[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:es:quien-aplica-el-reglamento-de-ciberresiliencia-en-su-estado-miembro":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"es","quien-aplica-el-reglamento-de-ciberresiliencia-en-su-estado-miembro","¿Quién aplica el Reglamento de Ciberresiliencia en su Estado miembro? 7 de 27 lo han dicho","El CRA se aplica a nivel nacional, por una autoridad de vigilancia del mercado que cada Estado miembro designa y registra ante la Comisión. El 11 de septiembre de 2026, el día en que empezó a aplicarse la obligación de notificación, siete Estados habían registrado una. Aquí está el registro, Estado por Estado, incluidos los veinte que no lo han hecho, y qué significa para un pequeño fabricante que se pregunta quién vendrá a llamar a su puerta.","2026-09-11","\nLa pregunta que subyace a todas las demás preguntas sobre el Reglamento de Ciberresiliencia no es cómo cumplir. Es quién comprueba. El artículo 64 fija multas de hasta 15 millones EUR o el 2,5 % del volumen de negocios, y la cifra se cita en todas partes, pero el Reglamento no da a la Comisión un único brazo ejecutor. El artículo 52, apartado 2, obliga a cada Estado miembro a designar una o varias **autoridades de vigilancia del mercado**, y son esas autoridades las que, conforme a las normas generales de vigilancia del mercado del Reglamento (UE) 2019\u002F1020, le piden la documentación técnica, ensayan su producto, ordenan una retirada o imponen la multa.\n\nAsí que «quién aplica el CRA» tiene 27 respuestas, y el estado honesto de esas respuestas el día en que se aplicó la primera obligación es el tema de este artículo.\n\n## Dónde se publican las respuestas\n\nLas designaciones se registran ante la Comisión y se publican en el Single Market Compliance Space, la misma base de datos que recoge las autoridades de vigilancia del mercado de todas las demás normas de productos, de los juguetes a los equipos a presión. Se puede filtrar por reglamento. La página de la Comisión sobre el CRA para los Estados miembros enlaza a ella y a ningún otro sitio, así que es el registro.\n\nHay dos registros, porque el Reglamento crea dos funciones:\n\n- **Autoridad de vigilancia del mercado**, artículo 52: la que aplica. Comprueba productos en el mercado, tramita denuncias, impone sanciones.\n- **Autoridad notificante**, artículo 36: el organismo que evalúa y supervisa a los organismos de evaluación de la conformidad (los organismos notificados) que necesitarán los productos importantes y críticos. No aplica, pero es el primer compromiso institucional de un Estado con el Reglamento.\n\nLeímos ambos el 11 de septiembre de 2026, el día en que empezó a aplicarse el artículo 14. Esto es lo que contenían.\n\n## El registro, Estado por Estado\n\n| Estado miembro | Autoridad de vigilancia del mercado (artículo 52) | Autoridad notificante (artículo 36) |\n| --- | --- | --- |\n| Austria | no registrada | no registrada |\n| Bélgica | Belgian Institute for Postal services and Telecommunications | CCB – Centre for Cybersecurity Belgium |\n| Bulgaria | no registrada | no registrada |\n| Croacia | no registrada | Information Systems Security Bureau |\n| Chipre | Office of the Commissioner of Communications - Digital Security Authority (DSA) | Digital Security Authority - National Cybersecurity Certification Authority |\n| Chequia | no registrada | no registrada |\n| Dinamarca | no registrada | no registrada |\n| Estonia | no registrada | Consumer Protection and Technical Regulatory Authority |\n| Finlandia | Finnish Transport and Communications Agency (Traficom) | no registrada |\n| Francia | Agence Nationale des Fréquences | Agence nationale de la sécurité des systèmes d’information |\n| Alemania | Bundesamt für Sicherheit in der Informationstechnik (BSI) | Bundesamt für Sicherheit in der Informationstechnik - Referat S 14 – Befugniserteilung und Aufsicht über Konformitätsbewertungsstellen |\n| Grecia | no registrada | no registrada |\n| Hungría | no registrada | Supervisory Authority for Regulatory Affairs |\n| Irlanda | no registrada | no registrada |\n| Italia | no registrada | no registrada |\n| Letonia | Consumer Rights Protection Centre (Patērētāju tiesību aizsardzības centrs) | no registrada |\n| Lituania | no registrada | Ministry of National Defence of the Republic of Lithuania |\n| Luxemburgo | no registrada | no registrada |\n| Malta | no registrada | Malta Digital Innovation Authority |\n| Países Bajos | no registrada | Ministry of Economic Affairs – Dutch Authority for Digital Infrastructure |\n| Polonia | no registrada | Ministry of Digital Affairs - Cybersecurity Department |\n| Portugal | no registrada | no registrada |\n| Rumanía | no registrada | no registrada |\n| Eslovaquia | National Security Authority | Slovak Office of Standards, Metrology and Testing |\n| Eslovenia | no registrada | no registrada |\n| España | no registrada | no registrada |\n| Suecia | no registrada | SWEDAC - Swedish Board for Accreditation and Conformity Assessment |\n\nLos nombres figuran tal cual se registraron, en el idioma y la forma que eligió cada Estado. «No registrada» significa que la base de datos no devolvió ninguna autoridad para ese Estado bajo el filtro CRA en la fecha indicada; no significa que el Estado no tenga un plan, solo que no se lo ha comunicado a la Comisión.\n\n## Lo que dice la tabla\n\n**Siete de 27 han registrado una autoridad de aplicación.** Bélgica, Chipre, Finlandia, Francia, Alemania, Letonia y Eslovaquia. Veinte no.\n\n**Trece han registrado una autoridad notificante.** Catorce no. Las dos listas se solapan pero no coinciden: Estonia, Croacia, Hungría, Lituania, Malta, los Países Bajos, Polonia y Suecia han nombrado a quien supervisará a los organismos de evaluación de la conformidad pero no a quien aplica; Finlandia y Letonia han hecho lo contrario.\n\n**Doce Estados no han registrado ninguna de las dos.** Austria, Bulgaria, Chequia, Dinamarca, Grecia, Irlanda, Italia, Luxemburgo, Portugal, Rumanía, Eslovenia y España. Un fabricante con su establecimiento principal en cualquiera de ellos no tiene, desde que se aplica la obligación de notificación, ninguna autoridad registrada para el Reglamento al que ahora está sujeto.\n\n**Los Estados que se han movido eligieron organismos de tipos distintos.** Alemania lo encomendó a su oficina federal de seguridad de la información, que también gestiona el CSIRT nacional y ejerce la función notificante. Francia lo dividió: la agencia de frecuencias para la vigilancia del mercado, la agencia nacional de seguridad de los sistemas de información para la notificación. Bélgica y Finlandia recurrieron a sus reguladores de telecomunicaciones. Letonia, a su centro de protección de los consumidores. Chipre y Eslovaquia, a sus autoridades de seguridad nacional o seguridad digital. No hay un modelo único, y una empresa con productos en varios mercados tratará con organismos de culturas muy distintas.\n\n## Qué significa esto si usted es pequeño\n\nEl miedo en cada FAQ comunitaria sobre el CRA es el de la aplicación: si cometo un error, ¿tendré problemas, y con quién? El registro permite decir algo concreto en lugar de algo tranquilizador.\n\n**La aplicación es nacional y, en la mayoría de los Estados, aún sin dotar.** La aplicación plena empieza el 11 de diciembre de 2027, y la vigilancia del mercado de los requisitos del anexo I no puede empezar antes de que esos requisitos se apliquen. La obligación de notificación del artículo 14 está en vigor ahora, pero un Estado sin autoridad registrada no tiene hoy a nadie en posición de actuar ante una notificación omitida. Es una descripción del presente, no una predicción: la Comisión espera que las designaciones se completen antes de diciembre de 2027, y las veinte lagunas se cerrarán.\n\n**El registro es donde una sanción en un Estado se hace visible en los demás.** El artículo 64, apartado 6, obliga a la autoridad que impone una multa a informar a las autoridades de vigilancia del mercado de todos los demás Estados miembros a través del sistema de información del artículo 34 del Reglamento (UE) 2019\u002F1020. Cuando el registro esté completo, ese es el canal.\n\n**El tamaño es, por ley, un factor del importe.** El artículo 64, apartado 5, letra c), obliga a la autoridad que fija una multa a tener debidamente en cuenta el tamaño del operador, «en particular por lo que respecta a las microempresas y las pequeñas y medianas empresas, incluidas las empresas emergentes». Está en la parte dispositiva, y vincula a cada autoridad de la tabla de arriba y a cada una que quede por añadir. Hemos escrito los tramos y las disposiciones para pequeños fabricantes [al completo](\u002Farticles\u002Fcyber-resilience-act-penalties).\n\n**Su CSIRT no es su autoridad de aplicación.** La notificación del artículo 14 va al CSIRT designado como coordinador y a ENISA; el CSIRT está para coordinar una respuesta, no para vigilarle. Las autoridades de vigilancia del mercado son otro conjunto de organismos, y en la mayoría de los Estados hasta ahora otra administración. [El CSIRT de cada Estado está aquí](\u002Farticles\u002Fwhich-csirt-do-you-report-to-under-cra-article-14).\n\n## Qué hacer con ello\n\nNada cambia en cuanto a las obligaciones. Lo que cambia es lo que puede escribir en su propio expediente: con qué autoridad trataría, si su Estado ha nombrado una, y la fecha en que lo comprobó si no lo ha hecho. Una determinación del ámbito de aplicación y un procedimiento de incidentes que nombren a la autoridad, o dejen constancia de que aún no hay ninguna registrada, se defienden mejor que los que dejan la pregunta abierta.\n\nVolveremos a leer el registro y actualizaremos la tabla. La fecha al principio de este artículo es la fecha en que se leyó la tabla, y el propio registro es público y filtrable, de modo que puede comprobarlo en la fuente en lugar de adoptar nuestra lectura.\n\n## Fuentes\n\n- Reglamento (UE) 2024\u002F2847, artículos 36, 52, 64 y 71, apartado 2.\n- Reglamento (UE) 2019\u002F1020 relativo a la vigilancia del mercado y la conformidad de los productos, artículo 34.\n- El Single Market Compliance Space de la Comisión, autoridades de vigilancia del mercado filtradas por el Reglamento 2024\u002F2847 (identificador de legislación 9021) y autoridades notificantes filtradas por el mismo (identificador 167953), ambos leídos el 11 de septiembre de 2026.\n- La página de la Comisión «Cyber Resilience Act, Member States», actualizada el 31 de julio de 2026, que enlaza a los dos registros.\n\nEsto no es asesoramiento jurídico. El registro es público y filtrable; si su Estado aparece aquí como no registrado y usted sabe lo contrario, la corrección corresponde al registro, y la recogeremos en la siguiente lectura.\n",1789383973987]