El Reglamento de Ciberresiliencia, Reglamento (UE) 2024/2847, aplica los mismos requisitos esenciales a todo producto con elementos digitales dentro de su ámbito. Lo que difiere según el producto es cómo demuestra que los cumple. El artículo 32 permite a la mayoría de los fabricantes evaluarse a sí mismos; para los productos enumerados en el anexo III reduce las opciones, y para las tres categorías del anexo IV señala a la certificación europea. Así que, tras la pregunta del ámbito, que hemos tratado por separado, la siguiente es: ¿está mi producto en alguna de las listas?

Este artículo reproduce ambas listas tal cual. Existe porque las listas que circulan por la web suelen ser las de la propuesta de la Comisión de 2022, que tenía 23 filas en la clase I y 15 en la clase II, situaba los sistemas operativos, los microprocesadores de propósito general y la infraestructura de clave pública en la clase II, y lo numeraba todo de otra forma. El texto final es más corto y distinto, y un fabricante que clasifique según la propuesta obtendrá la respuesta equivocada.

Los tres niveles, y qué cambia cada uno

Todo lo que está en el ámbito y no figura en ninguna lista es por defecto. Según el artículo 32, apartado 1, un producto por defecto puede ser evaluado por el fabricante solo mediante el procedimiento de control interno (módulo A del anexo VIII) o, si lo prefiere, por cualquiera de las vías con tercero.

Importante, clase I (anexo III, 19 categorías). La autoevaluación sigue disponible solo si el fabricante aplica normas armonizadas, especificaciones comunes o un esquema europeo de certificación de la ciberseguridad con nivel de garantía al menos «sustancial», y los aplica íntegramente. Donde no existen, o se aplican solo en parte, el artículo 32, apartado 2, exige un organismo notificado: examen UE de tipo seguido de conformidad con el tipo (módulos B y C), o aseguramiento pleno de la calidad (módulo H). A septiembre de 2026 no se ha publicado en el Diario Oficial ninguna norma armonizada del CRA, así que hoy la respuesta práctica para un producto de clase I es un organismo notificado; y tampoco se ha notificado todavía ningún organismo con arreglo al CRA, de modo que por ahora no hay vía que completar, solo un expediente que preparar.

Importante, clase II (anexo III, 4 categorías). Artículo 32, apartado 3: un organismo notificado con los módulos B y C o el módulo H, o un esquema europeo de certificación de la ciberseguridad con nivel de garantía al menos «sustancial». La autoevaluación no es una opción.

Crítico (anexo IV, 3 categorías). Artículo 32, apartado 4: un esquema europeo de certificación de la ciberseguridad donde la Comisión lo haya exigido según el artículo 8, apartado 1; en caso contrario, los procedimientos de la clase II.

Dos cosas que el nivel no cambia. Los requisitos esenciales del anexo I son los mismos para los cuatro niveles. Y la obligación de notificación del artículo 14, en vigor desde el 11 de septiembre de 2026, se aplica igual a un producto por defecto que a uno crítico: 24 horas para la alerta temprana, 72 para la notificación, al CSIRT de su Estado miembro y a ENISA.

Anexo III, clase I: productos importantes

Referencia Redacción del Reglamento
Anexo III, clase I, punto 1 Sistemas de gestión de la identidad y programas y equipos informáticos de gestión de accesos privilegiados, incluidos los lectores de autenticación y control de acceso, como los lectores biométricos
Anexo III, clase I, punto 2 Navegadores independientes e integrados
Anexo III, clase I, punto 3 Gestores de contraseñas
Anexo III, clase I, punto 4 Programas informáticos que busquen, eliminen o pongan en cuarentena programas maliciosos
Anexo III, clase I, punto 5 Productos con elementos digitales que ejerzan la función de red privada virtual (VPN, por sus siglas en inglés)
Anexo III, clase I, punto 6 Sistemas de gestión de redes
Anexo III, clase I, punto 7 Sistemas de gestión de información de seguridad y eventos (SIEM, por sus siglas en inglés)
Anexo III, clase I, punto 8 Gestores de arranque
Anexo III, clase I, punto 9 Infraestructuras públicas clave y programas informáticos de emisión de certificados digitales
Anexo III, clase I, punto 10 Interfaces físicas y virtuales de red
Anexo III, clase I, punto 11 Sistemas operativos
Anexo III, clase I, punto 12 Enrutadores, módems destinados a la conexión a internet e interruptores
Anexo III, clase I, punto 13 Microprocesadores con funcionalidades relacionadas con la seguridad
Anexo III, clase I, punto 14 Microcontroladores con funcionalidades relacionadas con la seguridad
Anexo III, clase I, punto 15 Circuitos integrados de aplicación específica (ASIC, por sus siglas en inglés) y matrices de puertas programables in situ (FPGA, por sus siglas en inglés) con funcionalidades relacionadas con la seguridad
Anexo III, clase I, punto 16 Asistentes virtuales de propósito general para hogares inteligentes
Anexo III, clase I, punto 17 Productos para hogares inteligentes con funciones de seguridad, como cerraduras, cámaras de seguridad, sistemas de vigilancia de bebés y sistemas de alarma inteligentes
Anexo III, clase I, punto 18 Juguetes conectados a internet regulados por la Directiva 2009/48/CE del Parlamento Europeo y del Consejo que tienen funcionalidades sociales interactivas (por ejemplo, que hablen o filmen) o que funcionalidades de seguimiento de localización
Anexo III, clase I, punto 19 Productos ponibles personales destinados a ser utilizados o colocados en el cuerpo humano con fines de seguimiento médico (como la localización) y a los que no se aplican el Reglamento (UE) 2017/745 o el Reglamento (UE) 2017/746, o productos ponibles personales destinados a ser utilizados por y para niños

Anexo III, clase II: productos importantes

Referencia Redacción del Reglamento
Anexo III, clase II, punto 1 Hipervisores y sistemas de ejecución de contenedores que permitan la ejecución virtualizada de sistemas operativos y entornos similares
Anexo III, clase II, punto 2 Cortafuegos y sistemas de detección y prevención de intrusiones
Anexo III, clase II, punto 3 Microprocesadores resistentes a las manipulaciones
Anexo III, clase II, punto 4 Microcontroladores resistentes a las manipulaciones

Anexo IV: productos críticos

Referencia Redacción del Reglamento
Anexo IV, punto 1 Dispositivos de equipos informáticos con cajas de seguridad
Anexo IV, punto 2 Pasarelas de contadores inteligentes dentro de los sistemas de medición inteligente según se definen en el artículo 2, punto 23, de la Directiva (UE) 2019/944 del Parlamento Europeo y del Consejo , y otros dispositivos con fines de seguridad avanzada, incluido el procesamiento seguro de criptoactivos
Anexo IV, punto 3 Tarjetas inteligentes o dispositivos similares, que incluyan elementos seguros

Cómo leer las listas

Describen funciones, no tipos de producto. «Productos con elementos digitales que ejerzan la función de red privada virtual» atrapa un enrutador con función VPN, una aplicación VPN y una biblioteca VPN. «Microprocesadores con funcionalidades relacionadas con la seguridad» es más estrecho que «microprocesadores», que la propuesta enumeraba sin más. Lea la fila como una función que su producto realiza, no como una categoría en la que se vende.

La clase II es pequeña y concreta. Cuatro filas: hipervisores y sistemas de ejecución de contenedores, cortafuegos y sistemas de detección o prevención de intrusiones, microprocesadores resistentes a las manipulaciones, microcontroladores resistentes a las manipulaciones. Los sistemas operativos, que la propuesta situaba en la clase II, están en la clase I en el texto final.

Los productos de consumo están en la lista. Cerraduras inteligentes, cámaras de seguridad, vigilabebés y sistemas de alarma, asistentes virtuales de propósito general para hogares inteligentes, juguetes conectados con interacción social o localización, y ponibles para seguimiento de la salud o para niños son todos clase I. Una start-up de hardware que envía una cámara con una aplicación es fabricante de un producto importante.

El código abierto tiene su propia vía. Artículo 32, apartado 5: un producto libre y de código abierto de una categoría del anexo III puede seguir usando el procedimiento de autoevaluación, siempre que la documentación técnica se haga pública al introducir el producto en el mercado.

Las tasas deben reflejar el tamaño. El artículo 32, apartado 6, exige que las tasas de los procedimientos de evaluación de la conformidad tengan en cuenta los intereses y necesidades específicos de las microempresas y las pequeñas y medianas empresas, incluidas las emergentes, y se reduzcan proporcionalmente. Pregúntelo al organismo notificado antes de aceptar un presupuesto.

Qué registrar

La clasificación forma parte de la determinación del ámbito y va en la documentación técnica. Una línea por producto: por defecto, o el anexo y el punto en que encaja, con la redacción citada, y la vía del artículo 32 que se deriva. Si un producto pudiera leerse en una fila, anote por qué concluyó que encaja o no, porque ese razonamiento es lo primero que lee una autoridad de vigilancia del mercado, y en la mayoría de los Estados miembros esa autoridad aún no ha sido nombrada.

Las fechas: la obligación de notificación del artículo 14 se aplica ahora. El anexo I, la documentación técnica, la evaluación de la conformidad y el marcado CE se aplican desde el 11 de diciembre de 2027, y según el artículo 69 un producto ya en el mercado antes de esa fecha solo queda sujeto a ellos si después es objeto de una modificación sustancial.

Desde el 21 de diciembre de 2025 cada una de las 26 categorías tiene una descripción técnica en el Reglamento de Ejecución (UE) 2025/2392 de la Comisión, y las orientaciones de la Comisión del 27 de julio de 2026 dicen que la clasificación se hace solo por la funcionalidad principal: las 26 descripciones literalmente, con las seis reglas y sus ejemplos.

Fuentes

  • Reglamento (UE) 2024/2847, anexo III y anexo IV (redacción literal, marcas de nota al pie eliminadas), artículo 32, apartados 1 a 6, artículo 8, apartado 1, artículo 14, artículo 69, artículo 71, apartado 2, anexo VIII para los módulos. Leído en el texto del Diario Oficial en EUR-Lex el 11 de septiembre de 2026.
  • La propuesta de la Comisión de 2022, COM(2022) 454, para el anexo III anterior que algunas páginas aún reproducen.

Esto no es asesoramiento jurídico. Las listas se citan para que pueda clasificar según el texto y no según nuestra lectura de él.