También llamado CRA, Ley de Ciberresiliencia o Reglamento de Ciberresiliencia. Obliga a que todo producto con elementos digitales vendido en la Unión Europea cumpla requisitos de ciberseguridad durante toda su vida útil. Afecta tanto al hardware conectado como al software puro.
Desde el 11 de septiembre de 2026 ya es obligatorio notificar las vulnerabilidades explotadas activamente y los incidentes graves, con un primer aviso en 24 horas y el informe completo en 72. Para poder cumplirlo hay que tener antes el inventario de componentes y el circuito de aviso montados.
El reglamento no llega de golpe en 2027: una parte ya es exigible hoy.
Se publica el Reglamento (UE) 2024/2847 y empieza el periodo de adaptación para fabricantes, importadores y distribuidores.
Entran en vigor las reglas sobre notificación de los organismos de evaluación de la conformidad.
Obligación de notificar vulnerabilidades explotadas activamente e incidentes graves: aviso inicial en 24 horas e informe completo en 72. Aplica también a productos ya vendidos.
Ningún producto con elementos digitales puede comercializarse en la UE sin cumplir el reglamento y llevar el marcado CE correspondiente.
Si tu empresa fabrica, desarrolla, integra, importa o distribuye algo con una parte digital y se vende en la Unión Europea, es muy probable que estés dentro. El origen de la empresa da igual: lo que cuenta es dónde se vende el producto.
Cualquier aparato que se conecte a una red o a otro dispositivo entra en el alcance, por pequeño que sea el componente digital.
Por ejemplo: Maquinaria industrial, sensores, domótica, cámaras, básculas, TPV, cerraduras, equipamiento agrícola o de climatización.
El software puro también está incluido, aunque no se venda con ningún aparato. Es el punto que más se pasa por alto.
Por ejemplo: Software de gestión, aplicaciones móviles, SaaS instalable, complementos, firmware y bibliotecas comercializadas.
Quien monta un producto con componentes de terceros y lo vende bajo su propia marca responde como fabricante ante el reglamento.
Por ejemplo: Ensambladores de maquinaria, integradores de automatización industrial, fabricantes de marca blanca.
Deben comprobar que el fabricante cumplió y que la documentación existe. Si importan de fuera de la UE, asumen obligaciones propias.
Por ejemplo: Importadores de electrónica y componentes, distribuidores de equipamiento profesional.
Seis piezas. Ninguna se resuelve con un documento firmado: todas exigen tocar el producto o el proceso de desarrollo.
Lista completa de bibliotecas y dependencias del producto, en un formato normalizado como CycloneDX o SPDX, y actualizada de forma automática con cada versión.
Procedimiento para detectar, evaluar y notificar en los plazos de 24 y 72 horas, con responsables definidos y un canal para que terceros reporten fallos.
Mecanismo de actualización firmado y verificable, con la posibilidad de distribuir parches de seguridad durante todo el periodo de soporte del producto.
Configuración segura por defecto, mínimo de privilegios, cifrado de datos y comunicaciones, y registro de eventos relevantes para la seguridad.
Análisis de riesgos, decisiones de diseño y evidencias que exige el Anexo VII, conservadas durante al menos diez años o el periodo de soporte, el que sea mayor.
El expediente ordenado para que el fabricante pueda firmar la declaración UE de conformidad y aplicar el marcado CE con respaldo documental.
Determinamos qué productos entran en el reglamento, en qué categoría y qué obligaciones concretas les corresponden. Muchas empresas descubren aquí que un producto que creían fuera está dentro, o al revés.
Comparamos lo que el producto hace hoy con lo que el reglamento exige, y priorizamos por riesgo y por fecha límite. El resultado es una lista de trabajo, no un informe teórico.
Construimos lo que falta: generación automática de SBOM en el proceso de compilación, mecanismo de actualización firmada, registro de eventos, endurecimiento y corrección de dependencias vulnerables.
Redactamos el expediente técnico y dejamos montado el circuito de notificación, con plantillas y responsables asignados para que los plazos de 24 y 72 horas sean cumplibles de verdad.
El CRA no se cumple una vez: obliga durante toda la vida del producto. Dejamos la vigilancia de dependencias automatizada y, si se contrata mantenimiento, la revisión periódica del expediente.
Cyviax prepara el producto y su expediente: analiza el alcance, implanta lo que falta en el software, genera el SBOM, monta el circuito de notificación y redacta la documentación técnica que exige el reglamento.
Cyviax no es organismo notificado y no emite certificados ni sellos de conformidad. Para la mayoría de los productos no hace falta: es el propio fabricante quien autoevalúa y firma la declaración UE de conformidad. Cuando un producto sí requiere evaluación por un organismo notificado, preparamos el expediente para que la supere y te acompañamos en el proceso.
En una reunión de 20 a 30 minutos revisamos tu producto y te decimos si entra en el reglamento, qué obligaciones te tocan y cuáles ya son exigibles. Sin compromiso, y con una respuesta clara aunque la respuesta sea que no te afecta.
Es el Reglamento (UE) 2024/2847, conocido también como CRA o Ley de Ciberresiliencia. Establece requisitos obligatorios de ciberseguridad para todos los productos con elementos digitales que se venden en la Unión Europea, durante todo su ciclo de vida. Entró en vigor el 10 de diciembre de 2024 y su aplicación completa llega el 11 de diciembre de 2027.
No exactamente, y es la confusión más habitual. Para cerca del 90 % de los productos no hay certificado de un tercero: es el propio fabricante quien evalúa su producto, conserva la documentación técnica y firma la declaración UE de conformidad para poder aplicar el marcado CE. Solo determinadas categorías de mayor riesgo requieren la intervención de un organismo notificado.
Sí. El reglamento cubre los productos con elementos digitales, y eso incluye el software puro: aplicaciones de gestión, aplicaciones móviles, firmware o bibliotecas comercializadas. Es el punto que más se pasa por alto, porque mucha gente asume que el CRA es solo para hardware.
Desde esa fecha es obligatorio notificar las vulnerabilidades explotadas activamente y los incidentes graves, con un aviso inicial en 24 horas y el informe completo en 72. Para poder cumplirlo hace falta tener antes dos cosas: el inventario de componentes del producto y un circuito interno de detección y aviso con responsables asignados. Se aplica también a productos que ya están vendidos.
Las multas llegan hasta 15 millones de euros o el 2,5 % de la facturación anual mundial, la cifra que sea mayor, para el incumplimiento de los requisitos esenciales. Para infracciones de documentación, procedimientos o cooperación con las autoridades, hasta 10 millones o el 2 %. Además, un producto que no cumpla no puede comercializarse en la UE.
No. Cyviax no es organismo notificado ni emite certificados. Lo que hace es preparar el producto y el expediente técnico para que el fabricante pueda firmar su declaración de conformidad, y construir en el software lo que falte para cumplir: SBOM, actualizaciones firmadas, registro de eventos y circuito de notificación.
Un SBOM es el inventario de todas las bibliotecas y dependencias que contiene un producto de software, en un formato normalizado como CycloneDX o SPDX. Sin él es imposible saber si a un producto le afecta una vulnerabilidad publicada, y por eso el reglamento lo exige como parte de la documentación técnica.
Depende del punto de partida y del número de productos. El diagnóstico de alcance y el análisis de distancia se resuelven en semanas; la implantación técnica varía según lo que falte. Conviene empezar por el circuito de notificación, que ya es exigible, y abordar el resto por fases antes de diciembre de 2027.
Si aceptas, Plausible medirá visitas y conversiones de forma agregada, sin publicidad ni perfiles personales.
