Cómo empezó CRA Evidence
Empezó en 2025, cuando Joan Romero oyó hablar del Reglamento de Ciberresiliencia por primera vez.
A partir de ahí empezó a conectarlo con toda su carrera como Cloud Engineer y SRE. Estamos construyendo y lanzando más productos que nunca, pero no estamos cuidando la ciberseguridad. Los incidentes siguen creciendo.
El Reglamento de Ciberresiliencia existe por eso. Europa vio el problema y decidió actuar. Joan decidió ayudar a los equipos a afrontarlo y empezó a construir CRA Evidence.
Eso se convirtió en realidad en 2026. El primer paso fue a través de CEEI, el Centro Europeo de Empresas e Innovación del Principado de Asturias. Con su ayuda, la empresa echó a andar.
Por qué se construyó CRA Evidence
More digital products reach Europe every year, from industrial controllers to home devices, and the Cyber Resilience Act is the first EU-wide regulation demanding real security evidence across a product's full life. We wanted to help the teams doing that work.
Nobody clearly owned the Cyber Resilience Act. Not engineering, not legal, not product. We built CRA Evidence so that work has a home: tracked, corrected, and audit-ready across the ten-year-or-longer window the regulation requires.
Products with digital elements placed on the EU market must be designed, produced, and maintained with real cybersecurity evidence across their life cycle, and manufacturers in scope keep the technical documentation on file for at least ten years, or for the support period if that is longer.
Regulation (EU) 2024/2847 · paraphrased
Ese es el trabajo para el que existimos.
El CRA se aplica de forma distinta a cada rol. Nos adaptamos a cada uno.
Fabricantes, importadores y distribuidores tienen obligaciones distintas bajo el reglamento. CRA Evidence ofrece el flujo de trabajo adecuado para cada uno.
Fabricantes
Fabricas productos con elementos digitales. Las obligaciones CRA más pesadas recaen sobre ti.
- Validación de SBOM contra BSI TR-03183
- Continuous vulnerability monitoring with hourly and daily source syncs
- Generador de Declaración de Conformidad UE
- Constructor de Información e Instrucciones de Usuario (IIU)
- Seguimiento de cumplimiento por versión
Importadores
Introduces productos al mercado de la UE. Debes verificar el cumplimiento del fabricante antes de vender.
- Importer verification checklists
- Solicitudes de documentación del fabricante
- Almacenamiento de evidencia con registro de auditoría
- Registros para vigilancia del mercado
Distribuidores
Vendes productos en la UE pero no los fabricas ni importas. Obligaciones más ligeras.
- Flujos de trabajo de verificación de cumplimiento
- Acceso a documentación de productos
- Distributor guidance
- Rutas de escalado de incidentes
Las preguntas que seguimos escuchando
Todos los equipos que se preparan para el CRA están resolviendo los mismos asuntos básicos:
- ¿En qué formato debería estar mi SBOM?
- ¿Cómo rasteo vulnerabilidades a través de 300 dependencias?
- ¿Qué va exactamente en un archivo técnico?
- ¿Cómo demuestro el cumplimiento ante una autoridad de vigilancia del mercado?
La normativa ya es bastante compleja. Tus herramientas no deberían serlo.
Reconocimiento independiente
Señales de terceros que puedes verificar por tu cuenta. Lee los anuncios completos en la sala de prensa.
Visita la sala de prensa →
¿Listo para simplificar el cumplimiento CRA?
Mapee obligaciones, genere evidencias y manténgase preparado para auditorías en todas las versiones de productos antes del 11 de diciembre de 2027.