Awareness por función
Formatos breves para producto, desarrollo, soporte, compras, ventas y dirección.
Seguridad del producto y notificación
Practicar la respuesta a un incidente CRA.
Aparece una cuenta de administrador desconocida en dos clientes. ¿Sabe su equipo qué hacer?
En el ejercicio CRA, los equipos de producto, seguridad y soporte practican cómo conservar pruebas, coordinar medidas de protección y trasladar el caso a los responsables. Identifique qué relevos y pasos del proceso de notificación requieren más preparación.
Cómo puede ayudar Paragamix.
La implantación del CRA no es solo un proyecto de documentación técnica. Las personas deben conocer su función y aplicar los procesos acordados.
Ejercicios de proceso
Escenarios guiados sobre recepción de vulnerabilidades, escalado, incidentes graves, comunicación con clientes y recuperación.
Ayudas documentales
Plantillas prácticas para responsabilidades, evidencias de awareness y procesos internos que complementan el expediente técnico.
Las obligaciones de notificación se aplican desde el 11 de septiembre de 2026.
Consultar los requisitos CRA y las fuentes
¿Quién debe evaluar el alcance del CRA?
El CRA afecta generalmente a productos de hardware y software con elementos digitales comercializados en la UE. Los productos finales y determinados componentes separados pueden estar incluidos.
Fabricantes
Asumen requisitos del producto, evaluación de riesgos de ciberseguridad, documentación técnica, evaluación de conformidad, marcado CE y gestión de vulnerabilidades.
Importadores y distribuidores
Deben verificar la información de conformidad pertinente y actuar cuando un producto pueda no ser conforme.
Equipos de producto y seguridad
Desarrollo, PSIRT, soporte, compras, legal, compliance y dirección necesitan responsabilidades y evidencias coordinadas.
Seis áreas de preparación CRA.
- Alcance y función: mapear productos, componentes, operadores económicos, excepciones y solapamientos.
- Desarrollo seguro: incorporar los requisitos del anexo I al diseño, desarrollo, producción y lanzamiento.
- Evaluación de riesgos: documentar riesgos, supuestos de seguridad, uso previsto y medidas proporcionadas.
- Gestión de vulnerabilidades: organizar recepción, triaje, corrección, divulgación coordinada, actualizaciones y periodo de soporte.
- Notificaciones: preparar alerta en 24 horas, notificación en 72 horas e informes finales aplicables.
- Evidencia de conformidad: alinear documentación técnica, información al usuario, evaluación de conformidad y decisiones de marcado CE.
Las notificaciones comienzan antes de la aplicación plena.
Desde el 11 de septiembre de 2026, los fabricantes deben notificar vulnerabilidades activamente explotadas e incidentes graves que afecten a la seguridad del producto mediante la plataforma única de notificación del CRA.
El proceso debe permitir la alerta temprana, la notificación principal y el informe final aplicable. Clasificación, escalado, conservación de evidencias y comunicación deben funcionar antes del incidente.
Fuentes oficiales y estado.
Estado: 13 de septiembre de 2026. Las decisiones deben basarse en el texto oficial y las orientaciones actuales de la Comisión Europea.
Límite claro.
El apoyo de awareness y procesos de Paragamix no constituye asesoramiento jurídico, certificación de producto, evaluación por un organismo notificado ni confirmación de conformidad CRA. El alcance y las decisiones de conformidad deben validarlos los especialistas responsables.
Preguntas sobre la formación.
¿El CRA solo se aplica a productos desarrollados en la UE?
No. La cuestión principal suele ser si un producto cubierto se comercializa en la UE, no solo dónde se desarrolló.
¿Un servicio cloud es automáticamente un producto CRA?
No necesariamente. El CRA se centra en productos con elementos digitales y determinadas soluciones de tratamiento remoto vinculadas al producto. Los servicios independientes y solapamientos regulatorios requieren un análisis específico.
¿El awareness es suficiente para cumplir el CRA?
No. Apoya la implantación. El fabricante también necesita controles de seguridad del producto, evaluación de riesgos, gestión de vulnerabilidades, documentación técnica y evaluación de conformidad aplicable.