Ya en vigor . Las obligaciones de notificación se aplican desde el 11 sept 2026.
Díganos qué vende. Le decimos qué se le aplica, y cuándo.
Datos de ejemplo
- A quién se aplica
- Todo fabricante, importador o distribuidor de un producto con elementos digitales introducido en el mercado de la UE, software incluido, sin umbral de tamaño.
- Las fechas
- El deber de notificar del artículo 14 se aplica desde el 11 de septiembre de 2026, y el resto del Reglamento desde el 11 de diciembre de 2027.
- Lo único que hay que hacer
- Decida para cada producto que introduce en el mercado si está en el ámbito, deje la decisión por escrito, y prepare la vía de notificación antes de necesitarla.
Organismos notificados
Capítulo IV: los organismos de evaluación de la conformidad pueden notificarse desde esta fecha.
Deber de notificación
Artículo 14: las vulnerabilidades explotadas activamente y los incidentes graves se notifican desde esta fecha, 24 horas para la alerta temprana.
Todo lo demás
Los requisitos esenciales, la documentación técnica y el marcado CE se aplican a todo producto introducido en el mercado desde esta fecha.
De un vistazo
111requisitos, cada uno con la disposición en que se basa
67vinculados a cláusulas o controles ISO
8ponen en marcha un plazo
La cadena de notificación del artículo 14, apartado 2
Envíe la alerta temprana de vulnerabilidad en 24 horas
14(2)(a)
Envíe la notificación de vulnerabilidad en 72 horas
14(2)(b)
Envíe el informe final 14 días después de la corrección
14(2)(c)
El Cyber Resilience Act, para un fabricante de software
El Reglamento de Ciberresiliencia alcanza a todo producto con elementos digitales introducido en el mercado de la UE: el deber de notificación del artículo 14 desde el 11 de septiembre de 2026, el resto a partir del 11 de diciembre de 2027.
Responda arriba para leer la determinación de su caso; la herramienta completa se lleva sus respuestas.
Continuar en la determinación gratuitaLa determinación completa responde cada pregunta y conserva la lectura como documento fechado por €29.
Expediente técnico CRA, hecho por nosotros: 2900 €
Los 11 documentos del pack, completados para su producto.
Siete herramientas, gratis, sin cuenta
- Comprobación gratuita¿Está su producto en el ámbito, y en qué nivel?Seis preguntas del artículo 2, el artículo 3, el considerando 12 y los anexos III y IV, con la descripción técnica de cada categoría y el coordinador de su Estado miembro.
- Comprobación gratuitaCada obligación, por funciónLas 111 filas del Reglamento que vinculan a un fabricante, un importador, un distribuidor o un administrador de software de código abierto, con las palabras del Diario Oficial, con un estado por fila y la lista de comprobación redactada como documento.
- CalculadoraLa calculadora de plazos del artículo 14Los plazos de 24 horas, 72 horas e informe final para ambos desencadenantes, con el informe final anclado donde lo ancla el Reglamento, los CSIRT coordinadores de los 27 Estados y el registro de autoridades de vigilancia.
- GuíaDónde notificar, por Estado miembroElija el Estado de su establecimiento principal y lea el CSIRT designado como coordinador, su página de contacto y los tres plazos; una fila por Estado miembro según la lista de ENISA, con la fecha de lectura.
- GuíaLa documentación técnica, el anexo VII punto por puntoQué debe contener el expediente, cuántos de los 22 requisitos esenciales debe documentar un producto de clase I frente a una norma armonizada que aún no existe, y qué reúne StandardOS.
- CorrespondenciaEl anexo I en correspondencia con ISO 27001Cada uno de los 22 requisitos esenciales frente a los controles del anexo A que ejecutan el proceso que hay detrás, y los que nada del anexo A produce: la SBOM, la divulgación pública, la política de divulgación, las actualizaciones gratuitas.
- GuíaImportadores y distribuidoresLos deberes de los artículos 19 a 21 para una empresa que revende o importa un producto con elementos digitales, y las comprobaciones que los satisfacen.
- Comprobación gratuitaDispositivos de consumo conectadosUn dispositivo que compra un hogar: incluido por defecto, y cinco categorías en el anexo III clase I.
- Comprobación gratuitaEquipos industriales y conectadosUna máquina, un accionamiento, un controlador o un sensor es clase por defecto; el anexo III enumera la capa de red y seguridad a su alrededor.
- Comprobación gratuitaSoftware embebido y firmwareEl software que viaja dentro del producto de otro es en sí un producto con elementos digitales, y no hay exención para el código abierto.
- Comprobación gratuitaEl software que se instalaEl software introducido en el mercado lleva marcado CE, en la declaración o en el sitio web. Si los clientes solo inician sesión, el considerando 12 remite a NIS2.
Cada plantilla gratuita en una página
Tres fechas
- Se aplica11 de junio de 2026
Capítulo IV: las reglas de los organismos notificados, para que puedan designarse los organismos de evaluación de la conformidad de los productos importantes y críticos. El 13 de octubre de 2026 no había ninguno.
- Se aplica11 de septiembre de 2026
Artículo 14: una vulnerabilidad explotada activamente o un incidente grave pone en marcha una alerta temprana en 24 horas, una notificación en 72 horas y un informe final, presentados en la plataforma única de notificación de ENISA. Todo producto en el ámbito, incluidos los que ya están en el mercado.
- Se aplica desde el11 de diciembre de 2027
Aplicación plena: los requisitos esenciales del anexo I, la evaluación de la conformidad, la documentación técnica, el marcado CE y el periodo de soporte, para todo producto introducido en el mercado desde ese día, y para los productos anteriores en cuanto se modifiquen sustancialmente.
El CRA y el Reglamento de IA, desde el 27 de julio de 2026
Un producto con elementos digitales puede ser también un sistema de IA de alto riesgo según el artículo 6 del Reglamento de IA. El artículo 12, apartado 1, del CRA y, desde el 27 de julio de 2026, el artículo 42, apartado 3, del Reglamento de IA modificado consideran que tal sistema cumple los requisitos de ciberseguridad del artículo 15 del Reglamento de IA cuando el producto cumple los requisitos del anexo I, parte I, los procesos del fabricante cumplen la parte II y el nivel de protección se demuestra en la declaración UE de conformidad del CRA. Una sola evaluación de la conformidad, según el artículo 43 del Reglamento de IA, cubre ambos.
¿Es su producto también un sistema de IA de alto riesgo? La determinación, gratuita
32 artículos, de las fuentes primarias
Si se le aplica, y hasta dónde
- Artículo¿Está su producto en el ámbito del Reglamento de Ciberresiliencia? Dónde queda el SaaSLa pregunta más frecuente sobre el CRA no es cómo notificar, sino si el Reglamento se le aplica siquiera.
- Artículo¿Cuándo se «introduce en el mercado» el software según el CRA, y cuál de sus builds es un producto? La regla de las orientaciones para el software independienteTodo en el CRA pende de una fecha y de un sustantivo: la fecha en que un producto se introduce en el mercado, y si lo que usted entrega es siquiera un producto.
- Artículo¿Qué partes de su backend están dentro del CRA? El tratamiento remoto de datos, según las orientaciones de la ComisiónUn producto con elementos digitales incluye sus soluciones de tratamiento remoto de datos, y el Reglamento las define en una frase.
- Artículo¿CRA o NIS2? Cuál se aplica a una empresa de software, y si pueden ser las dosEl Reglamento de Ciberresiliencia regula productos introducidos en el mercado; NIS2 regula entidades que prestan servicios.
- Artículo¿Se aplica el CRA al software de código abierto? Tres casos, y el régimen ligero de los administradoresEl Reglamento de Ciberresiliencia alcanza al software libre y de código abierto solo cuando se suministra en el marco de una actividad comercial.
- Artículo¿Es su proyecto de código abierto «comercial» según el CRA? Las siete pruebas de la Comisión, con sus ejemplosEl CRA alcanza al software libre y de código abierto solo cuando se suministra en el marco de una actividad comercial, y el Reglamento deja «comercial» en manos de dos considerandos.
- Artículo¿Es su producto importante o crítico bajo el CRA? Por defecto, salvo que sea una de las 19, 4 o 3 categorías de los anexos III y IVEstar en el ámbito del CRA significa por defecto, importante de clase I (19 categorías), importante de clase II (4) o crítico (3), y el nivel decide si se autoevalúa o necesita un organismo notificado según el artículo 32.
- ArtículoPor defecto, importante o crítico: las 26 descripciones técnicas del Reglamento de Ejecución 2025/2392, y la prueba de la funcionalidad principalLos anexos III y IV del CRA nombran 26 categorías de productos en una línea cada una.
- ArtículoQué pide el CRA a importadores y distribuidores, y cuándo los convierte en fabricanteSi revende software o dispositivos en la UE en lugar de construirlos, los artículos 19 y 20 del Reglamento de Ciberresiliencia le dan una lista de comprobación que recorrer antes de poner el producto a la venta, el deber de transmitir las vulnerabilidades al fabricante, el deber de informar a las autoridades de los riesgos significativos y diez años de conservación de registros.
- Artículo¿Qué actualización somete su software existente al CRA? Las modificaciones sustanciales, según las orientaciones de la ComisiónEl software introducido en el mercado antes del 11 de diciembre de 2027 queda fuera de las obligaciones de diseño y conformidad del CRA hasta que se modifica sustancialmente.
La notificación, desde el 11 de septiembre de 2026
- ArtículoQué tiene que notificar según el CRA: los dos desencadenantes, tal como los define el ReglamentoEl artículo 14 tiene dos desencadenantes y ambos están definidos en el texto.
- Artículo¿Cuándo empieza el reloj de 24 horas del CRA? Con un grado razonable de certeza tras una evaluación inicial rápida, según las directrices de la ComisiónEl artículo 14 cuenta 24 y 72 horas desde 'tener conocimiento' y nunca lo define.
- Artículo¿A qué CSIRT notifica bajo el CRA? Al coordinador de su establecimiento principal, los 27 con nombreEl artículo 14 envía la notificación al CSIRT designado como coordinador por el Estado miembro de su establecimiento principal; ENISA publicó los 27 el 10 de septiembre de 2026.
- ArtículoCómo presentar una notificación CRA en la plataforma de ENISA: un EU Login personal, un coordinador, tres pestañas, sin APIportal.cra-srp.enisa.europa.eu abrió el 11 de septiembre de 2026.
- ArtículoEl reloj del informe final del CRA no empieza cuando usted tiene conocimientoLa mayoría de los textos sobre el artículo 14 del Reglamento de Ciberresiliencia dan tres plazos desde un único punto de partida: 24 horas, 72 horas, 14 días.
- ArtículoNIS2 o CRA: qué reloj de incidentes corre para una empresa de software, y qué hace 'significativo' un incidenteAmbas normas le dan 24 horas, 72 horas y un mes, y ambas ponen en marcha el reloj cuando usted 'tiene constancia'.
- Artículo¿Quién aplica el Reglamento de Ciberresiliencia en su Estado miembro? 7 de 27 lo han dichoEl CRA se aplica a nivel nacional, por una autoridad de vigilancia del mercado que cada Estado miembro designa y registra ante la Comisión.
- ArtículoLa propia maquinaria del CRA de la UE, el día en que empezó la obligación: 0 organismos notificados, 0 normas armonizadas, 7 de 27 autoridades de aplicaciónEl Reglamento de Ciberresiliencia pide a los fabricantes que estén preparados.
- ArtículoSanciones del Reglamento de Ciberresiliencia: a qué está expuesto realmente un pequeño fabricanteEl CRA fija tres tramos de multa, hasta 15 millones de EUR o el 2,5% del volumen de negocios mundial.
Construir el expediente, antes del 11 de diciembre de 2027
- ArtículoEl Reglamento de Ciberresiliencia para un pequeño fabricante de software, en doce pasosTodo lo que una empresa de diez personas que entrega software instalado o un dispositivo tiene que hacer según el CRA, en el orden en que hacerlo: la determinación del ámbito, el nivel, el CSIRT y la autoridad de aplicación, el procedimiento de notificación que se aplica desde el 11 de septiembre de 2026, y después la documentación técnica, los 22 requisitos, la SBOM, el período de soporte, el marcado CE y la declaración, con plazo el 11 de diciembre de 2027.
- ArtículoEl artículo 13 del CRA para un fabricante de software: los veinticinco apartados en orden, cuáles son suyos, cuáles de la Comisión, y una lista de comprobación por funciónEl artículo 13 del Reglamento de Ciberresiliencia es el artículo del fabricante: veinticinco apartados, desde los requisitos esenciales del apartado 1 hasta las competencias de la Comisión del apartado 25.
- ArtículoLa autoevaluación según el CRA: lo que el módulo A exige realmente, según el anexo VIII y las FAQ de la ComisiónLa mayoría de los productos de software nunca verán un organismo notificado.
- ArtículoNormas armonizadas para el CRA: ninguna citada todavía, 41 solicitadas, las dos primeras vencían el 30 de agosto de 2026La solicitud M/606 de 3 de febrero de 2025 pide a CEN, CENELEC y ETSI 41 normas: dos horizontales para el 30 de agosto de 2026, las verticales para los productos de los anexos III y IV para el 30 de octubre de 2026, los requisitos genéricos para el 30 de octubre de 2027.
- ArtículoCRA anexo 1: los 22 requisitos esenciales como lista de comprobación, 14 requisitos del producto y 8 de gestión de vulnerabilidadesLo que su producto debe cumplir desde el 11 de diciembre de 2027 y el expediente técnico debe demostrar: parte I, 14 requisitos del producto, 13 de ellos 'cuando proceda' sobre la base de su evaluación de riesgos; parte II, 8 requisitos de gestión de vulnerabilidades que se aplican siempre.
- ArtículoLa evaluación de riesgos de ciberseguridad del CRA: lo que el artículo 13 exige realmente, y el único resultado que debe producirEl artículo 13, apartados 2 a 4, del Reglamento de Ciberresiliencia convierte la evaluación de riesgos en el documento del que cuelga cualquier otra obligación del CRA.
- ArtículoQué contiene la documentación técnica del CRA: el anexo VII, punto por puntoDesde el 11 de diciembre de 2027, todo producto con elementos digitales introducido en el mercado de la UE necesita documentación técnica antes de introducirse, conservada diez años o durante el período de soporte, lo que sea más largo.
- Artículo¿Exige el CRA una SBOM? Sí, y esto es exactamente lo que diceEl anexo I, parte II, punto 1 del Reglamento de Ciberresiliencia exige una lista de materiales de software en un formato de uso común y legible por máquina que cubra al menos las dependencias de primer nivel.
- ArtículoQué le pide el CRA por sus dependencias: diligencia debida, notificación aguas arriba y vulnerabilidades explotables conocidas, según las orientaciones de la ComisiónUn producto de software es sobre todo código de otros.
- ArtículoLa política de divulgación coordinada de vulnerabilidades que exige el CRA: tres disposiciones, y una política de una página que las cumpleEl anexo I, parte II, punto 5, del Reglamento de Ciberresiliencia exige a todo fabricante en el ámbito establecer y aplicar una política de divulgación coordinada de vulnerabilidades.
- Artículo¿Cuánto dura el periodo de soporte del CRA? Al menos cinco años, la fecha de fin indicada en la compra, cada actualización conservada diez añosArtículo 13, apartado 8, del Cyber Resilience Act: un periodo de soporte de al menos cinco años, o el tiempo de uso previsto si es menor; su fecha de fin, al menos mes y año, indicada en el momento de la compra; cada actualización de seguridad disponible diez años o el resto del periodo; el expediente técnico, la declaración y la información al usuario conservados diez años tras la introducción en el mercado o durante el periodo de soporte.
- Artículo¿Necesita el software marcado CE según el CRA? Sí, y el artículo 30 dice dónde vaDesde el 11 de diciembre de 2027 se exige un marcado CE en todo producto con elementos digitales introducido en el mercado de la UE, software incluido.
- ArtículoLa declaración UE de conformidad bajo el CRA: el anexo V punto por punto, la forma simplificada y un ejemplo resueltoEl artículo 28 obliga al fabricante a elaborar una declaración UE de conformidad antes de la introducción en el mercado, con la estructura tipo del anexo V, y el artículo 28(4) hace de su firma el acto por el que el fabricante asume la responsabilidad del producto.
Lo que le pide
111 requisitos en 5 grupos
Obligaciones
18- 13(1) Diseñe, desarrolle y produzca el producto según el anexo I
- 13(2) Evalúe los riesgos de ciberseguridad del producto y actúe
- 13(5) Compruebe los componentes de terceros antes de integrarlos
y 15 más
Deberes
53- 13(3) Documente la evaluación de riesgos y manténgala al día
- 13(4) Incluya la evaluación de riesgos en la documentación técnica
- 13(6) Comunique una vulnerabilidad de componente a su mantenedor
y 50 más
Controles
22- I.1 Asegure el producto en proporción a sus riesgos
- I.2.a Entregue sin vulnerabilidades explotables conocidas
- I.2.b Entregue seguro por defecto, restablecible a ese estado
y 19 más
Cláusulas
10- 13(8)-4 Vigile los mínimos que fije un acto delegado
- 14(5) Juzgue un incidente grave por su efecto en la seguridad
- 18(1) Puede designar un representante autorizado por escrito
y 7 más
Plazos
8- 14(2)(a) Envíe la alerta temprana de vulnerabilidad en 24 horas
- 14(2)(b) Envíe la notificación de vulnerabilidad en 72 horas
- 14(2)(c) Envíe el informe final 14 días después de la corrección
y 5 más
El expediente CRA y el reloj de notificación, en un solo lugar
Los requisitos del CRA como catálogo, la documentación técnica construida a partir de ellos y el reloj de notificación, en un solo espacio de trabajo.
Las fechas se leen del artículo 71 del Reglamento y nunca se teclean en esta página. Esto no es asesoramiento jurídico, y el Reglamento es el texto que hay que leer: Reglamento (UE) 2024/2847.
Véase también:El CRA para consultoras y sus clientesActa Europea de AccesibilidadDirectiva sobre responsabilidad por productosArtículosHerramientas gratuitas