Reglamento sobre Ciberresiliencia
Reg. (UE) 2024/2847
- A quién obliga
- Fabricantes, importadores y distribuidores de productos con elementos digitales (hardware o software conectable). Categorías: por defecto, importante (Anexo III) y crítico (Anexo IV).
- Sanción máxima
- 15 M€ o 2,5 % de la facturación anual mundial
- En vigor desde
- 10/12/2024
- Autoridad
- Autoridades nacionales de vigilancia del mercado
CRA, en claro.
Establece requisitos de ciberseguridad por diseño para todo producto con elementos digitales comercializado en la UE: gestión de vulnerabilidades, lista de componentes (SBOM), actualizaciones de seguridad. Notificación de incidentes desde 09/2026; aplicación plena 12/2027. LOS PLAZOS SON MUY CORTOS y empiezan el 11/09/2026: aviso temprano en 24 horas desde que se tiene conocimiento, notificación completa en 72 horas, e informe final en 14 días desde que hay medida correctora (un mes para incidentes graves). Se notifica una sola vez, por la plataforma única de la UE. Alcance que sorprende: cubre PRODUCTOS YA COMERCIALIZADOS. Un producto puesto en el mercado en 2018 y todavía a la venta entra desde el primer día. Y quien solo COMPRA tecnología recibirá un flujo nuevo de avisos de seguridad de terceros, en el calendario de ellos.
Estado en ÆGIS: activo. Flujo completo: evaluación guiada que detecta tus obligaciones, plantillas de documento que se rellenan con tus datos para que las revises, y el asistente, que cita el artículo de cada respuesta y comprueba si ese artículo está en la base normativa. Disponible en la plataforma.
Fechas clave
- Obligaciones de notificación · 11/09/2026
- Aplicación plena · 11/12/2027
Obligaciones y artículos clave
El asistente cita estos puntos por su artículo. 12 referencias cargadas en el motor — muestra de 4.
-
CRA · Ámbito
Productos con elementos digitales — qué entra
Cualquier producto de software o hardware y sus soluciones de procesamiento de datos a distancia, incluyendo componentes de software o hardware introducidos por separado en el mercado. Quedan FUERA del ámbito: SaaS no estrechamente vinculado a producto, productos cubiertos por regulación sectorial específica (dispositivos médicos, vehículos, aviación).
-
CRA Anexo I · Requisitos esenciales de ciberseguridad
Seguridad por diseño, sin vulnerabilidades conocidas y soporte durante el ciclo de vida
El Anexo I exige que los productos se diseñen, desarrollen y produzcan de modo que garanticen un nivel de ciberseguridad adecuado al riesgo: comercializarse sin vulnerabilidades explotables conocidas, con una configuración segura por defecto, protección de la confidencialidad e integridad de los datos, minimización de superficie de ataque y capacidad de aplicar actualizaciones de seguridad. El fabricante debe gestionar las vulnerabilidades durante todo el periodo de soporte (que debe declarar y que, por defecto, se espera de al menos cinco años salvo vida útil menor), proporcionando actualizaciones de seguridad gratuitas y un boletín de vulnerabilidades.
-
CRA Art. 1 y 71 · Objeto y fechas de aplicación
Ciberseguridad por diseño para todo producto con elementos digitales
El Reglamento (UE) 2024/2847 se aplica a los productos con elementos digitales —hardware y software— cuyo uso previsto incluye una conexión de datos directa o indirecta a un dispositivo o red. Entró en vigor el 10 de diciembre de 2024. Las obligaciones de notificación de vulnerabilidades e incidentes son exigibles desde el 11 de septiembre de 2026, y el conjunto principal de obligaciones (requisitos esenciales, evaluación de conformidad, marcado CE) desde el 11 de diciembre de 2027. Quedan excluidos los productos ya cubiertos por regímenes sectoriales equivalentes (p. ej., dispositivos médicos, automoción, aviación).
-
CRA Art. 14 · Notificación de vulnerabilidades e incidentes
Alerta a ENISA/CSIRT: 24 h de alerta temprana, 72 h de notificación
Desde el 11 de septiembre de 2026, el fabricante debe notificar las vulnerabilidades activamente explotadas y los incidentes graves que afecten a la seguridad del producto, a través de una plataforma única, a la ENISA y al CSIRT designado como coordinador. Los plazos son escalonados: una alerta temprana en un máximo de 24 horas desde que se tiene conocimiento, una notificación más completa en 72 horas y un informe final posterior. Es un régimen análogo al de notificación de incidentes de NIS2, con el que conviene coordinar los procedimientos internos.
Qué puedes hacer con este marco en ÆGIS
EVALUACIÓN INTERACTIVA
Árbol de decisión guiadoUn cuestionario adaptativo determina qué obligaciones de CRA aplican a cada cliente y detecta sus brechas. El resultado alimenta los documentos y el universo de controles.
Solicita una demoDOCUMENTOS QUE GENERA · 1
Borradores con tus datos, para que los revises- Política de Gestión de Vulnerabilidades y Notificación de Incidentes (CRA)
Cruces con otros marcos
Estos marcos comparten obligaciones convergentes con CRA. El agente las razona como un sistema, no como silos.
¿Qué más te exige la ley? Míralo con el artículo al lado.
Responde unas preguntas y te decimos qué te aplica, con el artículo concreto. Gratis y sin registro.
¿Una duda concreta sobre CRA? Pregúntale a Atlas: responde citando el artículo.