Guía CRA de pasarelas de contadores inteligentes

Qué exige la CRA a las pasarelas de contadores inteligentes

La CRA trata una pasarela de contador inteligente como un único producto compuesto por muchos elementos digitales. El producto puede incluir el firmware del contador, el sistema operativo de la pasarela, el módulo de comunicación, la pila DLMS/COSEM (el protocolo estándar de datos de medición) o de protocolo de contador propietario, la SIM, eSIM o credencial de radio, el almacén de claves, el conector de cabecera (el enlace al sistema central de recogida de la empresa de suministro), la pantalla local, una app móvil, un portal en nube, el servicio de actualización, la herramienta del instalador y el proceso de gestión de vulnerabilidades. Normalmente excluye el sistema de facturación de la empresa de suministro, la aprobación metrológica legal, los sistemas de operación de la red y el contrato de energía del cliente, salvo que el mismo fabricante los suministre como parte del producto.

Ese límite es el corazón del expediente. La evidencia tiene que mantener la ciberseguridad separada de la metrología legal, documentando a la vez las interfaces entre la pasarela, los contadores y la cabecera. La aprobación metrológica bajo la Directiva de Instrumentos de Medida y las normas nacionales de medición responde a una pregunta distinta de la CRA. Una prueba que la medida es correcta y está sellada. La otra prueba que el producto conectado resiste ataques a lo largo de su periodo de soporte. Un fabricante que mezcla las dos acaba con un expediente que no satisface a ninguno de los dos revisores.

Los requisitos de ciberseguridad y la documentación técnica que los demuestra funcionan igual para todo producto CRA, y la guía de documentación técnica cubre eso. Esta página se ciñe a lo específico de una pasarela de medición: la clasificación Crítica, la ruta de conformidad, la arquitectura de la pasarela y la evidencia específica de medición.

¿Está tu dispositivo en el nivel Crítico?

La etiqueta Crítica es estrecha, y un producto de medición puede situarse a cualquiera de sus dos lados. Un dispositivo es la pasarela Crítica cuando es la unidad de comunicación del sistema de medición: controla el enlace con las empresas de suministro, procesa los datos del contador y los datos personales, ejecuta la criptografía y puede actuar de cortafuegos del sistema y controlar otros dispositivos. Un contador que solo mide e informa se queda en la ruta estándar, y usar criptografía fuerte para proteger una función ordinaria tampoco convierte a un dispositivo en Crítico. El Reglamento de Ejecución (UE) 2025/2392 (el Reglamento de Ejecución), vinculante desde el 21 de diciembre de 2025, fija esa prueba y la extiende a las pasarelas de gas y calor, no solo de electricidad. Resuelve la respuesta una sola vez en el memorando de límite. La tabla del Resumen de arriba mapea las variantes habituales a su ruta.

Cómo difiere la arquitectura entre países de la UE

Alemania usa un modelo de pasarela separada con una unidad de comunicación discreta, el modelo en torno al cual se dibujó la lista Crítica. Francia, España e Italia no miden así. Operan contadores integrados que miden y comunican en una sola unidad sellada y alcanzan directamente un concentrador de datos en el centro de transformación, sin caja de pasarela doméstica. El concentrador gestiona la agregación y el enlace ascendente, así que la evidencia CRA sigue aplicando, pero a dispositivos distintos, y la cuestión de ruta Crítica se mueve con él. El modelo alemán tiene su propia sección más abajo.

La forma es la misma en los tres mercados: un contador integrado en el cliente, comunicación de banda estrecha por línea eléctrica subiendo por la línea de baja tensión, un concentrador en el centro de transformación de distribución, y luego un enlace móvil hacia el operador. Lo que cambia es la tecnología de línea eléctrica, el canal del consumidor y, en Italia, una segunda interfaz de radio. En cada uno, el concentrador es el nodo que agrega muchos contadores y controla la comunicación con terceros autorizados. El contador integrado es normalmente un producto conectado de ruta estándar. Ninguna de las dos decisiones es automática. El Reglamento de Ejecución hace girar la categoría sobre la funcionalidad principal, así que un contador cuyas propias funciones encajen en la descripción de la pasarela puede argumentarse dentro del nivel Crítico, y el fabricante fija el reparto en el memorando de límite en lugar de darlo por supuesto.

Francia: Enedis Linky

El contador Linky hace ambas tareas. Mide el consumo y comunica hacia arriba desde una sola unidad, alcanzando un concentrador en el centro de transformación HTA/BT (de media a baja tensión) directamente en lugar de a través de una pasarela doméstica. El enlace es comunicación de banda estrecha por línea eléctrica en la banda CENELEC A, la banda de baja frecuencia de las empresas de suministro, predominantemente el perfil G3-PLC, con una parte de la flota en el esquema S-FSK de primera generación. El concentrador transporta el tráfico al sistema central de Enedis por red móvil pública, GPRS en el diseño original. Enedis es el operador del sistema de distribución que opera el sistema, no el fabricante del contador. La interfaz del consumidor es opcional: el contador expone un puerto de información TIC que una pantalla doméstica puede leer a través de un módulo de radio separado, un complemento en lugar de equipo estándar de Enedis. El despliegue empezó en 2015 y alcanzó alrededor de 35 millones de contadores.

España: PRIME y Meters and More

España opera la misma forma de tres niveles: un contador DLMS integrado en la finca, un concentrador en el centro de transformación y una cabecera en la DSO. La tecnología de línea eléctrica de baja tensión se divide por operador. Iberdrola (i-DE) y UFD operan PRIME, mientras que Endesa (e-distribución) opera Meters and More. El concentrador agrega los contadores, retransmite comandos y supervisa la red de baja tensión, y habla con la cabecera por el protocolo supervisor STG-DC. Transporta el tráfico por un enlace de red pública, habitualmente móvil y a menudo sobre una VPN. La base legal es la Orden ITC/3860/2007, que exigió sustituir los contadores por unidades de telegestión, así que España alcanzó pronto una cobertura casi completa, alrededor de 27 millones de contadores de baja tensión.

Italia: Open Meter de e-distribuzione

Italia fue el primer gran despliegue de la UE, con la primera generación Telegestore desde 2001, y está ahora en la segunda generación Open Meter, alrededor de 30 millones de contadores instalados en 2023. ARERA permite que Chain 1 funcione por línea eléctrica banda A, una interfaz de radio a 169 MHz u otras tecnologías de telecomunicación, y el Open Meter lleva una interfaz Chain 1 doble que combina línea eléctrica banda A y radio a 169 MHz. Un canal Chain 2 separado por línea eléctrica en banda C alcanza los User Devices opcionales del consumidor, normalizados por la serie CEI TS 13-82 a 13-85 y obligados por la resolución ARERA 87/2016. El concentrador en el centro de transformación MT/BT (de media a baja tensión) es, en palabras de la propia e-distribuzione, el centro de información y actuador para la automatización de la red, y transporta el tráfico por la red pública GSM, GPRS, UMTS o PSTN.

Nada de esto declara al concentrador un producto Crítico. Suele ser el candidato más fuerte. La determinación es específica del dispositivo y del uso, gira sobre la descripción de funcionalidad principal del Reglamento de Ejecución, y pertenece al memorando de límite del fabricante. La decisión de abajo es la versión corta de esa prueba.

Cómo se construye un sistema de pasarela separada (el modelo alemán)

Este es el modelo de pasarela separada, el que tiene una unidad de comunicación discreta como caja propia. En los mercados de contador integrado descritos arriba, Francia, España e Italia, estos mismos límites de evidencia existen, pero colapsan en el contador y el concentrador de red en lugar de una pasarela discreta. Una pasarela de contador inteligente es la unidad central de comunicación de un sistema de medición inteligente. El BSI la describe como el componente central que recibe y almacena los datos de los contadores y los procesa para los participantes del mercado autorizados a verlos. La Agencia Federal de Redes (Bundesnetzagentur) la llama el corazón del sistema. La pasarela se sitúa entre tres redes, y el ancla de confianza para todas ellas es un módulo de seguridad dedicado. Cada límite es donde se ancla una pieza de evidencia CRA, así que vale la pena dibujar la arquitectura con precisión.

Las tres redes llevan cada una un riesgo distinto y un control distinto:

• La red metrológica local (LMN) conecta la pasarela con los contadores, de electricidad, gas, agua o calor, de uno o más consumidores finales. Aquí es donde las lecturas entran en el producto. La evidencia aquí cubre cómo autentica la pasarela un contador, cómo rechaza lecturas de un contador no autorizado, y cómo se empareja y protege el enlace contador-pasarela.
• La red de área doméstica (HAN) conecta la pasarela con sistemas locales controlables como la solar en cubierta, la cogeneración, las bombas de calor y la carga de vehículos eléctricos, con un técnico de servicio durante el mantenimiento, y con el consumidor que tiene derecho a ver su propio consumo. La evidencia aquí cubre el aislamiento entre la vista del consumidor y los secretos del dispositivo, y el alcance de cualquier comando de control que llegue a un sistema local.
• La red de área amplia (WAN) conecta la pasarela con participantes externos del mercado, los suministradores de energía, los operadores de red y el operador del punto de medida, y con el administrador de la pasarela. Esta es la ruta de flota. La evidencia aquí cubre la autenticación mutua, la custodia de certificados, la seudonimización de los datos del contador antes de que lleguen a un participante del mercado, y los perfiles de procesamiento que deciden qué datos van a dónde.

El módulo de seguridad es el ancla de confianza. El BSI lo define como el lugar de almacenamiento seguro del material de claves criptográficas, que proporciona las rutinas criptográficas centrales para la creación y verificación de firmas, la generación de claves, el acuerdo de claves y la generación de números aleatorios. Si el módulo de seguridad es sólido, la pasarela puede probar quién es en cada red. Si es débil, todos los demás controles aguas abajo descansan sobre arena. El expediente CRA debería tratar el módulo de seguridad como un componente con nombre con su propia evidencia de proveedor, su propia historia de actualización y su propio límite en el diagrama.

El administrador de la pasarela (GWA) configura, administra y supervisa la pasarela en remoto a través de la red de área amplia. Empuja firmware, fija configuración y perfiles de procesamiento, y vigila la flota. Desde el punto de vista de la CRA, el administrador de la pasarela es una ruta privilegiada de control remoto, muy parecida al servidor de autoconfiguración de un router. El expediente tiene que registrar la identidad del administrador, el alcance de los comandos que puede emitir, el ancla de confianza contra la que se autentica y el rastro de auditoría que deja.

Varios controles se superponen luego sobre el cable, y cada uno es una pieza de evidencia separada en el expediente.

Régimen nacional, vía separada. Alemania ya opera un régimen nacional detallado para este dispositivo bajo la Ley de Operación del Punto de Medida, construido sobre una pila de normas del BSI:

• TR-03109-1: requisitos de interoperabilidad para la unidad de comunicación, dentro de la familia TR-03109 más amplia. Ahora en la versión 2.0.
• TR-03109-4: la infraestructura de clave pública de medición inteligente.
• BSI-CC-PP-0073: perfil de protección Common Criteria para la pasarela. V2.0 certificado en diciembre de 2024.
• BSI-CC-PP-0077: perfil de protección Common Criteria para el módulo de seguridad.

Las líneas base anteriores PP-0073 v1.3 y TR-03109-1 v1.1 siguen siendo válidas hasta el 31 de diciembre de 2027.

La CRA no adopta TR-03109. Su ruta pasa por sus propias normas armonizadas desarrolladas bajo la solicitud de normalización de la Comisión. El sentido de mencionar el régimen alemán es un encuadre honesto: los reguladores ya exigen esta profundidad de arquitectura de seguridad al mismo dispositivo que la CRA lista ahora como Crítico, así que el listón que un fabricante de pasarelas tiene que superar no es teórico. Alemania tampoco es el único listón anterior a 2027. Un contador con radio ya debe los requisitos de ciberseguridad de la RED hoy, en todos los mercados, como expone abajo el solapamiento con la RED, la MID, el RGPD y NIS2.

Cómo funciona la ruta de conformidad para un producto Crítico

Como una pasarela es Crítica, la ruta de autodeclaración que puede usar un router Clase I importante queda cerrada. Toma la ruta externa bajo el artículo 32: un examen por tercero o una auditoría completa de aseguramiento de la calidad, o un esquema europeo de certificación de ciberseguridad una vez que aplique alguno bajo el artículo 8. Todavía no se ha hecho obligatorio ningún esquema para pasarelas, así que hoy la ruta es la evaluación por tercero o del sistema de calidad, con el esquema como un disparador futuro que seguir. La mecánica de cada procedimiento está en la guía de evaluación de la conformidad. El detalle específico de medición es el límite metrológico: una evaluación CRA no da el visto bueno a la función de medida legalmente relevante, así que mantén la evidencia de conformidad y la aprobación metrológica como registros separados.

Qué evidencia debe contener la documentación técnica

El expediente debería permitir a un revisor seguir la pasarela desde la identidad del producto hasta los controles de seguridad sin adivinar. La tabla de abajo lista los registros específicos del expediente que la tabla de requisitos anterior no cubría ya: identidad, la determinación Crítica, el resultado de conformidad y el inventario de componentes. Los dos registros que cargan con la mayor parte del peso para una pasarela de medición, el ciclo de vida de claves y certificados y el reparto entre cambios relevantes para la metrología y solo de ciberseguridad, se dibujan en detalle debajo de ella.

Puerta de versión: ningún secreto de lote, credencial de instalador o vinculación de pasarela retirada debería conservar la capacidad de autenticarse como pasarela de contador viva tras la rotación o el reemplazo. La ventana de confianza obsoleta es un compromiso de producto y operador, no una constante universal. Artefacto: resultado de simulacro de revocación.

El módulo de seguridad hace que el ciclo de vida de claves sea distinto de una historia genérica de claves IoT. Un secreto por dispositivo se inyecta en fábrica y nunca sale del módulo en claro. En la instalación, el instalador vincula la pasarela a sus contadores y al rol del operador sin tocar nunca una clave de lote, así que una credencial de instalador filtrada no puede suplantar a una flota. En operación, la pasarela se autentica ante la cabecera con el ancla de confianza configurada y registra cada lectura, evento de manipulación y actualización. La rotación es programada, motivada por un incidente o disparada por un cambio de rol, y actualiza tanto la pasarela como el registro del operador. En el retiro, la vinculación antigua se revoca y las claves se destruyen o deshabilitan, así que una pasarela devuelta o reemplazada no puede seguir actuando como pasarela de contador viva.

El segundo registro específico de medición es el reparto entre el software metrológico legalmente relevante y los cambios solo de ciberseguridad. Un fabricante de pasarelas enviará correcciones de seguridad mucho más a menudo que cambios metrológicos, y el expediente tiene que mostrar que una actualización de seguridad no alteró calladamente la función de medida aprobada. La matriz de abajo es la ayuda de decisión: le dice al fabricante dónde registrar la decisión de ciberseguridad, y dónde se necesita una aprobación metrológica adyacente o una ventana de cambio coordinada con el operador.

Reparto de actualización entre metrología y ciberseguridad. Las correcciones de seguridad deben evaluarse contra el software legalmente relevante sin pretender que la CRA sustituye la aprobación metrológica.

Puerta de decisión: este reparto no es un atajo para esquivar la aprobación metrológica o de la empresa de suministro. Le dice al fabricante dónde registrar la decisión de ciberseguridad, y dónde se necesita una aprobación adyacente o una retención del operador. La pregunta que responde: ¿puede enviarse esta corrección como actualización de ciberseguridad, o toca software metrológico legalmente relevante? Artefacto: registro de decisión de impacto metrológico por versión.

Cómo es una evaluación de riesgos de medición real

Úsalo como ejemplo de la profundidad que necesita un expediente de nivel Crítico. El fabricante sigue teniendo que ejecutar la evaluación contra su pasarela real, el módulo de seguridad, la pila de protocolo del contador, el módulo de comunicación, los componentes del proveedor, la titularidad de la actualización, las afirmaciones de venta y la promesa del periodo de soporte.

Inventario de activos

Producto de ejemplo: ExampleCo GridMeter G2, una pasarela de contador inteligente emparejada con contadores de electricidad, un módulo de comunicación móvil, un módulo de seguridad de hardware, un conector de cabecera de la empresa de suministro, una interfaz de pantalla para el consumidor, actualizaciones de firmware firmadas y una herramienta de puesta en servicio del instalador.

El límite del producto incluye el hardware de la pasarela, el módulo de seguridad, la interfaz del contador, el módulo de comunicación, el almacén de claves, el conector de cabecera, la interfaz de pantalla para el consumidor, el servicio de actualización de firmware, la herramienta del instalador, la entrada de divulgación coordinada y el proceso de avisos. Excluye el sistema de facturación de la empresa de suministro, la aprobación metrológica legal, los sistemas de operación de la red y el contrato de energía del cliente, salvo que el mismo operador los suministre como parte del producto.

La salida más sensible a la privacidad de una pasarela es la lectura de intervalo. Los datos de consumo de grano fino pueden revelar ocupación, uso de electrodomésticos y comportamiento, así que el expediente necesita un punto de estrangulamiento de minimización claro y una respuesta clara a qué puede ver el soporte durante una investigación. El flujo de abajo lo conecta con los controles de seudonimización y perfiles de procesamiento de la sección de arquitectura.

Límites de confianza

Escenarios de amenaza

Registro de riesgos inicial

Asignación de controles y evidencias

Riesgo residual tras los controles

¿Qué va en un SBOM de pasarela de contador inteligente?

La mecánica genérica del SBOM, la elección de formato y la firma viven en la guía SBOM, la guía HBOM y la guía BSI TR-03183. Lo específico de una pasarela es la forma del árbol. Es un producto de hardware que envía muchos elementos digitales en ciclos de actualización separados, rara vez menos de diez y a menudo más cerca de veinte componentes de nivel superior, cada uno con su propio proveedor, cadencia de actualización y canal de avisos. Lístalos como un único inventario a nivel de producto con secciones separadas por elemento, o un inventario por elemento enviado, mientras siga siendo legible por máquina y cubra las dependencias de nivel superior.

Mantén la obligación honesta. La CRA pide un inventario legible por máquina que cubra al menos las dependencias de nivel superior, refrescado a lo largo del periodo de soporte, con vigilancia de avisos del proveedor para que una vulnerabilidad conocida en el firmware del módem o la biblioteca de protocolo se tríe en lugar de pasarse por alto. Todavía no obliga a un único formato fijo ni a una profundidad más allá de las dependencias de nivel superior. Refleja esa redacción en lugar de inventar una regla más estricta.

El inventario no es una lista pasiva. El artículo 13 te hace ejercer la diligencia debida cuando integras un componente de terceros, incluido el de código abierto, para que no debilite la ciberseguridad de la pasarela. Va más allá en las vulnerabilidades. Cuando encuentras una en un componente integrado, la notificas a la entidad que fabrica o mantiene ese componente, la corriges en tu producto bajo las reglas de gestión de vulnerabilidades del Anexo I, y donde has construido una corrección de software o hardware compartes el código o la documentación relevante de vuelta con ese mantenedor. El módulo móvil y el módulo de seguridad no son meras líneas de inventario. Cada uno es un producto con elementos digitales por derecho propio, con sus propias obligaciones CRA, así que el aviso de la banda base del módem y la fe de erratas del módulo de seguridad forman parte de tu vigilancia y tu notificación aguas arriba, no del problema de otro.

¿Cómo deberían funcionar el soporte, las actualizaciones y la notificación?

Una flota de contadores sobrevive a la mayoría de la electrónica de consumo. Las pasarelas se quedan en las paredes una década o más, así que el modelo de soporte es parte del expediente, no una ocurrencia tardía. La evidencia de soporte debería cubrir el firmware metrológico, el firmware de la pasarela, el módulo de seguridad, el módulo de comunicación, el conector de cabecera y las herramientas del instalador. Las flotas de larga vida también necesitan evidencia para la continuidad de la autoridad de certificación, la caducidad de la clave de firma, las líneas base de pasarela de repuesto, y la separación entre el software metrológico legalmente relevante y las actualizaciones solo de ciberseguridad.

Las actualizaciones de seguridad tienen que coordinarse con las empresas de suministro y el administrador de la pasarela para que el despliegue en campo, el impacto metrológico y el aviso al usuario sean trazables. Un fabricante de pasarelas no puede empujar una actualización de flota como lo hace una app de teléfono. El operador es titular de la ventana de cambio, y el expediente debería mostrar esa coordinación en lugar de darla por supuesta. Los deberes de notificación bajo el artículo 14 empiezan el 11 de septiembre de 2026, así que la política de divulgación y el contacto único deberían estar funcionando antes de esa fecha, mientras que el resto de la CRA se aplica desde el 11 de diciembre de 2027, la fecha en la que la ruta de conformidad y la documentación técnica tienen que estar completas.

Una regla transitoria importa más a una flota de contadores que a casi cualquier otro producto. Un producto introducido en el mercado antes de la fecha de aplicación queda atrapado por la CRA plena solo si se modifica sustancialmente después, así que un contador instalado años antes no necesita retroactivamente la ruta de conformidad. Un deber rompe esa regla. La notificación de vulnerabilidades explotadas activamente e incidentes graves alcanza a todo producto en el ámbito ya en el mercado, flota desplegada incluida (artículo 69). Así que el fabricante de contadores instalados hace años aún debe esa notificación para su flota desplegada, y una empresa de suministro solo la carga donde es el fabricante de referencia, por ejemplo tras un cambio de marca o una modificación sustancial. Mapea la flota desplegada contra este reparto pronto, porque la obligación de notificación llega antes que el resto del expediente.

Qué deben comprobar importadores, distribuidores y empresas de suministro

Una pasarela suele repartir sus roles entre más operadores económicos que un producto de consumo: un fabricante de contadores, un fabricante de la pasarela, una empresa de suministro que puede cambiar la marca u operar la flota, un administrador de la pasarela y un instalador. El mapa de traspaso de abajo muestra quién es titular de cada comprobación previa a la venta y qué detiene la pasarela en cada rol.

Puerta de custodia: la pasarela no debería pasar un rol hasta que la build recibida case con la build evaluada. Un firmware con nueva marca, una nueva nube de operador o un perfil de administrador cambiado reabren el análisis de rol. Artefacto: registro de aceptación de la build entrante.

Los deberes genéricos del importador y del distribuidor se aplican como en cualquier producto. Las comprobaciones específicas de medición tratan sobre la build y las claves. Los importadores y distribuidores deberían confirmar que la build recibida es la build evaluada, no una bifurcación con nueva marca. Las empresas de suministro y los instaladores deberían comprobar el aprovisionamiento de claves, la línea base de firmware, el flujo de revocación y reemplazo y el perfil del administrador de la pasarela antes de aceptar un lote. Una empresa de suministro que coloca la pasarela bajo su propio nombre, opera la nube de gestión o modifica sustancialmente el firmware asume obligaciones de fabricante para esa flota con marca, incluido el contacto de notificación de vulnerabilidades.

Un fabricante de contadores o módulos de fuera de la UE puede designar un representante autorizado en la UE bajo el artículo 18. El artículo dice "podrá", así que es una opción, no un deber, y no deberías registrar un representante autorizado como obligatorio. El enrutado es lo que no es opcional. Un producto de marca propia o sustancialmente modificado convierte en fabricante a quien lo introdujo o cambió. El expediente tiene que nombrar quién recibe una notificación de vulnerabilidad y quién mantiene la documentación a disposición cuando el fabricante está fuera de la UE. Decide ese enrutado en el trabajo de límite, no en la frontera.

Cómo encaja junto a la RED, la MID, el RGPD y NIS2

La CRA no aterriza sobre un escritorio vacío. Un contador inteligente ya lleva otras obligaciones CE, y la empresa de suministro que opera la flota tiene sus propios deberes. Cuatro solapamientos deciden cuánto del expediente es genuinamente nuevo.

Una única declaración UE de conformidad lista cada acto que aplica, la RED, la MID, la RoHS y la CRA entre ellos. Dos cosas pillan desprevenidos a los fabricantes.

La ciberseguridad de la RED ya vincula a un contador con radio hoy. Tiene que cumplir las normas EN 18031-1, -2 y -3 ahora, antes de la CRA. Sigue cumpliendo ambas hasta que el Reglamento Delegado (UE) 2026/339 derogue las reglas de ciberseguridad de la RED el 11 de diciembre de 2027, la fecha de aplicación de la CRA.

La CEM y la Directiva de Baja Tensión no se listan dos veces. En un contador con radio, la RED ya lleva los objetivos de CEM y seguridad. Esas dos directivas se aplican por sí solas únicamente a una variante sin radio.