[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:es:la-autoevaluacion-segun-el-cra-lo-que-el-modulo-a-exige-realmente":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"es","la-autoevaluacion-segun-el-cra-lo-que-el-modulo-a-exige-realmente","La autoevaluación según el CRA: lo que el módulo A exige realmente, según el anexo VIII y las FAQ de la Comisión","La mayoría de los productos de software nunca verán un organismo notificado. Usan el módulo A, el procedimiento de control interno del anexo VIII, y «autoevaluación» es la palabra que todo el mundo emplea sin decir qué contiene. El anexo VIII, parte I, son cinco puntos; las FAQ de la Comisión añaden la lista de actividades, el hecho de que no se impone ninguna metodología de ensayo, dónde lleva un producto de software su marcado CE, las dos formas de la declaración de conformidad, y el calendario de las normas armonizadas que decide cuándo la autoevaluación deja de significar «directamente contra el anexo I».","2026-09-11","\nEl artículo 32(1) del Cyber Resilience Act, Reglamento (UE) 2024\u002F2847, permite al fabricante demostrar la conformidad mediante «el procedimiento de control interno (basado en el módulo A) establecido en el anexo VIII», y para un producto que no está en los anexos III o IV esa es la vía que tomará casi todo el mundo. [El nivel en que cae un producto](\u002Farticles\u002Fdefault-important-or-critical-the-26-technical-descriptions-and-the-core-functionality-test) decide si el módulo A está disponible; este artículo trata de lo que contiene una vez que lo está. El Reglamento le da cinco puntos en el anexo VIII, parte I. Las FAQ de la Comisión sobre la aplicación, versión 1.4 de 4 de septiembre de 2026, sección 6, las convierten en una lista de actividades y responden a las preguntas que siguen: qué metodología, cómo debe ser el expediente, dónde va el marcado CE en el software, qué dice la declaración, y cuándo existirán normas armonizadas contra las que autoevaluarse.\n\n## Quién puede usar el módulo A\n\nLa entrada 6.1 de las FAQ enumera tres casos. Todo producto «que no tiene la funcionalidad principal de una categoría de productos importantes o críticos», la categoría por defecto. Los productos importantes de clase I «si se ha aplicado una norma armonizada de conformidad con el artículo 32(2)». Y los productos importantes de clase I o II que son software libre y de código abierto, «siempre que la documentación técnica se ponga a disposición del público, de conformidad con el artículo 32(5)». Los productos de clase II que no son de código abierto, y los críticos, necesitan un organismo notificado o un esquema de certificación, y ningún organismo notificado bajo el Reglamento existía [el día en que empezó la obligación de notificación](\u002Farticles\u002Fthe-eu-s-own-cra-machinery-on-the-day-the-duty-started).\n\n## Los cinco puntos del anexo VIII, parte I\n\nEl punto 1 define el procedimiento: el control interno es el procedimiento por el que «el fabricante cumple las obligaciones establecidas en los puntos 2, 3 y 4 de la presente parte, y garantiza y declara bajo su exclusiva responsabilidad que los productos con elementos digitales cumplen todos los requisitos esenciales de ciberseguridad establecidos en la parte I del anexo I y que el fabricante cumple los requisitos esenciales de ciberseguridad establecidos en la parte II del anexo I». Las dos mitades del anexo I, las propiedades del producto y el proceso de gestión de vulnerabilidades, y «exclusiva responsabilidad».\n\nPunto 2: «El fabricante elaborará la documentación técnica descrita en el anexo VII».\n\nPunto 3, sobre diseño, desarrollo, producción y gestión de vulnerabilidades: «El fabricante adoptará todas las medidas necesarias para que los procesos de diseño, desarrollo, producción y gestión de vulnerabilidades y su supervisión garanticen la conformidad de los productos con elementos digitales fabricados o desarrollados y de los procesos establecidos por el fabricante con los requisitos esenciales de ciberseguridad establecidos en las partes I y II del anexo I». Esa frase es todo lo que significa «evaluación» en el módulo A: medidas, procesos y su supervisión, del lado del fabricante.\n\nPunto 4: colocar el marcado CE «en cada producto individual con elementos digitales que cumpla los requisitos aplicables», y elaborar «una declaración UE de conformidad escrita para cada producto con elementos digitales de conformidad con el artículo 28 y mantenerla, junto con la documentación técnica, a disposición de las autoridades nacionales durante 10 años después de la introducción en el mercado del producto con elementos digitales o durante el periodo de soporte, si este fuera más largo».\n\nPunto 5: un representante autorizado puede cumplir el punto 4 en nombre del fabricante «siempre que las obligaciones pertinentes se especifiquen en el mandato».\n\n## Las actividades que enumeran las FAQ\n\nLa entrada 6.1 reformula el procedimiento en cinco actividades: implantar «las medidas de mitigación de ciberseguridad necesarias en el producto tras la evaluación de riesgos»; verificar «mediante ensayos u otro mecanismo» que el producto cumple los requisitos esenciales pertinentes; elaborar la documentación técnica; una vez que el fabricante «está en condiciones de demostrar» la conformidad, colocar el marcado CE y «elaborar y firmar una declaración de conformidad»; y «garantizar que la producción de las distintas unidades del producto con elementos digitales no altera la conformidad». Para el software, la última es el proceso de publicación: lo que convierte una compilación evaluada en las copias que descargan los clientes no debe cambiar lo evaluado, la misma disciplina que [la modificación sustancial](\u002Farticles\u002Fwhich-update-puts-your-existing-software-under-the-cra-substantial-modifications) pide versión a versión.\n\n## No se impone ninguna metodología, y los ensayos no son deterministas\n\nLa entrada 6.5 dice lo que muchos proveedores de herramientas preferirían que no dijera: «El CRA no impone el uso de ninguna metodología de evaluación específica, incluidos potencialmente los ensayos». Aplicar una norma armonizada o una especificación técnica es «práctica común», no una obligación. Los ensayos pueden realizarse «en sus propios laboratorios, si los tienen, o en externos», el Reglamento «no establece ningún requisito específico para los laboratorios», y «el fabricante asume la responsabilidad exclusiva de la evaluación de la conformidad». Las autoridades de vigilancia del mercado «pueden realizar ensayos o procedimientos de evaluación durante las inspecciones pertinentes», pueden usar la metodología del fabricante «especialmente si esa metodología forma parte de una norma armonizada», y «pueden aplicar una metodología distinta, de forma justificada». La última frase de las FAQ sobre el punto es la que hay que conservar: «los ensayos de ciberseguridad no son deterministas como en otros ámbitos regulados por el NLF y los resultados pueden no ser únicos». La defensa es un método documentado y el registro de haberlo aplicado, no una herramienta concreta.\n\n## La documentación técnica: cualquier idioma, no pública, completa y clara\n\nEntrada 6.6: la documentación «debe contener los elementos establecidos en el anexo VII», [punto por punto](\u002Farticles\u002Fwhat-goes-in-the-cra-technical-file-annex-vii-point-by-point). «No es solo un entregable interno, sino que puede ser requerida por las autoridades de vigilancia del mercado», por lo que «tiene que ser completa y clara», y el fabricante «debe poder demostrar que el producto ha sido diseñado, desarrollado y fabricado para cumplir los requisitos esenciales», lo que «incluye las especificaciones de los procesos de gestión de vulnerabilidades». «Puede redactarse en cualquier idioma», pero si la requiere una autoridad, «debe facilitarse en un idioma fácilmente comprensible para esa autoridad». Y «no hay obligación de poner la documentación técnica a disposición de los clientes del fabricante ni del público», con una excepción: los fabricantes de código abierto de productos de clase I o II que se autoevalúan conforme al artículo 32(5), cuya documentación debe ser pública.\n\n## El marcado CE, en el software\n\nEntrada 6.7 con el artículo 30(1): para los productos «en forma de software, el marcado CE se colocará en la declaración UE de conformidad a que se refiere el artículo 28 o en el sitio web que acompañe al producto de software. En este último caso, la sección pertinente del sitio web deberá ser fácil y directamente accesible para los consumidores». El marcado es «una simple autodeclaración visual», «no puede colocarse si el fabricante no ha realizado un procedimiento de evaluación de la conformidad con resultado positivo», y en los productos físicos mide al menos 5 mm. [El artículo sobre el marcado CE](\u002Farticles\u002Fdoes-software-need-a-ce-mark-under-the-cra) tiene el resto.\n\n## La declaración de conformidad: dos formas, una por producto\n\nEntrada 6.8 con el artículo 28 y los anexos V y VI. La declaración completa sigue el anexo V: el nombre y tipo del producto y «cualquier información adicional que permita su identificación única», el nombre y la dirección del fabricante, «una declaración de que la declaración UE de conformidad se expide bajo la exclusiva responsabilidad del proveedor», el objeto de la declaración, la declaración de conformidad con la legislación de armonización de la Unión pertinente, «referencias a las normas armonizadas pertinentes utilizadas o a cualquier otra especificación común o certificación de ciberseguridad respecto de la cual se declara la conformidad», el organismo notificado cuando haya intervenido uno, y una firma con lugar, fecha, nombre y cargo. La declaración simplificada del anexo VI es una frase con la dirección de la completa: «Por la presente, … [nombre del fabricante] declara que el producto con elementos digitales de tipo … es conforme con el Reglamento (UE) 2024\u002F2847. El texto completo de la declaración UE de conformidad está disponible en la siguiente dirección de internet: …».\n\nTres puntos de las FAQ al respecto: la declaración «es un documento vinculado al producto individual y no solo al tipo o modelo», aunque «no es necesario que incluya el identificador único»; «una nueva versión del producto puede necesitar una nueva declaración de conformidad, especialmente cuando implementa una modificación sustancial»; y cuando se aplican varios actos de la Unión, el artículo 28(3) exige «una única declaración de conformidad respecto de todos esos actos de la Unión», que «puede ser un expediente formado por las declaraciones de conformidad individuales pertinentes».\n\n## Normas armonizadas: contra qué se medirá la autoevaluación\n\nHasta que la referencia de una norma armonizada se publique en el Diario Oficial, el módulo A significa evaluar directamente contra el anexo I y documentar «las soluciones adoptadas», como dice el anexo VII, punto 5. La entrada 6.10 da el plan. La petición de normalización M\u002F606 pidió a CEN, CENELEC y ETSI 15 normas horizontales, agrupadas en tres entregables: una sobre el diseño, desarrollo y producción de productos «de tal manera que garanticen un nivel adecuado de ciberseguridad basado en los riesgos», y otra sobre la gestión de vulnerabilidades, ambas «a adoptar por las OEN a más tardar el 30 de agosto de 2026»; y otra que cubre las propiedades de los productos del anexo I, parte I, «a adoptar por las OEN a más tardar el 30 de octubre de 2027». Pidió 26 normas verticales, «que las OEN abordan mediante 31 entregables separados», para las categorías de los anexos III y IV, «a adoptar por las OEN a más tardar el 30 de octubre de 2026». La adopción por los organismos de normalización no es la publicación: conforme al artículo 27(6), la Comisión evalúa después cada norma con arreglo al Reglamento (UE) n.º 1025\u002F2012 antes de citarla. Un proyecto de modificación de la petición publicado en julio de 2026 retrasa las fechas de 2026 unos dos meses, y la propia frase de las FAQ sobre el punto no cambia: «el uso de normas armonizadas es voluntario», y la conformidad «por otros medios técnicos» documentada en el expediente técnico sigue abierta.\n\nPara un producto por defecto eso significa que la autoevaluación que haga en 2027 es la que describe el anexo VIII, con o sin norma: la evaluación de riesgos, las medidas, la verificación, el expediente, el marcado, la declaración. Para un producto de clase I significa que la vía de la autoevaluación no se abre hasta que se cite la norma vertical de su categoría, y que el expediente construido contra el anexo I entretanto es lo que leerá el organismo notificado, cuando exista uno.\n\n## Qué conservar\n\nEl registro del módulo A para un producto es corto: la evaluación de riesgos y las medidas a las que llevó; el método usado para verificar cada requisito esencial y sus resultados, fechados; el expediente técnico del anexo VII; la declaración en la forma del anexo V, firmada, con la frase del anexo VI donde acompañe al producto; la ubicación del marcado CE, declaración o sitio web; y el control de publicación que mantiene las copias entregadas iguales a la compilación evaluada. StandardOS mantiene [el expediente técnico](\u002Fcyber-resilience-act\u002Ftechnical-file) y sus pruebas como registros vivos con la retención de diez años que fija el anexo VIII, punto 4.2, más de lo que la mayoría de las empresas conservan cualquier cosa.\n\n## Fuentes\n\n- Reglamento (UE) 2024\u002F2847, artículo 27(1) y (6), artículo 28, artículo 30(1), artículo 32(1), (2) y (5), anexo V, anexo VI, anexo VII punto 5, anexo VIII parte I.\n- Comisión Europea, FAQ sobre el Cyber Resilience Act, versión 1.4 de 4 de septiembre de 2026, entradas 6.1, 6.5, 6.6, 6.7, 6.8, 6.9 y 6.10.\n- Comisión Europea, petición de normalización M\u002F606, C(2025) 618, y el proyecto de modificación de julio de 2026.\n\nEsto no es asesoramiento jurídico. El anexo VIII, parte I, son cinco puntos en una página, y la sección 6 de las FAQ son ocho; juntos son la definición de «autoevaluación», y merece la pena leerlos antes de comprar una herramienta que la prometa.\n",1789383978414]