Toda evaluación de la conformidad con arreglo al Reglamento (UE) 2024/2847 vuelve a una pregunta que el Reglamento no puede responder por sí solo: ¿contra qué texto técnico se evalúa el producto? El anexo I fija requisitos esenciales en una frase cada uno, y el artículo 27 dice cómo se vuelven comprobables: «Se presumirá que los productos con elementos digitales y los procesos establecidos por el fabricante que sean conformes con normas armonizadas o partes de estas, cuyas referencias se hayan publicado en el Diario Oficial de la Unión Europea, son conformes con los requisitos esenciales de ciberseguridad establecidos en el anexo I que estén regulados por dichas normas o partes de ellas». La presunción necesita tres cosas: una norma, elaborada a petición de la Comisión; su adopción por una organización europea de normalización; y su cita en el Diario Oficial. Este artículo es dónde está cada una de las tres, leído en la propia solicitud y en las organizaciones que la aceptaron.
La solicitud
La Decisión de Ejecución C(2025) 618 de la Comisión, de 3 de febrero de 2025, es la solicitud de normalización, M/606 en la numeración de la Comisión, dirigida a CEN, CENELEC y ETSI con arreglo al artículo 10(1) del Reglamento (UE) n.º 1025/2012. El artículo 1 de la Decisión pide las normas europeas enumeradas en el anexo I de la Decisión, en apoyo del Cyber Resilience Act, en los plazos que ese anexo fija: 41 entradas, de las que las entradas 1 a 15 y 39 a 41 corresponden a CEN y CENELEC y las entradas 16 a 38 deben desarrollarse conjuntamente por CEN, CENELEC y ETSI. El artículo 4 hace que los tres informen del avance cada seis meses hasta que cada proyecto alcance la fase de encuesta, y después anualmente, con un informe conjunto final a más tardar el 30 de octubre de 2027; el artículo 5 hace expirar la Decisión el 30 de noviembre de 2027. CEN y CENELEC anunciaron el 1 de mayo de 2025 que las tres organizaciones habían aceptado la solicitud el 3 de abril de 2025, comprometidas a entregar normas armonizadas con mucha antelación, al menos un año antes de que el CRA empiece a aplicarse.
Las 41 entradas son de tres clases. Las propias FAQ de la Comisión sobre el Reglamento, pregunta 6.10 en la versión 1.4 de 4 de septiembre de 2026, dicen que las organizaciones de normalización han agrupado las 15 normas horizontales en tres entregables, dos con plazo hasta el 30 de agosto de 2026 y uno hasta el 30 de octubre de 2027, y que las 26 normas verticales, abordadas en 31 entregables separados, tienen plazo hasta el 30 de octubre de 2026; el taller de CEN y CENELEC del 9 de abril de 2025 dio las mismas fechas entrada por entrada:
| Entradas | Qué son | Quién redacta | Plazo |
|---|---|---|---|
| 1 | El marco horizontal: «Requisitos de ciberseguridad para productos con elementos digitales, principios de ciberresiliencia», que cubre el anexo I parte I punto 1 | CEN y CENELEC, JTC 13 WG 9 | 30 de agosto de 2026 |
| 2 a 14 | Los requisitos de seguridad genéricos, uno por cada punto del anexo I parte I punto 2, letras (a) a (m) | CEN y CENELEC, JTC 13 WG 9 | 30 de octubre de 2027 |
| 15 | Gestión de vulnerabilidades, que cubre el anexo I parte II puntos 1 a 8 | CEN y CENELEC, JTC 13 WG 9 | 30 de agosto de 2026 |
| 16 a 38 | Las normas verticales para los productos importantes del anexo III, clase I y clase II | CEN, CENELEC y ETSI conjuntamente | 30 de octubre de 2026 |
| 39 a 41 | Las normas verticales para los productos críticos del anexo IV | CEN y CENELEC | 30 de octubre de 2026 |
Dos fechas de esa tabla importan más que el resto. Las dos normas horizontales con el plazo más temprano, el marco y la gestión de vulnerabilidades, son aquellas en las que se apoyará toda evaluación de la conformidad para todo producto, y su plazo era el 30 de agosto de 2026. Las normas verticales para las categorías de clase I y clase II vencen el 30 de octubre de 2026, trece meses antes de que el Reglamento se aplique plenamente el 11 de diciembre de 2027. La adopción por las organizaciones no es la cita: el artículo 27(6) hace que la Comisión evalúe cada norma adoptada con arreglo al Reglamento (UE) n.º 1025/2012 antes de publicar su referencia, y solo la publicación da la presunción.
Lo que existe el 12 de septiembre de 2026
La Comisión publica, para cada acto que la tiene, una página con las normas armonizadas citadas en el Diario Oficial bajo ese acto; el índice de esas páginas enumera decenas de actos, entre ellos el Reglamento de máquinas, la Directiva de equipos radioeléctricos y la Directiva de baja tensión. A 12 de septiembre de 2026 no tiene página para el Cyber Resilience Act. Sea lo que sea lo que CEN y CENELEC entregaron en el plazo del 30 de agosto, ninguna referencia a una norma armonizada con arreglo al Reglamento (UE) 2024/2847 se ha publicado en el Diario Oficial, y la presunción de conformidad del artículo 27 no está disponible para ningún producto. StandardOS vuelve a comprobar ese índice cada mes; el día en que aparezca una página, esta frase se corrige.
No es una laguna que el Reglamento haya dejado sin guardar. El artículo 27(2) permite a la Comisión adoptar especificaciones comunes por acto de ejecución cuando una solicitud «no haya sido aceptada», cuando las normas «no se hayan entregado en el plazo establecido» o cuando «no se ajusten a la solicitud», y no se prevea la publicación de ninguna referencia «en un plazo razonable». No se ha adoptado ninguna especificación común. La solicitud fue aceptada, así que la primera de esas condiciones está cerrada; que la segunda se cumpla para las dos normas horizontales depende de lo que las organizaciones entregaron a 30 de agosto de 2026, lo que dirán sus informes semestrales a la Comisión.
Qué significa la ausencia para cada nivel
Para un producto del nivel por defecto, la ausencia cuesta un atajo, no una vía. El artículo 32(1) permite al fabricante evaluar la conformidad con el módulo A, el procedimiento de control interno del anexo VIII, exista o no una norma armonizada; la norma habría hecho presuntiva la evaluación, y sin ella el fabricante documenta la conformidad con cada requisito del anexo I frente al estado de la técnica que eligió. Lo que el módulo A exige realmente tiene su propio artículo.
Para un producto importante de clase I, la ausencia cierra la vía. El artículo 32(2) envía un producto de clase I a un organismo notificado, módulos B y C o módulo H, cuando el fabricante «no haya aplicado o solo haya aplicado parcialmente las normas armonizadas, las especificaciones comunes o los esquemas europeos de certificación de la ciberseguridad» o «cuando no existan tales normas armonizadas, especificaciones comunes o esquemas europeos de certificación de la ciberseguridad». No existen. Un fabricante de un gestor de contraseñas, un cliente VPN, un router o cualquier otra categoría de clase I tiene, por tanto, hoy solo la vía de terceros hacia la conformidad, y el registro de organismos notificados con arreglo al Reglamento estaba vacío cuando se leyó. Ambas cosas cambiarán antes del 11 de diciembre de 2027, o el nivel será inevaluable ese día; cuál de las dos cambie primero decide si un fabricante de clase I necesita la agenda de un organismo notificado o el texto de una norma.
Para los productos de clase II y los críticos nada cambia: un organismo notificado o un esquema de certificación fue siempre la vía (artículo 32(3) y (4)).
Contra qué construir mientras tanto
Los requisitos esenciales del anexo I se aplican desde el 11 de diciembre de 2027 exista o no una norma, y la evaluación de riesgos del artículo 13 se debe para todo producto sea cual sea el nivel. La solicitud dice al fabricante a partir de qué se construirán las normas: la norma marco cubre el anexo I parte I punto 1, los requisitos genéricos cubren las trece letras del punto 2, y la norma de gestión de vulnerabilidades cubre los ocho puntos de la parte II, de modo que una documentación técnica organizada hoy por esos puntos encajará con las normas cuando se citen. Las FAQ de la Comisión dicen en el 4.1.7 que el uso de normas armonizadas es voluntario y que un fabricante puede demostrar la conformidad por otros medios técnicos, documentados en la documentación técnica; los proyectos de CEN y CENELEC, una vez en fase de encuesta, son públicos en los portales de encuesta de los organismos nacionales de normalización. El anexo I como lista de comprobación y qué va en la documentación técnica son las dos piezas desde las que construir; los niveles, y qué categorías son de clase I, deciden si la ausencia es un atajo perdido o una vía cerrada.
Fuentes
- Reglamento (UE) 2024/2847 (CRA), artículo 13, artículo 27(1), (2) y (6), artículo 32(1) a (4), artículo 71(2), anexo I, anexo VIII.
- Decisión de Ejecución C(2025) 618 de la Comisión, de 3 de febrero de 2025, relativa a una solicitud de normalización a CEN, Cenelec y ETSI en lo que respecta a los productos con elementos digitales, artículos 1, 4 y 5.
- Comisión Europea, FAQ sobre el Cyber Resilience Act, versión 1.4 de 4 de septiembre de 2026, preguntas 4.1.7 y 6.10.
- CEN y CENELEC, «Cyber Resilience Act: Standardization Request Officially Accepted by CEN, CENELEC, and ETSI», publicado el 1 de mayo de 2025; taller de CEN y CENELEC «Cyber Resilience Act and the horizontal standards», 9 de abril de 2025, para las categorías y plazos; STAN4CR, el sitio de normalización del CRA de las organizaciones de normalización, para los temas asignados al JTC 13 WG 9.
- Comisión Europea, normas armonizadas por legislación, leído el 12 de septiembre de 2026.
Esto no es asesoramiento jurídico. Los plazos de una solicitud de normalización vinculan a las organizaciones de normalización, no a los fabricantes; las fechas que vinculan a los fabricantes son las del Reglamento.