La pregunta que subyace a todas las demás preguntas sobre el Reglamento de Ciberresiliencia no es cómo cumplir. Es quién comprueba. El artículo 64 fija multas de hasta 15 millones EUR o el 2,5 % del volumen de negocios, y la cifra se cita en todas partes, pero el Reglamento no da a la Comisión un único brazo ejecutor. El artículo 52, apartado 2, obliga a cada Estado miembro a designar una o varias autoridades de vigilancia del mercado, y son esas autoridades las que, conforme a las normas generales de vigilancia del mercado del Reglamento (UE) 2019/1020, le piden la documentación técnica, ensayan su producto, ordenan una retirada o imponen la multa.
Así que «quién aplica el CRA» tiene 27 respuestas, y el estado honesto de esas respuestas el día en que se aplicó la primera obligación es el tema de este artículo.
Dónde se publican las respuestas
Las designaciones se registran ante la Comisión y se publican en el Single Market Compliance Space, la misma base de datos que recoge las autoridades de vigilancia del mercado de todas las demás normas de productos, de los juguetes a los equipos a presión. Se puede filtrar por reglamento. La página de la Comisión sobre el CRA para los Estados miembros enlaza a ella y a ningún otro sitio, así que es el registro.
Hay dos registros, porque el Reglamento crea dos funciones:
- Autoridad de vigilancia del mercado, artículo 52: la que aplica. Comprueba productos en el mercado, tramita denuncias, impone sanciones.
- Autoridad notificante, artículo 36: el organismo que evalúa y supervisa a los organismos de evaluación de la conformidad (los organismos notificados) que necesitarán los productos importantes y críticos. No aplica, pero es el primer compromiso institucional de un Estado con el Reglamento.
Leímos ambos el 11 de septiembre de 2026, el día en que empezó a aplicarse el artículo 14. Esto es lo que contenían.
El registro, Estado por Estado
| Estado miembro | Autoridad de vigilancia del mercado (artículo 52) | Autoridad notificante (artículo 36) |
|---|---|---|
| Austria | no registrada | no registrada |
| Bélgica | Belgian Institute for Postal services and Telecommunications | CCB – Centre for Cybersecurity Belgium |
| Bulgaria | no registrada | no registrada |
| Croacia | no registrada | Information Systems Security Bureau |
| Chipre | Office of the Commissioner of Communications - Digital Security Authority (DSA) | Digital Security Authority - National Cybersecurity Certification Authority |
| Chequia | no registrada | no registrada |
| Dinamarca | no registrada | no registrada |
| Estonia | no registrada | Consumer Protection and Technical Regulatory Authority |
| Finlandia | Finnish Transport and Communications Agency (Traficom) | no registrada |
| Francia | Agence Nationale des Fréquences | Agence nationale de la sécurité des systèmes d’information |
| Alemania | Bundesamt für Sicherheit in der Informationstechnik (BSI) | Bundesamt für Sicherheit in der Informationstechnik - Referat S 14 – Befugniserteilung und Aufsicht über Konformitätsbewertungsstellen |
| Grecia | no registrada | no registrada |
| Hungría | no registrada | Supervisory Authority for Regulatory Affairs |
| Irlanda | no registrada | no registrada |
| Italia | no registrada | no registrada |
| Letonia | Consumer Rights Protection Centre (Patērētāju tiesību aizsardzības centrs) | no registrada |
| Lituania | no registrada | Ministry of National Defence of the Republic of Lithuania |
| Luxemburgo | no registrada | no registrada |
| Malta | no registrada | Malta Digital Innovation Authority |
| Países Bajos | no registrada | Ministry of Economic Affairs – Dutch Authority for Digital Infrastructure |
| Polonia | no registrada | Ministry of Digital Affairs - Cybersecurity Department |
| Portugal | no registrada | no registrada |
| Rumanía | no registrada | no registrada |
| Eslovaquia | National Security Authority | Slovak Office of Standards, Metrology and Testing |
| Eslovenia | no registrada | no registrada |
| España | no registrada | no registrada |
| Suecia | no registrada | SWEDAC - Swedish Board for Accreditation and Conformity Assessment |
Los nombres figuran tal cual se registraron, en el idioma y la forma que eligió cada Estado. «No registrada» significa que la base de datos no devolvió ninguna autoridad para ese Estado bajo el filtro CRA en la fecha indicada; no significa que el Estado no tenga un plan, solo que no se lo ha comunicado a la Comisión.
Lo que dice la tabla
Siete de 27 han registrado una autoridad de aplicación. Bélgica, Chipre, Finlandia, Francia, Alemania, Letonia y Eslovaquia. Veinte no.
Trece han registrado una autoridad notificante. Catorce no. Las dos listas se solapan pero no coinciden: Estonia, Croacia, Hungría, Lituania, Malta, los Países Bajos, Polonia y Suecia han nombrado a quien supervisará a los organismos de evaluación de la conformidad pero no a quien aplica; Finlandia y Letonia han hecho lo contrario.
Doce Estados no han registrado ninguna de las dos. Austria, Bulgaria, Chequia, Dinamarca, Grecia, Irlanda, Italia, Luxemburgo, Portugal, Rumanía, Eslovenia y España. Un fabricante con su establecimiento principal en cualquiera de ellos no tiene, desde que se aplica la obligación de notificación, ninguna autoridad registrada para el Reglamento al que ahora está sujeto.
Los Estados que se han movido eligieron organismos de tipos distintos. Alemania lo encomendó a su oficina federal de seguridad de la información, que también gestiona el CSIRT nacional y ejerce la función notificante. Francia lo dividió: la agencia de frecuencias para la vigilancia del mercado, la agencia nacional de seguridad de los sistemas de información para la notificación. Bélgica y Finlandia recurrieron a sus reguladores de telecomunicaciones. Letonia, a su centro de protección de los consumidores. Chipre y Eslovaquia, a sus autoridades de seguridad nacional o seguridad digital. No hay un modelo único, y una empresa con productos en varios mercados tratará con organismos de culturas muy distintas.
Qué significa esto si usted es pequeño
El miedo en cada FAQ comunitaria sobre el CRA es el de la aplicación: si cometo un error, ¿tendré problemas, y con quién? El registro permite decir algo concreto en lugar de algo tranquilizador.
La aplicación es nacional y, en la mayoría de los Estados, aún sin dotar. La aplicación plena empieza el 11 de diciembre de 2027, y la vigilancia del mercado de los requisitos del anexo I no puede empezar antes de que esos requisitos se apliquen. La obligación de notificación del artículo 14 está en vigor ahora, pero un Estado sin autoridad registrada no tiene hoy a nadie en posición de actuar ante una notificación omitida. Es una descripción del presente, no una predicción: la Comisión espera que las designaciones se completen antes de diciembre de 2027, y las veinte lagunas se cerrarán.
El registro es donde una sanción en un Estado se hace visible en los demás. El artículo 64, apartado 6, obliga a la autoridad que impone una multa a informar a las autoridades de vigilancia del mercado de todos los demás Estados miembros a través del sistema de información del artículo 34 del Reglamento (UE) 2019/1020. Cuando el registro esté completo, ese es el canal.
El tamaño es, por ley, un factor del importe. El artículo 64, apartado 5, letra c), obliga a la autoridad que fija una multa a tener debidamente en cuenta el tamaño del operador, «en particular por lo que respecta a las microempresas y las pequeñas y medianas empresas, incluidas las empresas emergentes». Está en la parte dispositiva, y vincula a cada autoridad de la tabla de arriba y a cada una que quede por añadir. Hemos escrito los tramos y las disposiciones para pequeños fabricantes al completo.
Su CSIRT no es su autoridad de aplicación. La notificación del artículo 14 va al CSIRT designado como coordinador y a ENISA; el CSIRT está para coordinar una respuesta, no para vigilarle. Las autoridades de vigilancia del mercado son otro conjunto de organismos, y en la mayoría de los Estados hasta ahora otra administración. El CSIRT de cada Estado está aquí.
Qué hacer con ello
Nada cambia en cuanto a las obligaciones. Lo que cambia es lo que puede escribir en su propio expediente: con qué autoridad trataría, si su Estado ha nombrado una, y la fecha en que lo comprobó si no lo ha hecho. Una determinación del ámbito de aplicación y un procedimiento de incidentes que nombren a la autoridad, o dejen constancia de que aún no hay ninguna registrada, se defienden mejor que los que dejan la pregunta abierta.
Volveremos a leer el registro y actualizaremos la tabla. La fecha al principio de este artículo es la fecha en que se leyó la tabla, y el propio registro es público y filtrable, de modo que puede comprobarlo en la fuente en lugar de adoptar nuestra lectura.
Fuentes
- Reglamento (UE) 2024/2847, artículos 36, 52, 64 y 71, apartado 2.
- Reglamento (UE) 2019/1020 relativo a la vigilancia del mercado y la conformidad de los productos, artículo 34.
- El Single Market Compliance Space de la Comisión, autoridades de vigilancia del mercado filtradas por el Reglamento 2024/2847 (identificador de legislación 9021) y autoridades notificantes filtradas por el mismo (identificador 167953), ambos leídos el 11 de septiembre de 2026.
- La página de la Comisión «Cyber Resilience Act, Member States», actualizada el 31 de julio de 2026, que enlaza a los dos registros.
Esto no es asesoramiento jurídico. El registro es público y filtrable; si su Estado aparece aquí como no registrado y usted sabe lo contrario, la corrección corresponde al registro, y la recogeremos en la siguiente lectura.