonizadas; de lo contrario, evaluación de terceros
Importante Clase II Hipervisores, entornos de ejecución de contenedores, cortafuegos, detección de intrusiones, elementos seguros Se requiere evaluación de conformidad por terceros
Crítico Módulos de seguridad de hardware, lectores de tarjetas inteligentes, sistemas de arranque seguro Requisitos más estrictos (Anexo IV)

Requisitos de Documentación (Anexo VII)

Los fabricantes deben compilar y mantener documentación técnica que demuestre el cumplimiento de los requisitos esenciales. Esta documentación debe conservarse durante al menos 10 años después de que el producto se coloque en el mercado.

Listas de Materiales (SBOM/HBOM)

SBOMs que enumeran todos los componentes de software y dependencias. Para productos de hardware, los HBOMs enumeran los componentes de hardware. Los documentos VEX comunican el estado de vulnerabilidades. Deben seguir los estándares CycloneDX o SPDX según TR-03183.

Evaluación de Riesgos

Evaluación de riesgos de ciberseguridad que cubra amenazas potenciales, vulnerabilidades y las medidas tomadas para abordarlas.

Declaración UE de Conformidad

Una declaración formal de que el producto cumple con todos los requisitos CRA aplicables, firmada por un representante autorizado.

Documentación de Usuario

Instrucciones para instalación, operación y mantenimiento seguros. Debe incluir información sobre el período de soporte y actualizaciones de seguridad.

Política de Gestión de Vulnerabilidades

Proceso documentado para identificar, rastrear y remediar vulnerabilidades. Debe incluir procedimientos de divulgación coordinada.

Informes de Pruebas

Evidencia de pruebas de seguridad, incluyendo pruebas de penetración, revisiones de código y verificación de requisitos esenciales.

Reporte de Vulnerabilidades a ENISA

A partir de septiembre de 2026, los fabricantes deben notificar a ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a su CSIRT nacional sobre vulnerabilidades activamente explotadas, siguiendo plazos estrictos.

No reportar dentro de los plazos requeridos puede resultar en sanciones significativas y daño reputacional.

Dentro de 24 Horas

Alerta Temprana - Notificación inicial de una vulnerabilidad activamente explotada o incidente grave. Información básica sobre la amenaza.

Dentro de 72 Horas

Informe Detallado - Detalles técnicos, productos afectados, evaluación de gravedad y pasos iniciales de remediación.

Dentro de 14 Días

Informe Final (Vulnerabilidades) - Análisis completo, causa raíz, remediación completa y lecciones aprendidas.

Dentro de 1 Mes

Informe Final (Incidentes) - Para incidentes de seguridad graves, se requiere un informe final dentro de un mes.

Cómo Ayuda CRA Evidence

El CRA se aplica de forma diferente dependiendo de su rol en la cadena de suministro. CRA Evidence se adapta a cada uno.

Diagrama de la cadena de suministro CRA que muestra los roles de fabricante, importador y distribuidor Diagrama de la cadena de suministro CRA que muestra los roles de fabricante, importador y distribuidor

Las obligaciones CRA varían según el rol en la cadena de suministro

Fabricantes

El artículo 13 impone las mayores obligaciones: SBOM, gestión de vulnerabilidades, actualizaciones de seguridad y documentación técnica.

  • Validación de SBOM (TR-03183)
  • Monitoreo de vulnerabilidades
  • Exportación de archivo técnico
  • Declaración de Conformidad

Importadores

El artículo 19 le hace responsable de verificar el cumplimiento del fabricante antes de vender en la UE.

  • Listas de verificación
  • Seguimiento de fabricantes
  • Almacenamiento de evidencias
  • Rastro de auditoría

Distribuidores

Las obligaciones del Artículo 20 son más ligeras: verificar marcado CE y gestionar correctamente los productos no conformes.

  • Listas de diligencia debida
  • Seguimiento de proveedores
  • Verificación CE
  • Escalada de incidentes

Empieza a prepararte ahora

Diciembre de 2027 está más cerca de lo que parece. Prepare sus productos y documentación.