¿En qué cajón cae tu producto? Un clasificador interactivo del Cyber Resilience Act

Por Kike Gandia · Hardware y OT · 9 min de lectura

Ilustración de un producto conectado clasificándose automáticamente en una de cuatro cajas etiquetadas, con la bandera europea y una lupa de análisis

El 11 de septiembre pasó casi desapercibido para la mayoría de fabricantes de productos conectados, pero es la fecha en la que el artículo 14 del Cyber Resilience Act empezó a obligar de verdad: 24 horas para avisar de una vulnerabilidad explotada activamente, 72 para notificarla, 14 días para el informe final. Cubre todo el catálogo, incluidos los productos que llevan años en el mercado. Antes de mirar plazos, sin embargo, hay una pregunta previa que decide todo lo demás: en qué cajón cae tu producto. De eso va este artículo, y por eso viene con una herramienta en vez de solo con texto.

Por qué esto no se responde a ojo

El CRA reparte los productos con elementos digitales en cuatro niveles: por defecto, importantes de clase I, importantes de clase II y críticos. La regla que decide el cajón es la funcionalidad principal del producto, no lo que lleva integrado dentro. Una aplicación que embebe un motor de navegador no es un navegador; un teléfono con gestor de contraseñas se clasifica por lo que es, no por lo que incorpora.

Desde el 21 de diciembre de 2025, esa pregunta tiene una respuesta técnica y no una intuitiva: el Reglamento de Ejecución (UE) 2025/2392 describe con detalle legal cada una de las veintiséis categorías de los anexos III y IV. Clasificar hoy es contrastar tu producto contra ese texto, no contra la etiqueta comercial que le hayas puesto.

El árbol de decisión, convertido en formulario

La herramienta de abajo recorre exactamente ese árbol: ámbito y exclusiones primero, funcionalidad principal después, y un par de matices que solo aparecen cuando son pertinentes (resistencia a manipulación física, software libre con documentación pública). Al final, un indicio de categoría con el razonamiento completo a la vista, para que puedas contrastarlo tú mismo en vez de fiarte de una caja negra.

No es una clasificación oficial ni sustituye a un análisis de conformidad. No recopila, transmite ni almacena ningún dato: todo el cálculo ocurre en tu navegador, y el resultado incluye un botón para copiarlo y llevarlo a donde haga falta.

Herramienta interactiva de clasificación disponible en la versión web de este artículo. Recorre el mismo árbol de decisión explicado en el texto: ámbito del artículo 2, funcionalidad principal frente a los anexos III y IV, y los matices de resistencia a manipulación y software libre. Para el árbol de decisión completo en formato de texto, con las 26 categorías detalladas, consulta la guía completa del CRA para fabricantes en /recursos/guia-cyber-resilience-act-fabricantes/.

El reloj no espera a diciembre de 2027

Casi todo el ruido mediático sobre el CRA apunta a la aplicación plena, el 11 de diciembre de 2027. Es la fecha que trae el anexo I entero, la evaluación de conformidad y el marcado CE — pero no es la única que importa, y tratarla como si lo fuera es el error más caro que puede cometer un fabricante ahora mismo. Hay tres tramos con destinatarios distintos, y uno de ellos ya está en marcha.

Línea temporal con las seis fechas clave del CRA: 10 de diciembre de 2024 (entrada en vigor), 11 de junio de 2026 (los Estados ya pueden designar organismos notificados), 11 de septiembre de 2026 (el artículo 14 entra en aplicación y obliga a todos los fabricantes), 11 de diciembre de 2027 (aplicación plena), 11 de junio de 2028 (fin de la prórroga de certificados previos) y 2032-2042 (obligaciones de soporte a largo plazo). El detalle completo de cada hito está en la guía completa del CRA, en /recursos/guia-cyber-resilience-act-fabricantes/.

Qué hacer con el resultado

Sea cual sea el cajón que te haya salido, hay una acción común que no admite espera: el artículo 14 aplica igual a un producto por defecto que a uno crítico, así que darte de alta en la plataforma de notificación de ENISA antes de necesitarla no es opcional. A partir de ahí, el trabajo cambia según el indicio:

  • Fuera del ámbito o sin actividad comercial: revisa la exclusión por escrito y vigila si un cambio futuro (conectividad añadida, monetización indirecta) te mete dentro.
  • Producto por defecto: puedes avanzar sin depender de nadie. La prioridad es el proceso — evaluación de riesgos, SBOM, período de soporte — no un tercero.
  • Importante, clase I: hoy no hay normas armonizadas citadas ni organismos notificados designados, así que la autoevaluación está cerrada de hecho. Prepara el expediente como si fuera a auditoría externa.
  • Importante clase II, o crítico: el tercero es obligatorio por definición y no hay ninguno disponible todavía bajo el CRA. Cuanto antes abras conversaciones con candidatos a organismo notificado, menos cola te tocará esperar.

Toda la documentación que debes tener lista

El cajón decide quién puede firmar la conformidad, pero el expediente de fondo es prácticamente el mismo para todos. Esto es lo que hace falta tener listo, ordenado por el momento del ciclo de vida en que se necesita — no por lo urgente que parezca hoy:

Checklist de la documentación exigida por el CRA en cinco fases: diseño y desarrollo (evaluación de riesgos del artículo 13.2, período de soporte), antes de introducir en el mercado (documentación técnica del anexo VII, SBOM, declaración UE de conformidad, marcado CE, instrucciones del anexo II), mantenimiento durante el ciclo de vida (política de divulgación coordinada de vulnerabilidades, registro de componentes, pruebas tras cada actualización, distribución segura de parches), ante una vulnerabilidad activa o incidente —ya exigible desde el 11 de septiembre de 2026— (aviso temprano de 24 horas, notificación de 72 horas, informe final a los 14 días del parche, comunicación a usuarios afectados) y, si el producto depende de un tercero, certificación de organismo notificado o esquema europeo aplicable. El detalle completo, con las obligaciones de cada rol económico, está en la guía completa del CRA para fabricantes en /recursos/guia-cyber-resilience-act-fabricantes/.

Recursos oficiales para completar el expediente

Dos enlaces que conviene tener guardados en vez de buscarlos el día que hagan falta:

  • Plataforma de notificación de ENISA: aquí se presentan el aviso temprano, la notificación con evaluación inicial y el informe final del artículo 14. Está operativa desde el 11 de septiembre de 2026, el mismo día en que el artículo empezó a obligar. Portal de notificación (Single Reporting Platform) · ficha informativa de ENISA
  • Organismos notificados (base de datos NANDO): es donde aparecerán publicados los organismos autorizados a certificar la clase II y los productos críticos en cuanto los Estados miembros los designen — a fecha de este artículo no consta ninguno todavía bajo el CRA. Base de datos NANDO, filtrable por legislación

El indicio que te da la herramienta es exactamente eso: un indicio, con el razonamiento a la vista para que lo puedas defender o corregir. Si quieres verlo con el mismo nivel de detalle que un análisis de conformidad —las 26 categorías completas, las rutas de evaluación, las sanciones y qué hacer según tu situación en España— la guía completa del CRA para fabricantes recoge todo eso en un solo sitio. Y si prefieres pasar directamente a preparar una propuesta, la ficha de alcance CRA recoge en ocho bloques vuestro rol, productos y madurez técnica para que hablemos con contexto. Y si prefieres que alguien lo revise contigo antes de decidir nada, para eso está nuestro equipo.

Servicio relacionado

consultoría Cyber Resilience Act (CRA)

Temas de este artículo

#Cyber-Resilience-Act #CRA #Cumplimiento #IoT #Hardware #Regulación-UE

Seguir leyendo

Fuentes

Contrastar mi clasificación con un experto