Cyber Resilience Act: todas las herramientas y artículos
Reglamento (UE) 2024/2847, anexo III, y Reglamento (UE) 2023/1230
Fabrica equipos industriales o conectados. ¿Qué le pide el CRA?
- ¿Incluido?
- Sí. Un autómata, un accionamiento, un sensor o una máquina con elementos digitales está incluido.
- ¿Qué clase?
- Por defecto para el equipo en sí. Lo que figura en la lista es la capa de red y seguridad a su alrededor.
- ¿Desde cuándo?
- Notificación desde el 11 de septiembre de 2026. Máquinas desde el 20 de enero de 2027. El CRA completo desde el 11 de diciembre de 2027.
¿Qué entrega?
Lo que figura en la lista alrededor de la máquina
| Punto | Clase | En los términos del Reglamento |
|---|---|---|
| III.I.1 | Clase I | Identity management systems and privileged access management software and hardware, including authentication and access control readers, including biometric readers |
| III.I.5 | Clase I | Products with digital elements with the function of virtual private network (VPN) |
| III.I.6 | Clase I | Network management systems |
| III.I.10 | Clase I | Physical and virtual network interfaces |
| III.I.11 | Clase I | Operating systems |
| III.I.12 | Clase I | Routers, modems intended for the connection to the internet, and switches |
| III.I.13 | Clase I | Microprocessors with security-related functionalities |
| III.I.14 | Clase I | Microcontrollers with security-related functionalities |
| III.II.1 | Clase II | Hypervisors and container runtime systems that support virtualised execution of operating systems and similar environments |
| III.II.2 | Clase II | Firewalls, intrusion detection and prevention systems |
Reglamento (UE) 2024/2847, anexo III, leído del Diario Oficial con sus correcciones de errores; los deberes de notificación se aplican desde el 11 de septiembre de 2026.
La máquina debe un segundo reglamento
Una máquina con elementos digitales es además una máquina a efectos del Reglamento de máquinas. El Reglamento (UE) 2023/1230 se aplica desde el 20 de enero de 2027 y exige, en su anexo III, que conectar un dispositivo no cree una situación peligrosa, que el software y los datos críticos para la seguridad estén protegidos contra la corrupción, y que toda intervención en ellos deje constancia. Tiene su propia documentación técnica, y la del CRA no la sustituye.
Documentación técnica de máquinasDos maneras de estar listo
Preparación CRA, 1500 €, 10 días hábiles
Delimitamos su producto, enumeramos las brechas frente al anexo I, montamos la vía de notificación y redactamos con usted la documentación técnica.
Ver qué incluyePack de documentación técnica CRA, 2000 €
La misma documentación, redactada por usted desde nuestra plantilla y su ficha de producto, sin encargo.
Ver el packPreguntas frecuentes
- Nuestro controlador se vende a fabricantes de máquinas, no a usuarios finales. ¿Se aplica igualmente el CRA?
- Sí. Los deberes siguen a la introducción en el mercado de la Unión de un producto con elementos digitales, no a quién lo compra. Un componente vendido a otro fabricante se introduce en el mercado.
- La máquina no está en internet. ¿Quedamos fuera?
- No. El Reglamento cubre los productos con elementos digitales cuyo uso previsto incluye una conexión de datos directa o indirecta a un dispositivo o a una red; una red de planta o un portátil de servicio lo es.
- ¿Hace falta un organismo notificado para toda la máquina o solo para la parte que figura en la lista?
- Solo para el producto que figura en la lista. Un cortafuegos introducido en el mercado como producto entra en el anexo III clase II y se evalúa como tal; la máquina que protege sigue en clase por defecto y la evalúa usted.
- ¿Qué hay que hacer ya, antes del 11 de diciembre de 2027?
- Notificar. Desde el 11 de septiembre de 2026 hay que notificar una vulnerabilidad explotada activamente o un incidente grave, primero en 24 horas y después en 72.