La obligación de notificar en 24 horas del CRA se aplica desde el 11 de septiembre de 2026. Compruebe si le afecta
Iniciar el sistema

Para empresas de desarrollo de softwareproductos y desarrollos a medida, en toda la UE

Venda software en la UE. Mantenga al día el expediente de cada producto.

El Cyber Resilience Act alcanza el software que vende y los desarrollos que entrega a sus clientes, y los compradores piden ISO 27001 en cualquier caso.

Empezar su sistema de cumplimiento Compruebe si el CRA se le aplica
Datos de ejemplo

Las normas que le alcanzan

Lo que alcanza a una empresa de software, y desde cuándo

Una ley cubre cada producto que entrega, una norma la piden sus compradores, y otras dos dependen de lo que construye.

Cyber Resilience Act

Reglamento (UE) 2024/2847 · Productos con elementos digitales

Cada producto que introduce

El software que introduce en el mercado de la UE y que se conecta a un dispositivo o a una red, con las obligaciones del fabricante del artículo 13 a su cargo.

24 hAlerta temprana de una vulnerabilidad aprovechada activamente, incluidos productos ya vendidosArt. 14
Clase IGestores de contraseñas, navegadores, VPN y sistemas operativos son productos importantesAnexo III
Desarrollos a medidaEl software creado para un cliente y entregado también se comercializaArt. 3(22)
SaaSFuera, salvo que sea el tratamiento de datos a distancia de un productoConsiderando 12
Art. 13Notificación desde el En su totalidad a partir del

ISO 27001

ISO/IEC 27001:2022 · una norma

No es una ley

Los compradores piden el certificado, y la mayoría de las licitaciones que lo citan son de software y trabajos TI.

Anexo A, 93 controlesSus clientes fijan la fecha

Data Act

Reglamento (UE) 2023/2854

Si vende SaaS

El capítulo VI permite a sus clientes cambiar a otro proveedor, en las condiciones del contrato, sin tasas por cambio a partir del 12 de enero de 2027.

Capítulo VIArt. 29Desde el Sin tasas por cambio a partir del

Reglamento de IA

Reglamento (UE) 2024/1689

Si crea funciones de IA

Si su software tiene una función de IA que interactúa con personas, el artículo 50, apartado 1, le obliga a decirles que tratan con un sistema de IA.

Art. 50(1)Desde el

En cifras

Lo que piden los compradores, y cuánto tiempo le queda

2055 de3403

anuncios que mencionaban ISO 27001 eran de software o servicios TI, el 60 % del total en el año hasta el 10 de octubre de 2026.

Fuente: TED, clasificación principal CPV 48 o 72, consultado el 11 de octubre de 2026

hasta que el Cyber Resilience Act se aplique en su totalidad.

Fuente: Reglamento (UE) 2024/2847, artículo 71, apartado 2

23

tipos de producto son importantes según el anexo III, entre ellos gestores de contraseñas, navegadores y sistemas operativos.

Fuente: Reglamento (UE) 2024/2847, anexo III

Lo que StandardOS hace por una empresa de software

Un expediente por producto, y el SGSI detrás

Cada recuadro es hoy una pantalla del producto.

Un expediente técnico por producto

La categoría, la documentación técnica, la SBOM y el período de soporte de cada producto, al día cuando cambia.

Los plazos del artículo 14, contados

Desde que tiene conocimiento de una vulnerabilidad aprovechada activamente, el plazo de cada notificación está en pantalla.

Su SGSI, redactado

ISO 27001 con su declaración de aplicabilidad y sus políticas redactadas para que usted las apruebe.

Cuestionarios respondidos desde sus registros

Pegue las preguntas de un cliente y cada respuesta se redacta a partir de sus controles y evidencias, con su fuente.

Una suscripción

Cada norma de esta página, en un solo registro.

ISO27001CRANIS2DORAISO42001AIACTISO9001MRGDPRDATAACTISO27701EAAISO14001PLDREDGPSRNIS2IRRoHSREACHWEEEPPWRWBBATPTDEUDREEDCER

Los 4 de esta página, y 23 más por el mismo precio

249 €/mes

Todos los marcos incluidos.

sin IVA, por organización

  • Usuarios ilimitados, auditores incluidos
  • 7 días gratis, sin tarjeta, sin llamada comercial
Empezar su sistema de cumplimiento

O un expediente, una sola vez: CRA Readiness Toolkit, 199 €Ver el paquete

Preguntas

Lo que preguntan primero las empresas de software

Respuestas breves, cada una con el artículo en que se apoya.

¿Se aplica el CRA al software que hacemos para un solo cliente?

Sí, en cuanto lo entrega: suministrarlo para su uso en el curso de una actividad comercial es comercializarlo. Para un producto a medida, usted y un usuario profesional pueden acordar otras condiciones sobre su configuración por defecto y sobre las actualizaciones de seguridad gratuitas.

Art. 3(22)Anexo I
Solo vendemos SaaS. ¿Entra?

No como producto. El considerando 12 deja el software como servicio a NIS2, salvo que sea el tratamiento de datos a distancia que un producto suyo necesita para funcionar.

Considerando 12Art. 3(2)
¿Qué debemos desde el 11 de septiembre de 2026?

La notificación del artículo 14: una alerta temprana en 24 horas desde que tiene conocimiento de una vulnerabilidad aprovechada activamente, también para productos que ya están en el mercado.

Art. 14Art. 69(3)
¿Nuestro producto es importante o crítico?

Solo si el anexo III o IV lo cita, gestores de contraseñas y navegadores, por ejemplo. Todo lo demás está en la categoría por defecto, y usted evalúa la conformidad.

Anexo IIIArt. 32(1)
¿Necesitamos ISO 27001 para el CRA?

No. El CRA tiene sus propios requisitos esenciales en el anexo I. ISO 27001 es lo que piden compradores y licitaciones, y publicamos la correspondencia entre ambos.

Anexo I

Empiece por un producto. Añada el resto cuando quiera.

7 días gratis, sin tarjeta y sin llamada comercial.

Empezar su sistema de cumplimiento Compruebe si el CRA se le aplica

Esta página en:EnglishDeutschFrançaisNederlandsDansk