[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:es:que-contiene-la-documentacion-tecnica-del-cra-anexo-vii-punto-por-punto":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"es","que-contiene-la-documentacion-tecnica-del-cra-anexo-vii-punto-por-punto","Qué contiene la documentación técnica del CRA: el anexo VII, punto por punto","Desde el 11 de diciembre de 2027, todo producto con elementos digitales introducido en el mercado de la UE necesita documentación técnica antes de introducirse, conservada diez años o durante el período de soporte, lo que sea más largo. El anexo VII dice qué contiene en ocho puntos. Aquí están, lo que cada uno pide realmente, los cuatro documentos que presupone la parte II del anexo I, y cuánto tiempo la conserva.","2026-09-11","\nEl Reglamento de Ciberresiliencia, Reglamento (UE) 2024\u002F2847, pone la carga de la prueba en el fabricante. El artículo 31 exige que se elabore una **documentación técnica** antes de que un producto con elementos digitales se introduzca en el mercado, que se mantenga actualizada durante el período de soporte y a disposición de las autoridades. El anexo VII enumera lo que debe contener. Para el fabricante que se autoevalúa, es la totalidad de la prueba; para el que acude a un organismo notificado, es lo que el organismo examina primero (anexo VIII, módulo B, punto 3.3).\n\nEl anexo VII ocupa una página y cada elemento corresponde a algo concreto. Aquí está la lista, con lo que cada punto le pide producir.\n\n## Los ocho puntos del anexo VII\n\nLa documentación técnica debe contener al menos lo siguiente, según proceda para el producto.\n\n**1. Una descripción general del producto.** Su finalidad prevista; las versiones de software que afectan al cumplimiento de los requisitos esenciales; para un producto de hardware, fotografías o ilustraciones que muestren las características externas, el marcado y la disposición interna; y la información e instrucciones para el usuario que exige el anexo II. En la práctica: una ficha de producto con una tabla de versiones y la información de seguridad dirigida al usuario (contacto para vulnerabilidades, período de soporte, cómo instalar actualizaciones, configuración segura por defecto) que enumera el anexo II.\n\n**2. Una descripción del diseño, el desarrollo, la producción y la gestión de vulnerabilidades.** Tres partes. a) Información de diseño y desarrollo, incluidos, cuando proceda, planos, esquemas y una descripción de la arquitectura del sistema que explique cómo los componentes de software se apoyan o alimentan entre sí. b) Los procesos de gestión de vulnerabilidades, incluyendo explícitamente la **lista de materiales de software**, la **política de divulgación coordinada de vulnerabilidades**, la **prueba de una dirección de contacto** para notificar vulnerabilidades y una descripción de cómo se distribuyen las actualizaciones de forma segura. c) Los procesos de producción y supervisión y cómo se validan. El punto 2, letra b), es donde van [los cuatro documentos de la parte II](\u002Farticles\u002Fcra-annex-i-the-22-essential-requirements-as-a-checklist), y los nombra.\n\n**3. La evaluación de riesgos de ciberseguridad.** La evaluación conforme al artículo 13 frente a la que el producto se diseña, desarrolla, produce, entrega y mantiene, incluido **cómo se aplican los requisitos esenciales de la parte I del anexo I**. Es el documento que justifica cada exclusión «cuando proceda»; un requisito del punto 2 de la parte I omitido sin una línea aquí es una laguna.\n\n**4. La determinación del período de soporte.** La información tenida en cuenta para determinar el período de soporte conforme al artículo 13, apartado 8: al menos cinco años salvo que se espere que el producto se use menos tiempo, y declarado a los usuarios. Anote el tiempo de uso esperado y el razonamiento; una cifra sin razonamiento es lo primero que pregunta una autoridad de vigilancia del mercado.\n\n**5. Las normas aplicadas, o lo que hizo en su lugar.** Una lista de las normas armonizadas aplicadas total o parcialmente, las especificaciones comunes del artículo 27 o los esquemas europeos de certificación de la ciberseguridad; y, cuando no se haya aplicado ninguno, una descripción de las soluciones adoptadas para cumplir el anexo I, incluidas otras especificaciones técnicas utilizadas. Las normas aplicadas parcialmente deben indicar qué partes. A septiembre de 2026 no se ha publicado ninguna norma armonizada del CRA, así que para la mayoría de los expedientes este punto es la descripción de las soluciones adoptadas, requisito por requisito.\n\n**6. Los informes de ensayo.** Los informes de los ensayos realizados para verificar la conformidad del producto y de los procesos de gestión de vulnerabilidades con las partes I y II del anexo I. Informes de pruebas de penetración, resultados de análisis estático, salidas de análisis de dependencias, pruebas del mecanismo de actualización: lo que haya hecho, con fechas.\n\n**7. Una copia de la declaración UE de conformidad.** La declaración del anexo V, firmada, identificando el producto.\n\n**8. La lista de materiales de software, previa solicitud motivada.** Cuando proceda, la propia SBOM, que se facilita a una autoridad de vigilancia del mercado previa solicitud motivada cuando sea necesaria para comprobar el cumplimiento del anexo I. Observe la forma: la SBOM tiene que existir (punto 2, letra b), y anexo I, parte II, punto 1), pero no tiene que publicarse, solo aportarse cuando llegue una solicitud motivada.\n\n## Tres cosas que se hacen mal\n\n**«Antes de introducirse en el mercado» es el plazo, no diciembre de 2027.** El artículo 31, apartado 1, exige que la documentación se elabore antes de la introducción en el mercado. Para un producto introducido por primera vez después del 11 de diciembre de 2027, eso es antes del lanzamiento. Para un producto ya en el mercado, [el artículo 69](\u002Farticles\u002Fis-your-product-in-scope-of-the-cyber-resilience-act) hace que los requisitos solo se apliquen ante una modificación sustancial, así que el expediente vence antes de la primera modificación sustancial posterior a esa fecha.\n\n**Diez años o el período de soporte, lo que sea más largo.** El anexo VIII exige al fabricante mantener la declaración de conformidad junto con la documentación técnica a disposición de las autoridades nacionales durante 10 años después de la introducción del producto en el mercado o durante el período de soporte, lo que sea más largo. Un producto con soporte durante doce años es un expediente conservado doce años.\n\n**El expediente es por producto, y debe mantenerse actualizado.** El artículo 31 exige que se mantenga actualizado durante el período de soporte. Un expediente que describe la versión 1 mientras se entrega la versión 4 no es una documentación técnica; es un documento histórico.\n\n## En qué se convierte cada punto\n\nLos ocho puntos están escritos como información, no como documentos, y un organismo notificado o una autoridad lee documentos. La correspondencia que usamos, y que [el paquete de documentación técnica](\u002Fcyber-resilience-act\u002Ftechnical-file) redacta para un producto, son once documentos controlados: una determinación de ámbito y clasificación (artículo 3 y [anexo III](\u002Farticles\u002Fis-your-product-important-or-critical-under-the-cyber-resilience-act)), la descripción general con información para el usuario (punto 1 y anexo II), la evaluación de riesgos (punto 3), el proceso de gestión de vulnerabilidades (punto 2), la determinación del período de soporte (punto 4), el registro de normas y pruebas de ensayo (puntos 5 y 6), la declaración UE de conformidad (punto 7) y los cuatro documentos operativos que presupone la parte II: la política de divulgación coordinada de vulnerabilidades, la declaración de actualizaciones de seguridad y soporte, el procedimiento SBOM y el [procedimiento de notificación del artículo 14](\u002Farticles\u002Fcra-final-report-clock-does-not-start-when-you-become-aware), que no está en el anexo VII pero es el que una autoridad pregunta el día en que algo se explota.\n\nSe mire como se mire, empiece por los puntos 3 y 4. La evaluación de riesgos decide lo que debe decir el resto del expediente, y el período de soporte decide durante cuánto tiempo lo dice.\n\n## Fuentes\n\n- Reglamento (UE) 2024\u002F2847, artículo 31 y anexo VII (los ocho puntos, parafraseados de cerca; lea el texto para la redacción), anexo II para la información al usuario, anexo V para la declaración, anexo VIII parte I punto 4.2 y parte II punto 10 para la regla de los diez años, artículo 13, apartado 8, para el período de soporte, artículo 27 para normas y especificaciones comunes, artículos 69 y 71, apartado 2, para las fechas. Leído en el texto del Diario Oficial en EUR-Lex el 11 de septiembre de 2026.\n\nEsto no es asesoramiento jurídico. El anexo VII es una página; los números de punto de arriba le permiten leerlo frente a su propio expediente en unos minutos.\n",1789383974589]