Fabricantes
Asumen requisitos del producto, evaluación de riesgos de ciberseguridad, documentación técnica, evaluación de conformidad, marcado CE y gestión de vulnerabilidades.
Cyber Resilience Act · Reglamento (UE) 2024/2847
Convierta los requisitos del CRA en un proceso operativo de seguridad del producto.
El Cyber Resilience Act introduce requisitos obligatorios de ciberseguridad para los productos con elementos digitales durante todo su ciclo de vida. Prepare a los equipos de producto, desarrollo, vulnerabilidades, soporte y dirección.
¿Quién debe evaluar el alcance del CRA?
El CRA afecta generalmente a productos de hardware y software con elementos digitales comercializados en la UE. Los productos finales y determinados componentes separados pueden estar incluidos.
Importadores y distribuidores
Deben verificar la información de conformidad pertinente y actuar cuando un producto pueda no ser conforme.
Equipos de producto y seguridad
Desarrollo, PSIRT, soporte, compras, legal, compliance y dirección necesitan responsabilidades y evidencias coordinadas.
Seis áreas de preparación CRA.
- Alcance y función: mapear productos, componentes, operadores económicos, excepciones y solapamientos.
- Desarrollo seguro: incorporar los requisitos del anexo I al diseño, desarrollo, producción y lanzamiento.
- Evaluación de riesgos: documentar riesgos, supuestos de seguridad, uso previsto y medidas proporcionadas.
- Gestión de vulnerabilidades: organizar recepción, triaje, corrección, divulgación coordinada, actualizaciones y periodo de soporte.
- Notificaciones: preparar alerta en 24 horas, notificación en 72 horas e informes finales aplicables.
- Evidencia de conformidad: alinear documentación técnica, información al usuario, evaluación de conformidad y decisiones de marcado CE.
Las notificaciones comienzan antes de la aplicación plena.
Desde el 11 de septiembre de 2026, los fabricantes deben notificar vulnerabilidades activamente explotadas e incidentes graves que afecten a la seguridad del producto mediante la plataforma única de notificación del CRA.
El proceso debe permitir la alerta temprana, la notificación principal y el informe final aplicable. Clasificación, escalado, conservación de evidencias y comunicación deben funcionar antes del incidente.
Cómo puede ayudar Paragamix.
La implantación del CRA no es solo un proyecto de documentación técnica. Las personas deben conocer su función y aplicar los procesos acordados.
Awareness por función
Formatos breves para producto, desarrollo, soporte, compras, ventas y dirección.
Ejercicios de proceso
Escenarios guiados sobre recepción de vulnerabilidades, escalado, incidentes graves, comunicación con clientes y recuperación.
Ayudas documentales
Plantillas prácticas para responsabilidades, evidencias de awareness y procesos internos que complementan el expediente técnico.
Límite claro.
El apoyo de awareness y procesos de Paragamix no constituye asesoramiento jurídico, certificación de producto, evaluación por un organismo notificado ni confirmación de conformidad CRA. El alcance y las decisiones de conformidad deben validarlos los especialistas responsables.
Fuentes oficiales y estado.
Estado: 27 de julio de 2026. Las decisiones deben basarse en el texto oficial y las orientaciones actuales de la Comisión Europea.
Preguntas frecuentes sobre el CRA.
¿El CRA solo se aplica a productos desarrollados en la UE?
No. La cuestión principal suele ser si un producto cubierto se comercializa en la UE, no solo dónde se desarrolló.
¿Un servicio cloud es automáticamente un producto CRA?
No necesariamente. El CRA se centra en productos con elementos digitales y determinadas soluciones de tratamiento remoto vinculadas al producto. Los servicios independientes y solapamientos regulatorios requieren un análisis específico.
¿El awareness es suficiente para cumplir el CRA?
No. Apoya la implantación. El fabricante también necesita controles de seguridad del producto, evaluación de riesgos, gestión de vulnerabilidades, documentación técnica y evaluación de conformidad aplicable.
Empiece por funciones, productos y vías de notificación.
Una sesión focalizada de preparación CRA identifica los equipos, productos y procesos que deben abordarse antes de septiembre de 2026 y diciembre de 2027.