[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:es:cra-o-nis2-cual-se-aplica-a-una-empresa-de-software":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"es","cra-o-nis2-cual-se-aplica-a-una-empresa-de-software","¿CRA o NIS2? Cuál se aplica a una empresa de software, y si pueden ser las dos","El Reglamento de Ciberresiliencia regula productos introducidos en el mercado; NIS2 regula entidades que prestan servicios. Una empresa de software puede estar bajo una, la otra, ambas o ninguna, y la respuesta depende de dos preguntas: si introduce un producto en el mercado y si es una entidad mediana o mayor en un sector listado. Las fechas, los relojes de notificación, las multas y la tabla de decisión, a partir de los dos textos.","2026-09-11",{"who":10,"when":11,"do":12},"Una empresa de software en la Unión, bajo uno, otro, ambos o ninguno: el CRA le alcanza si introduce en el mercado un producto con elementos digitales; NIS2 le alcanza si es una entidad mediana o mayor de un sector listado, nube y servicios gestionados incluidos.","El deber de notificación del CRA se aplica desde el 11 de septiembre de 2026 y sus obligaciones completas desde el 11 de diciembre de 2027; NIS2 se aplica desde el 18 de octubre de 2024 a través de la transposición nacional.","Responda por escrito a las dos preguntas, introduce un producto en el mercado y es una entidad listada de 50 empleados o EUR 10 millones, y lea en la tabla de decisión de abajo lo que trae cada respuesta: el plazo, el destinatario, el techo de la multa.","\nDos leyes europeas de ciberseguridad recaen sobre las empresas de software con quince meses de diferencia, y la mayoría de las explicaciones las tratan como competidoras o como una sola nebulosa. No son ninguna de las dos cosas. El Reglamento de Ciberresiliencia, Reglamento (UE) 2024\u002F2847, regula **productos**. La Directiva NIS2, Directiva (UE) 2022\u002F2555, regula **entidades**. Cuál le alcanza depende de lo que vende y de su tamaño, y una empresa puede estar bajo ambas.\n\nAquí está la distinción, las dos pruebas y las diferencias prácticas que importan cuando se aplican las dos.\n\n## La versión en una frase\n\n- **CRA**: usted introduce en el mercado de la UE un producto con elementos digitales (software instalado o descargable, una app, una biblioteca, firmware, un dispositivo, y el tratamiento a distancia sin el que un producto no puede funcionar). Se aplica al producto y a su fabricante con independencia del tamaño.\n- **NIS2**: usted es una entidad mediana o mayor que presta un servicio en uno de los sectores listados (computación en nube, centros de datos, servicios gestionados, mercados en línea, motores de búsqueda, redes sociales, DNS y el resto de los anexos I y II), o una más pequeña que un Estado miembro ha identificado específicamente. Se aplica a la organización, no a un producto.\n\nEl software como servicio puro es el caso que decide para la mayoría de las empresas de software: es un servicio, así que [queda fuera del CRA por el considerando 12](\u002Farticles\u002Fis-your-product-in-scope-of-the-cyber-resilience-act), y queda dentro de NIS2 si el proveedor es mediano o mayor y está en un sector listado, siendo la computación en nube el evidente.\n\n## La tabla de decisión\n\n| Usted | CRA | NIS2 |\n| --- | --- | --- |\n| Vende software instalado o descargable, cualquier tamaño | Sí, como fabricante | Solo si además es una entidad mediana o mayor en un sector listado |\n| Vende un dispositivo con software dentro, cualquier tamaño | Sí, como fabricante | Igual que arriba |\n| Opera una plataforma SaaS, menos de 50 personas y menos de 10 millones EUR de facturación | No, salvo que un producto que introduce en el mercado dependa de ella | No, salvo que un Estado miembro le haya identificado |\n| Opera una plataforma SaaS, 50 personas o más o 10 millones EUR o más, nube o sector listado | No, salvo que un producto dependa de ella | Sí, como entidad importante o esencial |\n| Vende software instalado y opera el backend en la nube sin el que no funciona, mediana o mayor | Sí, el producto y su tratamiento a distancia | Sí, como entidad, si está en un sector listado |\n| Construye software a medida para un cliente y se lo entrega | Sí, como fabricante de ese producto | Solo si además es una entidad listada |\n\nLa línea de tamaño es la de NIS2: el artículo 2, apartado 1, aplica la Directiva a las entidades que sean medianas empresas conforme a la Recomendación 2003\u002F361\u002FCE de la Comisión o superen sus límites, es decir, 50 personas o más o más de 10 millones EUR de facturación, con las excepciones propias de la Directiva para ciertas entidades con independencia del tamaño. El CRA no tiene ninguna línea de tamaño.\n\n## Qué pide cada una\n\n**CRA**: los [22 requisitos esenciales del anexo I](\u002Farticles\u002Fcra-annex-i-the-22-essential-requirements-as-a-checklist) incorporados al producto y a su gestión de vulnerabilidades, una [documentación técnica](\u002Farticles\u002Fwhat-goes-in-the-cra-technical-file-annex-vii-point-by-point), una evaluación de la conformidad cuya vía depende del [nivel del producto](\u002Farticles\u002Fis-your-product-important-or-critical-under-the-cyber-resilience-act), el marcado CE, un período de soporte de al menos cinco años y la notificación conforme al artículo 14 de vulnerabilidades explotadas activamente e incidentes graves.\n\n**NIS2**: las diez medidas de gestión de riesgos del artículo 21, apartado 2, que para los sectores digitales se detallan en el Reglamento de Ejecución (UE) 2024\u002F2690 y [se corresponden sección por sección con un sistema de gestión ISO 27001](\u002Fnis2\u002Fiso-27001-mapping); el registro ante la autoridad nacional; la responsabilidad y formación del órgano de dirección; y la notificación conforme al artículo 23 de incidentes significativos.\n\nLa forma es distinta. El CRA pregunta cómo es su producto y qué hace con sus vulnerabilidades. NIS2 pregunta cómo gestiona el riesgo su organización y qué hace con los incidentes en sus servicios.\n\n## Los relojes de notificación parecen iguales y no lo son\n\nAmbos usan 24 horas, 72 horas y un informe final, y ahí acaba el parecido.\n\n| | CRA artículo 14 | NIS2 artículo 23 |\n| --- | --- | --- |\n| Qué lo desencadena | Una vulnerabilidad explotada activamente en el producto, o un incidente grave que afecte a la seguridad del producto | Un incidente significativo que afecte al servicio de la entidad |\n| Alerta temprana | 24 horas desde el conocimiento | 24 horas desde el conocimiento |\n| Notificación | 72 horas desde el conocimiento | 72 horas desde el conocimiento |\n| Informe final | Vulnerabilidad: 14 días después de que esté disponible una medida correctora o de mitigación. Incidente: un mes después de la notificación de 72 horas | Un mes después de la notificación de 72 horas |\n| Destinatario | El CSIRT designado como coordinador del Estado miembro del fabricante, y ENISA, a través de la plataforma única de notificación | El CSIRT o la autoridad competente del Estado miembro de la entidad, según las normas nacionales |\n| En vigor | 11 de septiembre de 2026, incluidos los productos ya en el mercado | Desde la transposición nacional, con plazo el 17 de octubre de 2024 |\n\nUna empresa bajo ambas puede tener dos obligaciones a partir de un solo suceso: una vulnerabilidad de su producto explotada (CRA) y el incidente resultante en su propio servicio (NIS2), con dos destinatarios y dos anclajes para el informe final. [El informe final de vulnerabilidad del CRA no corre desde el conocimiento](\u002Farticles\u002Fcra-final-report-clock-does-not-start-when-you-become-aware), y ese es el error más común de los textos que funden las dos. [Los dos relojes uno al lado del otro, con los umbrales de NIS2 que hacen significativo un incidente](\u002Farticles\u002Fnis2-or-cra-which-incident-clock-runs-for-a-software-company-and-what-makes-an-incident-significant), tienen su propio artículo.\n\n## Las multas\n\n**CRA**, artículo 64: hasta 15 000 000 EUR o el 2,5 % del volumen de negocios anual mundial para el anexo I y los artículos 13 y 14; hasta 10 000 000 EUR o el 2 % para las demás obligaciones de los operadores; hasta 5 000 000 EUR o el 1 % por inducir a error a una autoridad. El tamaño es un factor obligatorio según el artículo 64, apartado 5, letra c). [Escrito aquí](\u002Farticles\u002Fcyber-resilience-act-penalties).\n\n**NIS2**, artículo 34: los Estados miembros deben prever máximos de al menos 10 000 000 EUR o el 2 % del volumen de negocios anual mundial para las entidades esenciales, y de al menos 7 000 000 EUR o el 1,4 % para las entidades importantes, por infracciones de los artículos 21 o 23. «Al menos» porque es una Directiva: el derecho nacional fija el techo real.\n\n## Quién aplica\n\nAmbas se aplican a nivel nacional. Bajo el CRA es la autoridad de vigilancia del mercado que cada Estado miembro designa y registra ante la Comisión, y [el día en que empezó a aplicarse el artículo 14, siete de 27 habían registrado una](\u002Farticles\u002Fwho-enforces-the-cyber-resilience-act-in-your-member-state). Bajo NIS2 es la autoridad competente que cada Estado miembro designa en su transposición, que en la mayoría de los Estados ya existía antes de la Directiva y se extendió a ella.\n\n## Qué decidir, y dejar por escrito\n\nDos determinaciones, de una página cada una. Primero, [la determinación del ámbito del CRA](\u002Farticles\u002Fis-your-product-in-scope-of-the-cyber-resilience-act), que [seis preguntas en este sitio](\u002Fcyber-resilience-act\u002Fscope) producen como texto: qué introduce en el mercado, si tiene tratamiento a distancia esencial, qué exclusión en su caso, qué nivel. Segundo, la de NIS2: su tamaño conforme a la Recomendación 2003\u002F361\u002FCE, en qué sector del anexo I o II encaja en su caso, y si la transposición de su Estado miembro le añade con independencia del tamaño. Feche ambas y guárdelas juntas, porque la respuesta a «qué ley se aplica» es lo primero que lee cualquiera de las dos autoridades, y una empresa que la tiene por escrito ya ha respondido a la segunda pregunta, que es quién es responsable.\n\n## Fuentes\n\n- Reglamento (UE) 2024\u002F2847 (CRA): artículos 2, 3, 13, apartado 8, 14, 32, 52, 64, 69, 71, apartado 2; considerando 12; anexos I, III, IV, VII. Leído en el texto del Diario Oficial en EUR-Lex el 11 de septiembre de 2026.\n- Directiva (UE) 2022\u002F2555 (NIS2): artículo 2, apartado 1 (umbral de tamaño por remisión a la Recomendación 2003\u002F361\u002FCE), artículo 21, apartado 2, artículo 23, apartado 4, letras a), b) y d) (plazos citados), artículo 34, apartados 4 y 5 (multas citadas), anexos I y II. Leído en EUR-Lex el 11 de septiembre de 2026.\n- Reglamento de Ejecución (UE) 2024\u002F2690 de la Comisión, para las medidas de los sectores digitales.\n\nEsto no es asesoramiento jurídico. Ambos textos están en EUR-Lex; los números de artículo están ahí para que pueda comprobar las dos pruebas frente a su propia empresa.\n",1789383974965]