¿Qué son las normas armonizadas CRA? Estado y seguimiento

Las normas armonizadas son las especificaciones técnicas que convierten los amplios requisitos del Anexo I del Reglamento de Ciberresiliencia en disposiciones concretas y verificables. Esta página explica qué son y hace el seguimiento de cada borrador bajo el mandato de normalización M/606 de la Comisión Europea: la categoría de producto, el organismo que lo redacta, su estado actual y un enlace a cada borrador público.

Qué es una norma armonizada

El Reglamento de Ciberresiliencia fija sus requisitos esenciales de ciberseguridad en términos jurídicos amplios. Una norma armonizada es una especificación técnica, redactada por un organismo europeo de normalización a petición de la Comisión Europea, que convierte esos requisitos en disposiciones concretas y verificables.

Una norma armonizada solo tiene efecto jurídico una vez que la Comisión publica su referencia en el Diario Oficial de la Unión Europea (DOUE). A partir de ese momento, un producto conforme con la norma se presume que cumple los requisitos que esa norma regula. En la práctica, esto hace dos cosas:

• da a los fabricantes una forma reconocida y auditable de demostrar la conformidad; y
• para los productos importantes de clase I, aplicar una norma armonizada publicada permite al fabricante autoevaluarse mediante control interno en lugar de recurrir a un organismo notificado. No elimina la evaluación por terceros que necesitan los productos de clase II y los críticos, y los productos ordinarios fuera de esos niveles ya pueden autoevaluarse por su cuenta.

Las normas armonizadas son una de las tres rutas hacia esa presunción. Un certificado en el marco de un esquema europeo de certificación de la ciberseguridad es otra, en virtud del artículo 27(8), aunque todavía no hay ningún esquema reconocido para el CRA.

Estado, a 13 de agosto de 2026: todavía no se ha aprobado ninguna norma armonizada del CRA ni se ha publicado su referencia en el Diario Oficial. Los 17 borradores específicos de producto de ETSI están en consulta pública, que es la primera fase de su procedimiento de aprobación, no el final. Todas las normas de las tablas siguientes siguen siendo borradores, por lo que la presunción de conformidad no está disponible para ninguna categoría de producto. La aprobación (ratificación como EN) y la cita en el Diario Oficial, que es independiente, son dos hitos posteriores, y nada ha alcanzado ninguno de los dos; se espera que las primeras normas se entreguen en el segundo semestre de 2026, y la cita llegará después. Usa los borradores para anticipar los requisitos, no como base acabada para la conformidad.

Normas horizontales y verticales

La Comisión adopta un enfoque de dos vertientes, de modo que cada borrador de norma pertenece a uno de dos tipos:

• Las normas horizontales fijan un marco común, una metodología y una taxonomía, y se aplican a todos los productos con elementos digitales.
• Las normas verticales (también llamadas específicas de producto) cubren los riesgos concretos de un tipo de producto, por ejemplo routers o software antivirus.

Los tres tipos de norma y sus plazos

El mandato de normalización M/606 organiza el trabajo en tres tipos. Los plazos de la tabla son plazos de entrega: la fecha en que cada organismo de normalización debe entregar su norma a la Comisión. No son fechas de publicación. Una norma solo activa la presunción de conformidad del Artículo 27 cuando su referencia aparece en el Diario Oficial, lo cual ocurre después de la entrega según un calendario que la Comisión aún no ha fijado.

Algunos aspectos que la tabla no detalla:

• Tipo A, marco general: el principio central del Anexo I es «Los productos con elementos digitales se diseñarán, desarrollarán y producirán de manera que garanticen un nivel adecuado de ciberseguridad sobre la base de los riesgos existentes.»
• Tipo B, gestión de vulnerabilidades: parte de los trabajos existentes de ISO/IEC y cubre el proceso completo, desde el descubrimiento y la clasificación hasta la corrección.
• Tipo C, específica de producto: debe mantenerse coherente con el tipo A y el tipo B, y se aplica tanto a las categorías de productos importantes como a las críticas.

El tipo A y el tipo B forman la serie horizontal EN 40000. El tipo C comprende todas las normas de producto de las tablas por nivel que figuran más abajo.

Cómo se están desarrollando las normas

La Comisión pidió a CEN, CENELEC y ETSI que redactaran estas normas mediante el mandato de normalización M/606, emitido mediante la Decisión de Ejecución de la Comisión C(2025) 618 final (3 de febrero de 2025):

• ETSI (comité técnico CYBER, CYBER-EUSR) está redactando las normas para la mayoría de las categorías de software importante y de productos conectados. Estas llevan referencias EN 304 6xx y son las que más han avanzado; sus borradores son públicos en la carpeta de consulta abierta ETSI CYBER-EUSR, con el historial de proyecto en los repositorios ETSI Labs STAN4CRA, y se enlazan individualmente más abajo.
• CEN y CENELEC están redactando las normas horizontales (la serie EN 40000), los perfiles de tecnología operativa (serie EN 50770), las normas de semiconductores (EN 5076x) y los trabajos sobre identidad y elemento seguro de CEN/TC 224. Estas no tienen una única carpeta pública; su estado se sigue a través de la matriz de proyectos de normalización CRA de DIN/DKE, la búsqueda de normas de CEN/CENELEC y los trabajos técnicos de STAN4CRA.

Un borrador pasa por versiones del grupo de trabajo y una consulta pública CEN (en el caso de ETSI, una consulta abierta y una votación de aprobación), y después se ratifica como EN. CEN-CENELEC puede saltarse una votación formal independiente y publicar directamente tras una consulta favorable. La ratificación tampoco es la meta: la Comisión debe luego citar la referencia en el Diario Oficial, y solo esa cita activa la presunción de conformidad. A 13 de agosto de 2026, los 17 borradores de ETSI específicos de producto son públicos y están en consulta. Ninguna norma de esta página está ratificada ni citada en el Diario Oficial. La Comisión no ha confirmado un calendario de citas en el Diario Oficial.

Cómo leer el estado

Las tablas siguientes se agrupan por nivel de conformidad del CRA. Las normas horizontales se aplican a todos los productos; las normas verticales (específicas de producto) se dividen en Importante de clase I, Importante de clase II y Crítico, porque el nivel decide la ruta de conformidad. La referencia de la norma indica quién la redacta: EN 304 6xx = ETSI; EN 40000 = CEN-CLC/JTC 13; EN 50770 = perfiles de tecnología operativa de CLC/TC 65X que acompañan a las normas de ETSI para las mismas funciones; EN 5076x = CLC/TC 47X; EN 18330 = CEN/TC 224.

Ninguna norma ha alcanzado «Aprobada (EN ratificada)» ni «Publicada en el DOUE». El estado refleja la evidencia pública más reciente en la fecha indicada al inicio de esta página.

Normas horizontales: la serie EN 40000

La serie EN 40000, redactada por CEN-CLC/JTC 13, se aplica a todos los productos con elementos digitales, además de cualquier norma vertical (específica de producto) de las secciones siguientes.

Productos importantes: clase I

Cubren las categorías de clase I del Anexo III. Aplicar una norma armonizada publicada permite a un fabricante de clase I autoevaluarse mediante control interno; sin ella, la conformidad debe demostrarse de otra forma.

Productos importantes: clase II

Los productos de clase II siempre necesitan evaluación por terceros (organismo notificado); una norma armonizada no les desbloquea la autoevaluación.

Productos críticos

Los productos críticos (Anexo IV) deben usar un esquema europeo de certificación de la ciberseguridad cuando se exija, o bien las mismas rutas de terceros que la clase II. Una norma armonizada no elimina ese requisito. Las entradas 39, 40 y 41 se desarrollan en un entorno restringido porque cubren productos críticos sensibles. Por eso sus borradores no son públicos.