CRA Declaración UE de conformidad: plantilla y elementos

Todo producto con elementos digitales necesita una Declaración UE de conformidad antes de poder llevar legalmente el marcado CE. La DoC es tu declaración formal de que el producto cumple los requisitos del CRA. Eres responsable legal de su exactitud.

Esta guía incluye una plantilla completa y explica cada elemento obligatorio.

¿Qué es la Declaración UE de conformidad?

La Declaración UE de conformidad es un documento legal formal en el que el fabricante declara que un producto cumple la legislación de la UE aplicable. Es obligatoria para todos los productos con elementos digitales antes de que puedan llevar el marcado CE. Para los productos CRA, debe indicar:

• El producto cumple los requisitos esenciales de ciberseguridad.
• La evaluación de la conformidad se ha completado.
• El fabricante asume la responsabilidad legal.

Sin una DoC firmada, tu producto no puede llevar el marcado CE ni comercializarse legalmente en el mercado de la UE.

¿Qué exige el CRA en la DoC?

La DoC debe redactarse antes de la puesta en el mercado, mantenerse actualizada a medida que cambien el producto o su estado de conformidad, traducirse al idioma o los idiomas que exija cada Estado miembro donde se venda el producto, y conservarse junto al expediente técnico durante al menos diez años.

Elementos obligatorios

#	Elemento	Qué incluir
1	Nombre y tipo del producto	Nombre, tipo y cualquier información adicional que permita identificar de forma inequívoca el producto con elementos digitales.
2	Identificación del fabricante	Nombre y dirección del fabricante o de su representante autorizado.
3	Declaración de responsabilidad exclusiva	Una declaración que indique que la DoC se emite bajo la exclusiva responsabilidad del proveedor. No es una frase textual obligatoria: basta con que ese sentido quede recogido. La plantilla más abajo incluye una redacción que lo cumple.
4	Objeto de la declaración	Identificación del producto que permita su trazabilidad, que puede incluir una fotografía cuando proceda.
5	Declaración de conformidad	Una declaración de que el objeto es conforme con la legislación de armonización de la Unión pertinente, incluidos el Reglamento (UE) 2024/2847 y cualquier otro acto de la UE aplicable.
6	Normas y certificaciones aplicadas	Normas armonizadas, especificaciones comunes o certificaciones de ciberseguridad en las que te has basado.
7	Datos del organismo notificado	Nombre, número, procedimiento de evaluación de la conformidad realizado y referencia del certificado. Solo cuando se ha utilizado un módulo de evaluación por un tercero.
8	Información adicional y firma	Lugar y fecha de emisión; nombre, cargo y firma del firmante (por ejemplo manuscrita o electrónica cualificada). Cualquier otra información adicional que sea necesaria.

Cada fila corresponde al elemento con el mismo número en la plantilla de declaración UE.

Plantilla completa de DoC

Utilízala como punto de partida. Personaliza los campos entre corchetes para tu producto.

Orientación sección por sección

1. Identificación del documento

Número de declaración. No es obligatorio, pero se recomienda encarecidamente para el control de versiones. Un formato práctico es DoC-[CódigoProducto]-[Año]-[Secuencia], por ejemplo DoC-SSP3000-2027-001.

Fecha de emisión. La fecha en que firmas la declaración. Debe ser posterior a la finalización de la evaluación de la conformidad.

2. Identificación del fabricante

El firmante es una persona autorizada para comprometer legalmente al fabricante. El CRA no exige por sí mismo nombrar un representante autorizado. Cuando se nombra uno y su mandato cubre estas tareas, el representante autorizado puede redactar y firmar la Declaración UE de conformidad y colocar el marcado CE en nombre del fabricante y bajo su responsabilidad. El fabricante sigue siendo el responsable legal de la conformidad del producto. Si actúa un representante autorizado, añade una línea como esta:

Representante autorizado: [Nombre, dirección]
en nombre de: [Nombre del fabricante, dirección]

3. Identificación del producto

Sé suficientemente específico para la trazabilidad: incluye números de modelo, versiones de hardware y software por separado y el alcance del lote o número de serie.

Ejemplo:

Nombre del producto:  SmartSense Pro Industrial Sensor
Modelo/Tipo:          SSP-3000
Versión hardware:     Rev C (PCB v3.2)
Versión software:     Firmware 2.4.1
Lote/Serie:           Números de serie SSP3K-2027-XXXXXX

4. Evaluación de conformidad

El módulo que debes utilizar depende de la clasificación de tu producto. Usa esta tabla para orientarte:

Módulo	Cuándo se aplica	¿Organismo notificado?
Módulo A (control interno)	Productos por defecto; producto importante de clase I cuando las normas, especificaciones o el esquema pertinentes se aplican por completo	No
Módulo B+C (examen de tipo UE)	Disponible para todos los productos; opción exigida para los productos importantes de clase I cuando no se aplican por completo; una de las rutas para los productos importantes de clase II y también para los críticos como alternativa	Sí
Módulo H (aseguramiento de calidad total)	Todos los productos; alternativa al B+C para los productos importantes de clase I y de clase II	Sí
Esquema EUCC / de ciberseguridad	Cuando hay disponible un esquema europeo de certificación de la ciberseguridad aplicable, con un certificado de nivel de garantía ≥ Sustancial	Elimina la obligación de evaluación por terceros, pero solo para los requisitos que cubre el certificado
Software libre y de código abierto	Productos de software libre y de código abierto que califican, dentro de las clases de productos importantes	Puede usar cualquier ruta del Módulo A, B+C o H, incluido el Módulo A, si la documentación técnica es pública en el momento de la puesta en el mercado

Usa este diagrama de flujo para identificar tu ruta:

flowchart TD
    A["¿Cuál es la clase de tu producto?"] --> B["Por defecto
(no está en ninguna lista)"]
    A --> C["Importante de clase I
(clase listada)"]
    A --> D["Importante de clase II
(clase listada)"]
    A --> E["Crítico
(lista de críticos)"]
    B --> F["Módulo A, B+C o H
a tu elección"]
    C --> G{"¿Normas, especificaciones o
esquema aplicados por completo?"}
    G -->|Sí| H["Módulo A disponible
o B+C / H"]
    G -->|No| I["Módulo B+C o H
organismo notificado obligatorio"]
    D --> J["Módulo B+C, H o un esquema de certificación
de nivel al menos sustancial"]
    E --> K["Ruta de certificación si está disponible
si no, rutas de evaluación por terceros"]

5. Normas aplicadas

Las normas armonizadas son normas publicadas en el Diario Oficial de la UE. Crean una presunción de conformidad para los requisitos que cubren. Incluye la referencia completa: número, año, título.

Formato:

EN 303 645:2020, Cyber Security for Consumer Internet of Things: Baseline Requirements

Si no existen normas armonizadas, indica: «No se aplicaron normas armonizadas. La conformidad se demostró mediante [describir el enfoque].»

Si se utilizó un certificado europeo de ciberseguridad durante la evaluación de la conformidad, inclúyelo con el nombre del esquema y la referencia del certificado (esto cubre el campo de certificación de la declaración).

6. Información adicional específica del CRA

Esta sección no forma parte de la plantilla mínima, pero incluirla mejora la transparencia regulatoria:

• Período de soporte. Indica cuándo terminan las actualizaciones de seguridad. Debe ser de al menos 5 años desde la puesta en el mercado, o el período de uso previsto si es menor.
• Contacto para vulnerabilidades. Dónde deben enviarse los avisos, incluyendo una referencia a tu archivo security.txt.

7. Firma

Puede firmar cualquier persona autorizada para comprometer legalmente al fabricante. Normalmente es el CEO, un director, el responsable de calidad o el responsable de asuntos regulatorios. La DoC debe llevar el nombre completo y el cargo del firmante, lugar y fecha (la fecha debe ser posterior a la finalización de la evaluación) y una firma, por ejemplo manuscrita o electrónica cualificada.

¿Cuándo debe aplicarse el marcado CE en relación con la Declaración UE de conformidad?

Para los productos físicos, coloca el marcado CE de forma visible, legible e indeleble en el producto antes de comercializarlo. Cuando esto no sea posible o no esté justificado por la naturaleza del producto, colócalo en el embalaje y en la Declaración UE de conformidad en su lugar.

Para los productos solo de software, el marcado CE se coloca bien directamente en la Declaración UE de conformidad, bien en el sitio web del producto, en una sección fácil y directamente accesible para los consumidores.

Cuando interviene un organismo notificado en el marco del Módulo H, el marcado CE va seguido del número de identificación de ese organismo.

¿Debe traducirse la DoC?

Sí. La DoC debe ponerse a disposición en el idioma o los idiomas que exija cada Estado miembro en el que se comercialice el producto.

En la práctica:

• Venta solo en Alemania → se necesita una DoC en alemán.
• Venta en toda la UE → necesitarás varias versiones lingüísticas.
• Conserva todas las versiones lingüísticas en el expediente técnico.

La DoC simplificada y la URL que apunta a la DoC completa también deben estar en el idioma o los idiomas exigidos. Mantener la URL estable y accesible es una buena práctica.

¿Necesita cada modelo o versión de producto su propia Declaración UE de conformidad?

Una DoC por tipo de producto

Cada modelo o tipo de producto distinto necesita, por lo general, su propia DoC.

Una única DoC puede cubrir varias variantes cuando son variantes del mismo tipo, se les aplica la misma evaluación de la conformidad y se aplicaron las mismas normas.

Ejemplo:

Nombre del producto:  SmartSense Pro Industrial Sensor
Modelo/Tipo:          SSP-3000 (todas las variantes)
                      - SSP-3000-WiFi
                      - SSP-3000-LoRa
                      - SSP-3000-Cellular

¿Cuándo exige una modificación una nueva DoC?

La tabla siguiente muestra los resultados habituales. Aplica el criterio legal anterior en vez de dar por automático cualquier desencadenante concreto.

Escenario	¿Nueva DoC obligatoria?
Nueva versión de hardware que afecta al cumplimiento de los requisitos esenciales	Sí, modificación sustancial
Actualización de firmware que amplía la superficie de ataque o aumenta el riesgo de ciberseguridad	Sí, modificación sustancial
Actualización de firmware que cambia la finalidad prevista del producto	Sí, modificación sustancial
Parche de seguridad (misma arquitectura, sin riesgo nuevo, reduce CVEs)	Caso a caso
Cambio en las normas armonizadas aplicadas o en el certificado de evaluación de la conformidad	Caso a caso, solo si refleja un cambio que afecta a los requisitos esenciales o a la finalidad prevista evaluada
Cambio cosmético, solo de documentación o de localización	No
Un tercero modifica sustancialmente el producto y lo comercializa	Sí, el tercero emite la nueva DoC como nuevo fabricante

Para las versiones iterativas de software que no sean modificaciones sustanciales, la DoC existente sigue siendo válida. Debes poder demostrarlo ante las autoridades de vigilancia del mercado, y la actualización de la evaluación de riesgos es la forma de hacerlo.

Distribución de la DoC

La DoC debe acompañar al producto. Puedes elegir entre:

• la DoC completa, o
• una DoC simplificada con la dirección exacta de internet donde está publicada la DoC completa.

Cualquiera de las dos formas debe entregarse también a petición de las autoridades de vigilancia del mercado, y debería estar disponible para los clientes que la soliciten.

Declaración UE de conformidad simplificada

La forma simplificada consta de dos frases: la declaración del fabricante y una URL donde puede encontrarse el documento completo. Resulta especialmente útil para distribuciones de software, hardware con poco espacio de embalaje y cualquier producto cuya DoC completa esté publicada en línea.

Sobre la URL: el CRA exige únicamente que la DoC simplificada incluya la dirección exacta de internet donde se puede consultar la DoC completa. Como buena práctica, no un requisito legal, mantén esa URL estable (no la cambies una vez distribuidos los productos), accesible sin registro ni inicio de sesión, y descargable o imprimible. La DoC completa debe seguir existiendo en el expediente técnico y estar disponible para las autoridades a petición.

Errores comunes

Error	Por qué importa	Solución
Faltan elementos obligatorios (por ejemplo, no hay declaración de conformidad, o faltan los datos del organismo notificado cuando intervino uno)	La DoC no es conforme	Repasa la lista de verificación antes de firmar; comprueba cada elemento obligatorio de la declaración
Firma la entidad equivocada (el importador o distribuidor firma en lugar del fabricante)	La DoC es legalmente inválida	Firma una persona autorizada para comprometer al fabricante, o un representante autorizado con mandato para ello. Un importador o distribuidor no puede firmar, salvo que se haya convertido en fabricante
Referencias a normas desactualizadas (se listan normas retiradas o sustituidas)	Se pierde la presunción de conformidad	Revisa periódicamente las normas aplicadas; actualiza la DoC cuando cambien
Sin control de versiones (existen varias versiones de la DoC sin que quede clara cuál es la vigente)	Riesgo de auditoría y de sanciones	Asigna números de declaración; archiva las versiones sustituidas
Firma antes de completar la evaluación (la DoC está fechada antes de terminar las actividades de conformidad)	La DoC es anterior a la evidencia en la que se apoya	Completa primero toda la evaluación; la fecha de la DoC debe ser posterior
Idioma incorrecto (la DoC solo en inglés al vender en un Estado miembro no anglófono)	No es conforme para ese mercado	Traduce la DoC al idioma de cada Estado miembro exigido
Sin actualización tras una modificación sustancial (sigue en uso la DoC original después de un cambio material)	La DoC cubre una versión para la que nunca se evaluó	Emite una nueva DoC siempre que haya una modificación sustancial

Lista de verificación de preparación de la DoC

Variaciones de plantilla de DoC

Para Módulo A (autoevaluación)

Para Módulo B+C (terceros)

Para varios reglamentos

Se requiere una única DoC combinada cuando un producto está sujeto al CRA y a otra legislación de la UE que también exija una declaración de conformidad. Debe identificar cada acto, incluida su referencia de publicación:

Requisitos de retención

Qué conservar	Período de retención	Dónde
DoC firmada (o copia autenticada)	10 años desde la puesta en el mercado, o el período de soporte si es más largo	Expediente técnico; accesible a las autoridades a petición
Historial de versiones y DoC sustituidas	Junto a la DoC actual	Expediente técnico
Documentación de respaldo referenciada en la DoC	Junto a la DoC	Expediente técnico