# CRA: el reglamento europeo que hará de la ciberseguridad un requisito para vender tu producto

> El Reglamento de Ciberresiliencia (CRA, Reglamento UE 2024/2847) obliga a cualquier producto con elementos digitales vendido en la UE — software incluido — a cumplir requisitos de ciberseguridad para llevar el marcado CE. Te explicamos a quién afecta, las fechas clave y cómo prepararte.

Autor: Pere Casas · Fecha: 2026-06-08 · https://cynderlab.com/es/blog/cra-reglament-ciberresiliencia

Si tu empresa fabrica, desarrolla o importa **cualquier producto que lleve software** — desde una app o un SaaS hasta una máquina industrial, un dispositivo IoT o un componente electrónico — el Reglamento de Ciberresiliencia te afecta. Y no es una directiva que cada país adapta a su manera: es un **reglamento** ([UE 2024/2847](https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=OJ:L_202402847)), de aplicación directa e idéntica en toda la Unión Europea.

La idea de fondo es simple: hasta ahora, el marcado CE garantizaba que un producto no te electrocuta ni se incendia. A partir del CRA, también deberá garantizar que **no es una puerta de entrada para los atacantes**. Sin cumplirlo, no se podrá vender en el mercado europeo.

## ¿A quién afecta el CRA?

A casi toda la cadena: **fabricantes** (incluyendo a quien desarrolla software comercial), **importadores** y **distribuidores** de «productos con elementos digitales» — hardware o software que se conecta, directa o indirectamente, a un dispositivo o a una red.

Quedan fuera los ámbitos ya regulados por normas propias (dispositivos médicos, automoción, aviación) y, con matices, el software de código abierto no comercial. Todo lo demás — el grueso de lo que hace una pyme tecnológica o industrial — entra.

## Qué exige, en esencia

- **Seguridad desde el diseño.** El producto debe salir al mercado sin vulnerabilidades conocidas explotables, con configuración segura por defecto, actualizaciones posibles y protección de los datos que trata (anexo I del reglamento).
- **Gestión de vulnerabilidades durante todo el ciclo de vida.** Identificar y documentar componentes (SBOM — inventario de software), publicar política de divulgación coordinada, distribuir parches de seguridad **gratuitos** durante el periodo de soporte (como norma general, mínimo 5 años).
- **Notificación de incidentes y vulnerabilidades explotadas**: alerta temprana a ENISA y al CSIRT nacional en **24 horas** desde que tienes conocimiento, notificación completa en 72 horas e informe final al cabo de un mes.
- **Evaluación de conformidad y marcado CE.** Para la mayoría de productos, autoevaluación; para las categorías «importantes» y «críticas» (gestores de contraseñas, cortafuegos, hipervisores…), evaluación más exigente, a menudo con terceros.

## Las fechas que debes apuntar

- **En vigor** desde el 10 de diciembre de 2024.
- **11 de septiembre de 2026**: entran en aplicación las obligaciones de **notificación** de incidentes y vulnerabilidades explotadas.
- **11 de diciembre de 2027**: aplicación **completa**. Todo producto con elementos digitales puesto en el mercado a partir de esta fecha debe cumplir el reglamento entero.

Parece lejos, pero no lo es: si tu producto tiene un ciclo de desarrollo de año y medio, **lo que estás diseñando hoy es lo que tendrás que certificar en 2027**.

## Qué hacer este trimestre

1. **Determina si entras.** Lista tus productos y pregúntate: ¿llevan software? ¿Se conectan a algo? ¿Se venden en la UE?
2. **Haz inventario de componentes.** Sin un SBOM (de qué está hecho tu producto, bibliotecas incluidas) no puedes ni empezar.
3. **Revisa tu proceso de vulnerabilidades.** ¿Tienes manera de recibir avisos de terceros, corregir y distribuir parches? ¿Está definido quién notifica qué en 24 horas?
4. **Clasifica el producto** (por defecto, importante o crítico) para saber qué camino de evaluación de conformidad te toca.

El CRA es uno de los marcos de cumplimiento que gestionamos para nuestros clientes, con las evidencias documentadas. Si fabricas o desarrollas producto y quieres saber en qué punto estás, escríbenos a [hola@cynderlab.com](mailto:hola@cynderlab.com).