¿Qué son las normas armonizadas CRA? Estado y seguimiento

Las normas armonizadas son las especificaciones técnicas que convierten los amplios requisitos del Anexo I del Reglamento de Ciberresiliencia en disposiciones concretas y verificables. Esta página explica qué son y hace el seguimiento de cada borrador bajo el mandato de normalización M/606 de la Comisión Europea: la categoría de producto, el organismo que lo redacta, su estado actual y un enlace a cada borrador público.

Qué es una norma armonizada

El Reglamento de Ciberresiliencia fija sus requisitos esenciales de ciberseguridad en términos jurídicos amplios. Una norma armonizada es una especificación técnica, redactada por un organismo europeo de normalización a petición de la Comisión Europea, que convierte esos requisitos en disposiciones concretas y verificables.

Una norma armonizada solo tiene efecto jurídico una vez que la Comisión publica su referencia en el Diario Oficial de la Unión Europea (DOUE). A partir de ese momento, un producto conforme con la norma se presume que cumple los requisitos que esa norma regula. En la práctica, esto hace dos cosas:

• da a los fabricantes una forma reconocida y auditable de demostrar la conformidad; y
• para los productos importantes de clase I, aplicar una norma armonizada publicada permite al fabricante autoevaluarse mediante control interno en lugar de recurrir a un organismo notificado. No elimina la evaluación por terceros que necesitan los productos de clase II y los críticos, y los productos ordinarios fuera de esos niveles ya pueden autoevaluarse por su cuenta.

Las normas armonizadas son una de las tres rutas hacia esa presunción. Un certificado en el marco de un esquema europeo de certificación de la ciberseguridad es otra, en virtud del artículo 27(8), aunque todavía no hay ningún esquema reconocido para el CRA.

Estado, a 2 de octubre de 2026: ninguna norma armonizada del CRA tiene su referencia publicada en el Diario Oficial. EN 40000-1-1 y EN 40000-1-2 han superado la votación formal de CEN-CENELEC, y su ratificación como EN está prevista para el 2 de noviembre de 2026. CEN-CENELEC no espera que ninguna de las dos se cite en el Diario Oficial. Los 17 borradores específicos de producto de ETSI están en el procedimiento de aprobación de ETSI, y todas las demás normas de las tablas siguientes siguen siendo borradores. Por tanto, la presunción de conformidad basada en normas del Artículo 27(1) todavía no está disponible. La aprobación, la ratificación como EN y la cita en el Diario Oficial son hitos independientes, y solo la cita da la presunción. Usa los borradores para anticipar los requisitos, no como base acabada para la conformidad.

Normas horizontales y verticales

La Comisión adopta un enfoque de dos vertientes, de modo que cada borrador de norma pertenece a uno de dos tipos:

• Las normas horizontales fijan un marco común, una metodología y una taxonomía, y se aplican a todos los productos con elementos digitales.
• Las normas verticales (también llamadas específicas de producto) cubren los riesgos concretos de un tipo de producto, por ejemplo routers o software antivirus.

Los tres tipos de norma y sus plazos

El mandato de normalización M/606 organiza el trabajo en tres tipos. Los plazos de la tabla son plazos de entrega: la fecha en que cada organismo de normalización debe entregar su norma a la Comisión. No son fechas de publicación. Una norma solo activa la presunción de conformidad del Artículo 27 cuando su referencia aparece en el Diario Oficial, lo cual ocurre después de la entrega según un calendario que la Comisión aún no ha fijado.

Algunos aspectos que la tabla no detalla:

• Tipo A, marco general: el principio central del Anexo I es «Los productos con elementos digitales se diseñarán, desarrollarán y producirán de manera que garanticen un nivel adecuado de ciberseguridad sobre la base de los riesgos existentes.» CEN-CENELEC no registra ninguna cita prevista en el Diario Oficial para EN 40000-1-2. Fija el marco y el método de gestión de riesgos, pero no da presunción de conformidad.
• Tipo B, gestión de vulnerabilidades: parte de los trabajos existentes de ISO/IEC y cubre el proceso completo, desde el descubrimiento y la clasificación hasta la corrección.
• Tipo C, específica de producto: debe mantenerse coherente con el tipo A y el tipo B, y se aplica tanto a las categorías de productos importantes como a las críticas.

El tipo A y el tipo B forman las partes horizontales EN 40000-1. El tipo C comprende todas las normas de producto de las tablas por nivel que figuran más abajo, incluidas las normas de producto de CEN EN 40000-10 y EN 40000-11.

Cómo se están desarrollando las normas

La Comisión pidió a CEN, CENELEC y ETSI que redactaran estas normas mediante el mandato de normalización M/606, emitido mediante la Decisión de Ejecución de la Comisión C(2025) 618 final (3 de febrero de 2025):

• ETSI (comité técnico CYBER, CYBER-EUSR) está redactando las normas para la mayoría de las categorías de software importante y de productos conectados. Estas llevan referencias EN 304 6xx y son las que más han avanzado; sus borradores son públicos en la carpeta de consulta abierta ETSI CYBER-EUSR, con el historial de proyecto en los repositorios ETSI Labs STAN4CRA, y se enlazan individualmente más abajo.
• CEN y CENELEC están redactando las normas horizontales (las partes EN 40000-1), los perfiles de tecnología operativa (serie EN 50770), las normas de plataforma de chips y elemento seguro (EN 40001-3 a EN 40004-3) y los trabajos sobre identidad, cajas de seguridad y tarjetas inteligentes de CEN/TC 224 (EN 40000-10, EN 40000-11 y EN 18330). Estas no tienen una única carpeta pública. Su estado se sigue a través de la matriz de proyectos de normalización CRA de DIN/DKE, la búsqueda de normas de CEN/CENELEC y los trabajos técnicos de STAN4CRA.

Un borrador pasa por versiones del grupo de trabajo y una consulta pública CEN (en el caso de ETSI, una consulta abierta y una votación de aprobación), y después se ratifica como EN. CEN-CENELEC puede saltarse una votación formal independiente y publicar directamente tras una consulta favorable. La ratificación tampoco es la meta: la Comisión debe luego citar la referencia en el Diario Oficial, y solo esa cita activa la presunción de conformidad. A 2 de octubre de 2026, EN 40000-1-1 y EN 40000-1-2 han superado la votación formal, y su ratificación está prevista para el 2 de noviembre de 2026. Los 17 borradores de ETSI específicos de producto están en el procedimiento de aprobación de ETSI. Ninguna norma de esta página está todavía ratificada ni citada en el Diario Oficial. La Comisión no ha confirmado un calendario de citas en el Diario Oficial.

Cómo leer el estado

Las tablas siguientes se agrupan por nivel de conformidad del CRA. Las normas horizontales se aplican a todos los productos; las normas verticales (específicas de producto) se dividen en Importante de clase I, Importante de clase II y Crítico, porque el nivel decide la ruta de conformidad. La referencia de la norma indica quién la redacta:

• EN 304 6xx: ETSI.
• EN 40000-1-x: CEN-CLC/JTC 13.
• EN 40000-10, EN 40000-11 y EN 18330: CEN/TC 224.
• EN 50770: perfiles de tecnología operativa de CLC/TC 65X que acompañan a las normas de ETSI para las mismas funciones.
• EN 40001-3 a EN 40004-3: CLC/TC 47X. Sustituyen a las referencias de proyecto anteriores EN 50765, EN 50766, EN 50764 y EN 50767, en ese orden.

Ninguna norma ha alcanzado todavía «Aprobada (EN ratificada)» ni «Publicada en el DOUE». EN 40000-1-1 y EN 40000-1-2 están en «Aprobada en votación formal», con la ratificación prevista para el 2 de noviembre de 2026. El estado refleja la evidencia pública más reciente en la fecha indicada al inicio de esta página.

Normas horizontales: la serie EN 40000

Las partes EN 40000-1, redactadas por CEN-CLC/JTC 13, se aplican a todos los productos con elementos digitales, además de cualquier norma vertical (específica de producto) de las secciones siguientes. EN 40000-10 y EN 40000-11 son normas de producto de CEN/TC 224 y figuran en las tablas por nivel.

La base de datos de CEN-CENELEC registra «No citation expected for Directive 2024/2847» para EN 40000-1-1 y EN 40000-1-2. Una norma da presunción de conformidad solo cuando su referencia se cita en el Diario Oficial. Por eso estas dos partes fijan el vocabulario común y el método de gestión de riesgos, pero no abren por sí solas una ruta de conformidad. EN 40000-1-3 figura con cita prevista.

Productos importantes: clase I

Cubren las categorías de clase I del Anexo III. Aplicar una norma armonizada publicada permite a un fabricante de clase I autoevaluarse mediante control interno; sin ella, la conformidad debe demostrarse de otra forma.

Productos importantes: clase II

Los productos de clase II siempre necesitan evaluación por terceros (organismo notificado); una norma armonizada no les desbloquea la autoevaluación.

Productos críticos

Los productos críticos (Anexo IV) deben usar un esquema europeo de certificación de la ciberseguridad cuando se exija, o bien las mismas rutas de terceros que la clase II. Una norma armonizada no elimina ese requisito. Las entradas 39, 40 y 41 se desarrollan en un entorno restringido porque cubren productos críticos sensibles. Por eso sus borradores no son públicos.