marco normativo · Reglamento de Ciberresiliencia (UE) 2024/2847
CRA: Su producto, su expediente, todo en un solo lugar
El Reglamento de Ciberresiliencia establece requisitos para los productos con elementos digitales durante todo su ciclo de vida. Complass le guía producto a producto, desde la aplicabilidad hasta el marcado CE.
Gestión del cumplimiento en 20 segundosProyecto, siguiente paso, lista de verificación, declaración de aplicabilidad, paquete de auditoría. Beispieldaten der Demo-Firma.
¿Qué es CRA?
El Reglamento de Ciberresiliencia (CRA) es el Reglamento (UE) 2024/2847 sobre requisitos horizontales de ciberseguridad para los productos con elementos digitales. Exige la seguridad desde el diseño, la gestión de vulnerabilidades durante todo el periodo de soporte, la notificación de las vulnerabilidades explotadas activamente y una evaluación de la conformidad con marcado CE.
Actualidad de los contenidos:
¿Me afecta?
El CRA se aplica a los productos con elementos digitales comercializados en el mercado de la UE, es decir, hardware y software con conexión de datos, como controladores, dispositivos y aplicaciones. Las obligaciones afectan sobre todo a los fabricantes, así como a los importadores y distribuidores. Existen excepciones, entre otros, para los productos ya cubiertos por determinadas otras normas de la UE.
Las obligaciones de notificación conforme al art. 14 son aplicables desde el 11 de septiembre de 2026, también para los productos comercializados antes de esa fecha.
Este resumen no sustituye al asesoramiento jurídico. Lo que prevalece es el texto legal o normativo; en Complass usted comprueba la aplicabilidad con ayuda de orientaciones basadas en las referencias.
Base jurídica
Art. 2 CRAArtículo 2 Reglamento de CiberresilienciaÁmbito de aplicación1. El presente Reglamento es aplicable a los productos con elementos digitales comercializados cuya finalidad prevista o uso razonablemente previsible incluya una conexión de datos directa o indirecta, lógica o física, a un dispositivo o red. 2. El presente Reglamento no es aplicable a los productos con elementos digitales a los que sean aplicables los siguientes actos jurídicos de la Unión: - a) el Reglamento (UE) …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Ámbito de aplicación
Art. 3 CRAArtículo 3 Reglamento de CiberresilienciaDefinicionesA los efectos del presente Reglamento, se entenderá por: 1) «producto con elementos digitales»: producto consistente en programas informáticos o equipos informáticos y sus soluciones de procesamiento de datos remoto, incluidos los componentes consistentes en programas informáticos o equipos informáticos que se introduzcan en el mercado por separado; 2) «tratamiento de datos a distancia»: tratamiento de datos a …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Definiciones
Art. 7 CRAArtículo 7 Reglamento de CiberresilienciaProductos importantes con elementos digitales1. Los productos con elementos digitales cuya funcionalidad principal sea la de una categoría de productos establecida en el anexo III se considerarán productos importantes con elementos digitales y estarán sujetos a los procedimientos de evaluación de la conformidad a que se refiere el artículo 32, apartados 2 y 3. La integración de un producto con elementos digitales cuya funcionalidad principal sea la de una …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Productos importantes con elementos digitales
Art. 13 CRAArtículo 13 Reglamento de CiberresilienciaObligaciones de los fabricantes1. Cuando se introduzca en el mercado un producto con elementos digitales, los fabricantes garantizarán que el producto ha sido diseñado, desarrollado y producido de conformidad con los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte I. 2. A efectos del cumplimiento del apartado 1, los fabricantes llevarán a cabo una evaluación de los riesgos de ciberseguridad asociados a un producto con …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Obligaciones de los fabricantes
Fechas clave
Entrada en vigor del Reglamento
Art. 71, apdo. 1Artículo 71 Reglamento de CiberresilienciaEntrada en vigor y aplicación1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. 2. El presente Reglamento será aplicable a partir del 11 de diciembre de 2027. No obstante, el artículo 14 será aplicable a partir del 11 de septiembre de 2026 y el capítulo IV (artículos 35 a 51) será aplicable a partir del 11 de junio de 2026.Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Se aplica el capítulo IV (organismos notificados, arts. 35 a 51)
Art. 71, apdo. 2Artículo 71 Reglamento de CiberresilienciaEntrada en vigor y aplicación1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. 2. El presente Reglamento será aplicable a partir del 11 de diciembre de 2027. No obstante, el artículo 14 será aplicable a partir del 11 de septiembre de 2026 y el capítulo IV (artículos 35 a 51) será aplicable a partir del 11 de junio de 2026.Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Se aplican las obligaciones de notificación del art. 14, también a los productos existentes
Art. 71, apdo. 2, y art. 69, apdo. 3Artículo 71 Reglamento de CiberresilienciaEntrada en vigor y aplicación1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. 2. El presente Reglamento será aplicable a partir del 11 de diciembre de 2027. No obstante, el artículo 14 será aplicable a partir del 11 de septiembre de 2026 y el capítulo IV (artículos 35 a 51) será aplicable a partir del 11 de junio de 2026.Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
EHR systems: conformity assessment under the EHDS Regulation (Art. 32(5a)); amendment of Art. 13(4) and Art. 31(3)
Art. 104 Regulation (EU) 2025/327Artículo 71 Reglamento de CiberresilienciaEntrada en vigor y aplicación1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. 2. El presente Reglamento será aplicable a partir del 11 de diciembre de 2027. No obstante, el artículo 14 será aplicable a partir del 11 de septiembre de 2026 y el capítulo IV (artículos 35 a 51) será aplicable a partir del 11 de junio de 2026.Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Plena aplicación del Reglamento
Art. 71, apdo. 2Artículo 71 Reglamento de CiberresilienciaEntrada en vigor y aplicación1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. 2. El presente Reglamento será aplicable a partir del 11 de diciembre de 2027. No obstante, el artículo 14 será aplicable a partir del 11 de septiembre de 2026 y el capítulo IV (artículos 35 a 51) será aplicable a partir del 11 de junio de 2026.Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
24 horas / 72 horas / 14 días
Alerta temprana, notificación e informe final para las vulnerabilidades explotadas activamente (informe final 14 días después de que haya una corrección disponible)
Art. 14 CRAArtículo 14 Reglamento de CiberresilienciaObligaciones de información de los fabricantes1. Los fabricantes notificarán simultáneamente al CSIRT designado como coordinador, de conformidad con el apartado 7 del presente artículo, y a la ENISA cualquier vulnerabilidad aprovechada activamente presente en el producto con elementos digitales de la que tengan conocimiento. El fabricante notificará dicha vulnerabilidad aprovechada activamente a través de la plataforma única de notificación establecida en …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Diez fases, desde la aplicabilidad y el rol, pasando por la clasificación y la evaluación de riesgos, hasta la declaración de conformidad, las obligaciones posteriores a la comercialización y la responsabilidad por productos.
Catálogo para el anexo I
Requisitos esenciales de ciberseguridad y gestión de vulnerabilidades con estado y evidencias, vinculables con IEC 62443-3-3 y el Reglamento de máquinas.
Vulnerabilidades en su propio producto
Importe el SBOM, concilie continuamente los componentes con datos públicos de vulnerabilidades y cree el incidente del art. 14 ya rellenado en caso de explotación activa.
Documentación técnica
Plantillas para, entre otros, la evaluación de riesgos, el concepto de SBOM, el proceso de gestión de vulnerabilidades, la política de divulgación, la información para el usuario conforme al anexo II y la declaración UE de conformidad.
The CRA and the Machinery Regulation in one file per product and version: requirements, SBOM, vulnerabilities, support period. Complass drafts the technical documentation and the EU declaration of conformity.
Lo mínimo que necesita como Fabricantes
Si usted es fabricante en el sentido de la CRA, esta selección cubre las obligaciones en Complass. El control de afectación gratuito le indica si es así.
Selección mínima Fabricantes
Paquete Start, tamaño S, con Vulnerabilidades y técnicas de ataque
Vulnerabilidades y técnicas de ataque (incl. SBOM, expediente de producto CRA y MITRE ATT&CK): Tratar las vulnerabilidades y emitir una alerta temprana en 24 horas para las vulnerabilidades explotadas activamente. (Art. 14, anexo I, parte II CRA (se abre en una pestaña nueva))+ 149 €
Gestión de incidentes
RGPD, Reglamento de IA y Protección de los denunciantes (HinSchG) (protección básica)
Si solo es importador o distribuidor (art. 19, 20 CRA), en Complass basta con el marco normativo CRA sin el módulo de vulnerabilidades: Start, 199 € netos/mes. Quien ofrece productos con su propio nombre o los modifica sustancialmente se considera fabricante (art. 21, 22 CRA). Ver la selección: Selección mínima importador o distribuidor
Recomendado
Business
739 €netos al mes
Más efecto con Gestión de activos y zonas, Supplier Management y Gestión de la continuidad de negocio (BCM), espacio para 10 usuarios y 2 marcos normativos.
También puede cumplir las obligaciones sin Complass. Complass apoya la implantación y la evidencia y no sustituye el asesoramiento jurídico. Avisos legales
Preguntas frecuentes
Fabricamos máquinas con un controlador. ¿Se aplica el CRA o el Reglamento de máquinas?+
A menudo, ambos. Complass muestra las coincidencias y vincula los catálogos para que usted aporte las evidencias una sola vez.
¿Complass presenta la notificación a ENISA?+
No. Complass calcula los plazos y prepara el contenido; usted presenta la notificación a través de la plataforma de notificaciones.
Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.
