CRA Declaración UE de conformidad: plantilla y elementos

Cada producto con elementos digitales necesita una Declaración UE de conformidad antes de poder llevar legalmente el marcado CE. La DoC es tu declaración formal de que el producto cumple los requisitos del CRA. Eres legalmente responsable de su exactitud.

Esta guía proporciona una plantilla completa y explica cada elemento requerido.

¿Qué es la Declaración UE de conformidad?

La Declaración UE de conformidad es un documento legal formal en el que el fabricante declara que un producto cumple la legislación de la UE aplicable. Es obligatoria para todos los productos con elementos digitales antes de que puedan llevar el marcado CE. Para los productos CRA, debe establecer:

• El producto cumple los requisitos esenciales de ciberseguridad.
• La evaluación de conformidad ha sido completada.
• El fabricante asume la responsabilidad legal.

Sin una DoC firmada, tu producto no puede llevar el marcado CE y no puede comercializarse legalmente en el mercado de la UE.

¿Qué exige el CRA en la DoC?

La DoC debe redactarse antes de la introducción en el mercado, mantenerse actualizada conforme cambie el producto o su estado de conformidad, traducirse al idioma o idiomas requeridos por cada Estado miembro donde se comercialice el producto y conservarse junto al expediente técnico durante al menos diez años.

Elementos requeridos

#	Elemento	Qué incluir
1	Nombre y tipo del producto	Nombre, tipo y toda información adicional que permita la identificación única del producto con elementos digitales.
2	Identificación del fabricante	Nombre y dirección del fabricante o de su representante autorizado.
3	Declaración de responsabilidad exclusiva	Texto exacto: «La declaración UE de conformidad se emite bajo la exclusiva responsabilidad del proveedor.»
4	Objeto de la declaración	Identificación del producto que permita la trazabilidad, que puede incluir una fotografía cuando proceda.
5	Declaración de conformidad	Confirmar que el objeto es conforme con el Reglamento (UE) 2024/2847.
6	Normas y certificaciones aplicadas	Normas armonizadas, especificaciones comunes o certificaciones de ciberseguridad utilizadas.
7	Datos del organismo notificado	Nombre, número, procedimiento de evaluación de la conformidad realizado y referencia del certificado. Solo si se utilizó un módulo de evaluación por terceros.
8	Información adicional y firma	Lugar y fecha de emisión; nombre, cargo/función y firma del firmante (manuscrita o electrónica cualificada). Otra información adicional que proceda.

Cada fila se corresponde con el punto numerado equivalente del Anexo V.

Plantilla completa de DoC

Utiliza esta plantilla como punto de partida. Personaliza los campos entre corchetes para tu producto.

Orientación sección por sección

1. Identificación del documento

Número de declaración. No es obligatorio, pero se recomienda encarecidamente para el control de versiones. Un formato práctico es DoC-[CódigoProducto]-[Año]-[Secuencia], por ejemplo DoC-SSP3000-2027-001.

Fecha de emisión. La fecha en que firmas la declaración. Debe ser posterior a la finalización de la evaluación de conformidad.

2. Identificación del fabricante

El firmante es el fabricante: una persona autorizada para comprometerlo legalmente. El CRA permite, pero no exige por sí solo, designar un representante autorizado; cuando se designe uno, podrá figurar en la declaración y conservarla para las autoridades, pero el acto de declarar la conformidad recae en el fabricante (artículo 28). Si se nombra un representante autorizado, añade una línea como:

Representante autorizado: [Nombre, dirección]
en nombre de: [Nombre del fabricante, dirección]

3. Identificación del producto

Sé suficientemente específico para la trazabilidad: incluye números de modelo, números de versión de hardware y software por separado y el alcance del lote o número de serie.

Ejemplo:

Nombre del producto:  SmartSense Pro Industrial Sensor
Modelo/Tipo:          SSP-3000
Versión hardware:     Rev C (PCB v3.2)
Versión software:     Firmware 2.4.1
Lote/Serie:           Números de serie SSP3K-2027-XXXXXX

4. Evaluación de conformidad

El módulo que debes utilizar depende de la clasificación de tu producto. Usa esta tabla para orientarte:

Módulo	Cuándo aplica	¿Organismo notificado?
Módulo A (Internal Production Control)	Productos por defecto; Importante Clase I cuando se aplican íntegramente las normas, especificaciones o esquemas pertinentes	No
Módulo B+C (Examen de tipo UE)	Disponible para todos los productos; opción exigida para Importante Clase I cuando no se aplican íntegramente; una ruta para Importante Clase II y para críticos como alternativa	Sí
Módulo H (Full Quality Assurance)	Todos los productos; alternativa a B+C para Importante Clase I y II	Sí
EUCC / sistema de ciberseguridad	Productos que poseen un certificado europeo de ciberseguridad de nivel de garantía ≥ Sustancial (Artículo 27(9))	No se requiere evaluación adicional por terceros

Usa este diagrama de flujo para identificar tu ruta:

flowchart TD
    A["¿Cuál es la clase de tu producto?"] --> B["Por defecto\n(no Anexo III/IV)"]
    A --> C["Importante Clase I\n(Anexo III)"]
    A --> D["Importante Clase II\n(Anexo III)"]
    A --> E["Crítico\n(Anexo IV)"]
    B --> F["Módulo A, B+C o H\na tu elección"]
    C --> G{"¿Normas, especificaciones o\nesquema aplicados por completo?"}
    G -->|Sí| H["Módulo A disponible\no B+C / H"]
    G -->|No| I["Módulo B+C o H\nOrganismo notificado requerido"]
    D --> J["Módulo B+C, H o esquema de certificación\napplicable con nivel de garantía al menos sustancial"]
    E --> K["Ruta de certificación si aplica Article 8(1)\nsi no, rutas de Article 32(3)"]

5. Normas aplicadas

Las normas armonizadas son normas publicadas en el Diario Oficial de la UE. Crean una presunción de conformidad para los requisitos que cubren. Incluye la referencia completa: número, año, título.

Formato:

EN 303 645:2020, Cyber Security for Consumer Internet of Things: Baseline Requirements

Si no existen normas armonizadas, indica: «No se aplicaron normas armonizadas. La conformidad se demostró mediante [describir el enfoque].»

Si se utilizó un certificado europeo de ciberseguridad durante la evaluación de conformidad, inclúyelo con el nombre del sistema y la referencia del certificado (esto cubre el campo de certificación de la declaración).

6. Información adicional específica del CRA

Esta sección no forma parte de la plantilla mínima, pero incluirla mejora la transparencia regulatoria:

• Período de soporte. Indica cuándo finalizan las actualizaciones de seguridad. Debe ser como mínimo 5 años desde la introducción en el mercado, o el período de uso previsto si fuera menor.
• Contacto para vulnerabilidades. Dónde deben enviarse los informes, incluyendo una referencia a tu archivo security.txt.

7. Firma

Cualquier persona autorizada para comprometer legalmente al fabricante puede firmar. Habitualmente es el CEO, un director, el responsable de calidad o el responsable de asuntos regulatorios. La DoC debe llevar el nombre completo y el cargo del firmante, lugar y fecha (la fecha debe ser posterior a la finalización de la evaluación) y bien una firma manuscrita, bien una firma electrónica cualificada.

¿Cuándo debe aplicarse el marcado CE en relación con la Declaración UE de conformidad?

Para los productos físicos, coloca el marcado CE de forma visible, legible e indeleble en el producto antes de comercializarlo.

Para los productos solo de software, el marcado CE se coloca bien directamente en la Declaración UE de conformidad, bien en el sitio web del producto, en una sección fácil y directamente accesible para los usuarios.

¿Debe traducirse la DoC?

Sí. La DoC debe ponerse a disposición en el idioma o idiomas requeridos por cada Estado miembro en el que se comercialice el producto.

En la práctica:

• Venta solo en Alemania → se requiere una DoC en alemán.
• Venta en toda la UE → necesitarás múltiples versiones lingüísticas.
• Conserva todas las versiones lingüísticas en el expediente técnico.

La DoC simplificada y la URL que apunta a la DoC completa también deben estar en el idioma o idiomas requeridos. La URL en sí debe permanecer estable y accesible.

¿Necesita cada modelo o versión de producto su propia Declaración UE de conformidad?

Una DoC por tipo de producto

Cada modelo o tipo de producto distinto necesita generalmente su propia DoC.

Una única DoC puede cubrir varias variantes cuando son variantes del mismo tipo, se aplica la misma evaluación de conformidad a todas ellas y se aplicaron las mismas normas.

Ejemplo:

Nombre del producto:  SmartSense Pro Industrial Sensor
Modelo/Tipo:          SSP-3000 (todas las variantes)
                      - SSP-3000-WiFi
                      - SSP-3000-LoRa
                      - SSP-3000-Cellular

¿Cuándo exige una modificación una nueva DoC?

Escenario	¿Nueva DoC requerida?
Nueva versión de hardware que afecta a las características de seguridad	Sí, modificación sustancial
Actualización de firmware que introduce nuevas interfaces o nuevos vectores de amenaza	Sí, perfil de riesgo de ciberseguridad alterado
Actualización de firmware que cambia el uso previsto del producto	Sí, modificación sustancial
Parche de seguridad (misma arquitectura, sin nuevo riesgo, reduce CVEs)	Caso a caso
Cambio en las normas armonizadas aplicadas o en el certificado de evaluación de conformidad	Sí
Cambio cosmético, únicamente de documentación o de localización	No
Un tercero modifica sustancialmente el producto y lo comercializa	Sí, el tercero emite la nueva DoC como nuevo fabricante

Para las publicaciones iterativas de software que no sean modificaciones sustanciales, la DoC existente sigue siendo válida. Debes poder demostrarlo ante las autoridades de vigilancia del mercado, y la actualización de la evaluación de riesgos es la forma de hacerlo.

Distribución de la DoC

La DoC debe acompañar al producto. Puedes elegir entre:

• la DoC completa, o
• una DoC simplificada que lleve la dirección exacta de internet donde se publica la DoC completa.

Cualquiera de las dos formas también debe proporcionarse a petición de las autoridades de vigilancia del mercado, y debería estar disponible para los clientes a petición.

Declaración UE de conformidad simplificada

La forma simplificada consta de dos frases: la declaración del fabricante y una URL donde puede encontrarse el documento completo. Resulta especialmente útil para distribuciones de software, hardware con espacio de embalaje limitado y cualquier producto cuya DoC completa esté publicada en línea.

Requisitos para la URL: estable (no la cambies una vez los productos hayan sido distribuidos), accesible sin registro ni inicio de sesión, y la página debe permitir descargar o imprimir la DoC. La DoC completa debe seguir existiendo en el expediente técnico y estar disponible para las autoridades a petición.

Errores comunes

Error	Por qué importa	Solución
Elementos requeridos ausentes (p. ej., no se indica el módulo de evaluación de conformidad)	La DoC no es conforme	Usa la lista de verificación antes de firmar; comprueba cada punto del Anexo V
Entidad incorrecta firma (el importador o distribuidor firma en lugar del fabricante)	La DoC es legalmente inválida	Solo el fabricante (una persona autorizada para comprometerlo legalmente) puede firmar; un importador o distribuidor no puede hacerlo salvo que se haya convertido en fabricante
Referencias a normas desactualizadas (se listan normas retiradas o sustituidas)	Se pierde la presunción de conformidad	Revisa regularmente las normas aplicadas; actualiza la DoC cuando cambien las normas
Sin control de versiones (existen múltiples versiones de la DoC sin una versión actual clara)	Riesgo de auditoría y aplicación	Asigna números de declaración; archiva las versiones sustituidas
Firma antes de completar la evaluación (la DoC está fechada antes de que finalizaran las actividades de conformidad)	La DoC es anterior a la evidencia en la que se apoya	Completa todas las actividades de evaluación primero; la fecha de la DoC debe ser posterior a la evaluación
Idioma incorrecto (la DoC solo en inglés cuando se vende en un Estado miembro no anglófono)	No conforme para ese mercado	Traduce la DoC al idioma de cada Estado miembro requerido
Sin actualización tras una modificación sustancial (la DoC original sigue en uso tras un cambio material)	La DoC cubre una versión para la que nunca fue evaluada	Emite una nueva DoC siempre que se produzca una modificación sustancial

Lista de verificación de preparación de la DoC

Variaciones de plantilla de DoC

Para Módulo A (autoevaluación)

Para Módulo B+C (terceros)

Para múltiples reglamentos

Se permite una única DoC combinada cuando un producto está sujeto tanto al CRA como a otra legislación de la UE:

Requisitos de retención

Qué conservar	Período de retención	Dónde
DoC firmada (o copia autenticada)	10 años desde la introducción en el mercado, o el período de soporte si fuera más largo	Expediente técnico; accesible a las autoridades a petición
Historial de versiones y DoCs sustituidas	Junto a la DoC actual	Expediente técnico
Documentación de respaldo referenciada en la DoC	Junto a la DoC	Expediente técnico