¿En qué cajón cae tu producto? Un clasificador interactivo del Cyber Resilience Act
Por Kike Gandia · Hardware y OT · 7 min de lectura
El 11 de septiembre pasó casi desapercibido para la mayoría de fabricantes de productos conectados, pero es la fecha en la que el artículo 14 del Cyber Resilience Act empezó a obligar de verdad: 24 horas para avisar de una vulnerabilidad explotada activamente, 72 para notificarla, 14 días para el informe final. Cubre todo el catálogo, incluidos los productos que llevan años en el mercado. Antes de mirar plazos, sin embargo, hay una pregunta previa que decide todo lo demás: en qué cajón cae tu producto. De eso va este artículo, y por eso viene con una herramienta en vez de solo con texto.
Por qué esto no se responde a ojo
El CRA reparte los productos con elementos digitales en cuatro niveles: por defecto, importantes de clase I, importantes de clase II y críticos. La regla que decide el cajón es la funcionalidad principal del producto, no lo que lleva integrado dentro. Una aplicación que embebe un motor de navegador no es un navegador; un teléfono con gestor de contraseñas se clasifica por lo que es, no por lo que incorpora.
Desde el 21 de diciembre de 2025, esa pregunta tiene una respuesta técnica y no una intuitiva: el Reglamento de Ejecución (UE) 2025/2392 describe con detalle legal cada una de las veintiséis categorías de los anexos III y IV. Clasificar hoy es contrastar tu producto contra ese texto, no contra la etiqueta comercial que le hayas puesto.
El árbol de decisión, convertido en formulario
La herramienta de abajo recorre exactamente ese árbol: ámbito y exclusiones primero, funcionalidad principal después, y un par de matices que solo aparecen cuando son pertinentes (resistencia a manipulación física, software libre con documentación pública). Al final, un indicio de categoría con el razonamiento completo a la vista, para que puedas contrastarlo tú mismo en vez de fiarte de una caja negra.
No es una clasificación oficial ni sustituye a un análisis de conformidad. No recopila, transmite ni almacena ningún dato: todo el cálculo ocurre en tu navegador, y el resultado incluye un botón para copiarlo y llevarlo a donde haga falta.
Herramienta interactiva de clasificación disponible en la versión web de este artículo. Recorre el mismo árbol de decisión explicado en el texto: ámbito del artículo 2, funcionalidad principal frente a los anexos III y IV, y los matices de resistencia a manipulación y software libre. Para el árbol de decisión completo en formato de texto, con las 26 categorías detalladas, consulta la guía completa del CRA para fabricantes en /recursos/guia-cyber-resilience-act-fabricantes/.
El reloj no espera a diciembre de 2027
Casi todo el ruido mediático sobre el CRA apunta a la aplicación plena, el 11 de diciembre de 2027. Es la fecha que trae el anexo I entero, la evaluación de conformidad y el marcado CE — pero no es la única que importa, y tratarla como si lo fuera es el error más caro que puede cometer un fabricante ahora mismo. Hay tres tramos con destinatarios distintos, y uno de ellos ya está en marcha.
Línea temporal con las seis fechas clave del CRA: 10 de diciembre de 2024 (entrada en vigor), 11 de junio de 2026 (los Estados ya pueden designar organismos notificados), 11 de septiembre de 2026 (el artículo 14 entra en aplicación y obliga a todos los fabricantes), 11 de diciembre de 2027 (aplicación plena), 11 de junio de 2028 (fin de la prórroga de certificados previos) y 2032-2042 (obligaciones de soporte a largo plazo). El detalle completo de cada hito está en la guía completa del CRA, en /recursos/guia-cyber-resilience-act-fabricantes/.
Qué hacer con el resultado
Sea cual sea el cajón que te haya salido, hay una acción común que no admite espera: el artículo 14 aplica igual a un producto por defecto que a uno crítico, así que darte de alta en la plataforma de notificación de ENISA antes de necesitarla no es opcional. A partir de ahí, el trabajo cambia según el indicio:
- Fuera del ámbito o sin actividad comercial: revisa la exclusión por escrito y vigila si un cambio futuro (conectividad añadida, monetización indirecta) te mete dentro.
- Producto por defecto: puedes avanzar sin depender de nadie. La prioridad es el proceso — evaluación de riesgos, SBOM, período de soporte — no un tercero.
- Importante, clase I: hoy no hay normas armonizadas citadas ni organismos notificados designados, así que la autoevaluación está cerrada de hecho. Prepara el expediente como si fuera a auditoría externa.
- Importante clase II, o crítico: el tercero es obligatorio por definición y no hay ninguno disponible todavía bajo el CRA. Cuanto antes abras conversaciones con candidatos a organismo notificado, menos cola te tocará esperar.
El indicio que te da la herramienta es exactamente eso: un indicio, con el razonamiento a la vista para que lo puedas defender o corregir. Si quieres verlo con el mismo nivel de detalle que un análisis de conformidad —las 26 categorías completas, las rutas de evaluación, las sanciones y qué hacer según tu situación en España— la guía completa del CRA para fabricantes recoge todo eso en un solo sitio. Y si prefieres que alguien lo revise contigo antes de decidir nada, para eso está nuestro equipo.
Servicio relacionado
consultoría Cyber Resilience Act (CRA)
Temas de este artículo
#Cyber-Resilience-Act #CRA #Cumplimiento #IoT #Hardware #Regulación-UE
Seguir leyendo
- Serie Análisis de Hardware – Parte 5 Espionaje electromagnético – el ataque silencioso
- Serie Análisis de Hardware – Parte 2: Identificación de Componentes y Recolección de Información
- Hardware Hacking - Interfaces Periféricas