Plazos del Cyber Resilience Act: qué debes tener listo y cuándo
Por el equipo de QuantumSec
El Cyber Resilience Act no tiene una única fecha de entrada en vigor. Tiene tres hitos críticos distribuidos entre 2024 y 2027, y entender con exactitud qué obliga cada uno es fundamental para planificar tu adecuación sin prisas de última hora. Si gestionas el desarrollo de productos de software o hardware con conectividad, este calendario es lo primero que debes conocer.
23 de octubre de 2024: el CRA ya está en vigor
El Reglamento (UE) 2024/2847 entró en vigor en octubre de 2024. Este hito no impone aún obligaciones técnicas directas para los fabricantes, pero tiene consecuencias prácticas inmediatas: los productos que se están diseñando y desarrollando ahora mismo serán evaluados contra los requisitos del CRA cuando lleguen al mercado. Si lanzas un producto nuevo en 2026 o 2027 que hoy está en fase de diseño, el CRA ya aplica al ciclo de vida completo de ese producto. Las empresas con ciclos de desarrollo largos —hardware industrial, sistemas embebidos, dispositivos médicos conectados— tienen que iniciar el proceso de adecuación ya para no descubrir a finales de 2027 que su producto en producción no puede marcarse con el CE de ciberseguridad.
11 de agosto de 2026: el primer plazo duro — reporte de vulnerabilidades a ENISA
Este es el primer plazo con obligaciones exigibles concretas y el que más empresas están subestimando. A partir del 11 de agosto de 2026, los fabricantes de productos con elementos digitales deben notificar a ENISA: (1) cualquier vulnerabilidad en su producto que esté siendo activamente explotada en la naturaleza, dentro de un plazo de 24 horas desde que toman conocimiento de ella (alerta temprana); (2) una notificación completa de la vulnerabilidad en las 72 horas siguientes; (3) un informe final en 14 días. Esto requiere tener operativo un proceso estructurado de monitorización de vulnerabilidades, un canal de recepción de reportes de seguridad, un protocolo interno de escalado y verificación, y un sistema de comunicación con ENISA. Paralelamente, desde agosto de 2026 también aplica la obligación de notificar incidentes de seguridad con impacto significativo en la seguridad de los usuarios del producto.
11 de septiembre de 2026: los organismos notificados deben estar operativos
Para los productos de Clase I y Clase II que requieren evaluación de conformidad por terceros, los organismos notificados (Notified Bodies) que realizarán esas auditorías deben estar designados por los Estados miembros a más tardar el 11 de septiembre de 2026. Este plazo tiene implicaciones para los fabricantes: si tu producto requiere evaluación de terceros, en cuanto los organismos notificados estén operativos podrás iniciar el proceso formal de certificación. Los fabricantes de productos Clase I y II deben planificar con suficiente antelación para completar la evaluación antes del 11 de diciembre de 2027, teniendo en cuenta que los organismos notificados tendrán una demanda elevada en los meses previos a la fecha límite.
11 de diciembre de 2027: aplicación plena del CRA
Esta es la fecha de aplicación plena de todos los requisitos del CRA. A partir de este día, cualquier producto con elementos digitales puesto por primera vez en el mercado europeo debe: (1) cumplir íntegramente los requisitos esenciales del Anexo I; (2) haber completado el procedimiento de evaluación de conformidad correspondiente a su categoría; (3) estar en posesión de la declaración de conformidad UE emitida por el fabricante; (4) ostentar el marcado CE de ciberseguridad. Los productos que no cumplan estos requisitos no podrán distribuirse en la UE a partir de esta fecha. Las autoridades nacionales de vigilancia del mercado tendrán competencia para retirar del mercado los productos no conformes e imponer sanciones a los fabricantes, importadores y distribuidores.
El período de gracia para productos ya en el mercado
Los productos que hayan sido puestos en el mercado antes del 11 de diciembre de 2027 pero que aún estén en el canal de distribución disponen de un período de gracia de 36 meses, hasta el 11 de diciembre de 2030, para agotar ese inventario. Esto aplica estrictamente a productos físicos ya manufacturados y en el canal de distribución, no a software que se siga desarrollando o actualizando. A partir del 11 de diciembre de 2030, solo podrán estar en el mercado europeo productos con elementos digitales que ostenten el marcado CE de ciberseguridad.
Cómo planificar tu adecuación según el horizonte temporal
Para los fabricantes que empiezan ahora: la prioridad inmediata debe ser habilitar un canal de recepción de reportes de vulnerabilidades (security.txt, formulario de contacto de seguridad o plataforma de bug bounty), documentar un proceso mínimo de evaluación y respuesta a vulnerabilidades, y preparar el acceso a la plataforma de reporte de ENISA antes del 11 de agosto de 2026. Para el plazo de diciembre de 2027, la adecuación completa requiere trabajar en tres frentes en paralelo: (1) clasificar todos los productos en su categoría CRA y determinar el tipo de evaluación de conformidad necesaria; (2) implementar los requisitos técnicos del Anexo I en el proceso de desarrollo (SDLC seguro); (3) preparar la documentación técnica y la declaración de conformidad UE. Empresas con experiencia en certificaciones de producto (CE, ISO/IEC 27001, IEC 62443) partirán con ventaja, ya que muchos controles son reutilizables.
FAQ
¿Qué pasa si no notifico una vulnerabilidad activamente explotada a ENISA en el plazo de 24 horas?
El incumplimiento de la obligación de notificación a ENISA puede dar lugar a sanciones de hasta 10 millones de euros o el 2% de la facturación anual global. Las autoridades nacionales de vigilancia del mercado son las responsables de investigar e imponer estas sanciones.
¿Los plazos del CRA aplican también a las actualizaciones de software?
Las obligaciones de notificación de vulnerabilidades activamente explotadas aplican a todos los productos con elementos digitales en el mercado, independientemente de si han sido actualizados recientemente. Si una vulnerabilidad afecta a versiones de tu software que están en uso por clientes, la obligación de notificar a ENISA aplica desde agosto de 2026.