Reglamento europeo de Ciberresiliencia (CRA) para productos industriales

El CRA convierte la ciberseguridad en una condición para comercializar productos con elementos digitales en la UE. Combinamos las normas horizontales EN 40000, las normas verticales e IEC 62443-4-1 / -4-2 para que un único conjunto de evidencias las cubra todas.

11 sep. 2026Obligaciones de notificación aplicables (art. 14)

24 h · 72 hAlerta temprana y notificación al CSIRT y a ENISA

11 dic. 2027Aplicación plena; marcado CE obligatorio

EN 40000 + IEC 62443-4Un conjunto de evidencias para las normas horizontales e industriales

Situación del CRA

La notificación ya es obligatoria. El marcado CE es el siguiente paso.

10 de diciembre de 2024Entrada en vigor del Reglamento (UE) 2024/2847.
11 de junio de 2026Aplicación de las disposiciones sobre la notificación de organismos de evaluación de la conformidad.
11 de septiembre de 2026Los fabricantes deben notificar las vulnerabilidades explotadas activamente y los incidentes graves: alerta temprana en 24 horas, notificación en 72 horas y, después, informe final.
11 de diciembre de 2027Se aplican todas las obligaciones. Los productos deben cumplir los requisitos esenciales y llevar el marcado CE.

Las dos caras del CRA

Para los productos que fabrica y los que compra

Fabricantes e integradores

Clasifique cada producto, elija la vía de conformidad, integre la seguridad en el ciclo de desarrollo, gestione las vulnerabilidades durante el período de soporte y mantenga el expediente técnico preparado para la autoevaluación o un organismo notificado.

Propietarios de activos y operadores

Incluya la conformidad CRA en sus licitaciones y contratos para que los OEM, integradores y EPC a los que compra entreguen productos y evidencias que también sirvan para sus obligaciones NIS 2 e IEC 62443 (A5 Seguridad de la cadena de suministro).

Qué obtiene

De la clasificación al expediente técnico

Clasificación de productos y vía de conformidad

Producto de categoría por defecto, importante (clase I o II) o crítico, y la vía correspondiente: control interno, examen UE de tipo o aseguramiento de la calidad total.

Evaluación de riesgos del producto y ciclo de desarrollo seguro

Una evaluación documentada de riesgos de ciberseguridad para cada producto y procesos de desarrollo alineados con IEC 62443-4-1 (SM, SR, SD, SI, SVV, DM, SUM, SG).

Requisitos de seguridad y evidencias

Requisitos esenciales relacionados con EN 40000 y los requisitos de componentes IEC 62443-4-2, para que un único conjunto de evidencias sirva al CRA y a sus clientes industriales.

Gestión de vulnerabilidades y preparación para la notificación

Política de divulgación coordinada de vulnerabilidades, gestión de SBOM y procedimientos y funciones para cumplir los plazos de 24 horas, 72 horas y del informe final.

Documentación técnica y declaración UE de conformidad

Un expediente técnico preparado para la autoevaluación o un organismo notificado.

Verificación

Pruebas de seguridad del producto y de penetración, y verificación del nivel de seguridad del sistema (C4 Aseguramiento y verificación).

Servicios y formación relacionados

Cómo le ayudamos

Reglamento europeo de Ciberresiliencia (CRA)

Clasificación, ciclo de desarrollo seguro, gestión de vulnerabilidades y expediente técnico.

Seguridad de la cadena de suministro

Requisitos de conformidad CRA para los productos adquiridos, en licitaciones y contratos.

Aseguramiento y verificación

Pruebas de productos y sistemas, realizadas de forma segura por profesionales que conocen los sistemas industriales.

¿Su producto pertenece a la categoría por defecto, importante o crítica?

Envíenos una breve descripción del producto. Le propondremos la clase probable, la vía de conformidad y un primer plan.

Hablemos

Referencias: Reglamento (UE) 2024/2847 (Reglamento de Ciberresiliencia), artículos 14 y 71; Anexo I. Las normas armonizadas del CRA siguen publicándose. Esta página ofrece información general y no constituye asesoramiento jurídico.