Plazos del Cyber Resilience Act: qué debes tener listo y cuándo

Por Kike Gandia · Co-Fundador y CEO, OSCP

El Cyber Resilience Act no tiene una única fecha de entrada en vigor: tiene cuatro hitos escalonados entre 2024 y 2027, y tres de ellos ya han pasado. Desde el 11 de septiembre de 2026 es exigible la obligación de notificar a ENISA las vulnerabilidades activamente explotadas y los incidentes graves, también de productos que ya estaban en el mercado. Queda un único plazo por delante: el 11 de diciembre de 2027, cuando se aplica todo el reglamento. Si gestionas el desarrollo de productos de software o hardware con conectividad, este calendario te dice qué te obliga ya y qué tienes todavía por delante.

Calendario del Cyber Resilience Act de un vistazo

Las cuatro fechas que marcan la adecuación al Cyber Resilience Act y su estado a día de hoy:

Fecha	Hito	Estado	Qué implica
10 de diciembre de 2024	Entrada en vigor	Cumplido	El reglamento ya es derecho vigente; empieza a contar el calendario
11 de junio de 2026	Normas sobre organismos notificados	Vigente	Los Estados miembros pueden designar los organismos que evaluarán productos de clase I y II
11 de septiembre de 2026	Obligaciones de notificación del artículo 14	Vigente	Alerta temprana en 24 h, notificación en 72 h e informe final en 14 días, por la plataforma única de ENISA
11 de diciembre de 2027	Aplicación plena	Pendiente	Último plazo: todos los requisitos pasan a ser exigibles y sancionables

10 de diciembre de 2024: el CRA ya está en vigor

El Reglamento (UE) 2024/2847 se publicó en el Diario Oficial de la UE el 20 de noviembre de 2024 y entró en vigor veinte días después, el 10 de diciembre. Este hito no impone aún obligaciones técnicas directas para los fabricantes, pero tiene consecuencias prácticas inmediatas: los productos que se están diseñando y desarrollando ahora mismo serán evaluados contra los requisitos del CRA cuando lleguen al mercado. Si lanzas un producto nuevo en 2027 que hoy está en fase de diseño, el CRA ya condiciona su ciclo de vida completo. Las empresas con ciclos de desarrollo largos —hardware industrial, sistemas embebidos, dispositivos conectados— tienen que iniciar la adecuación ya para no descubrir a finales de 2027 que el producto que entra en producción no puede llevar el marcado CE.

11 de junio de 2026: arranca la designación de organismos notificados

Desde esta fecha se aplica el capítulo IV del reglamento, que regula cómo los Estados miembros designan y notifican a la Comisión los organismos de evaluación de la conformidad. Son los que tendrán que intervenir en los productos importantes de clase II, en los críticos y en los de clase I cuando el fabricante no aplique normas armonizadas. Que la designación pueda hacerse no significa que ya haya organismos disponibles para tu categoría: conviene comprobarlo en la base de datos NANDO de la Comisión y reservar capacidad con antelación, porque la demanda se concentrará en los meses previos a diciembre de 2027.

11 de septiembre de 2026: el primer plazo duro ya venció — notificación a ENISA

Este fue el primer plazo con obligaciones exigibles concretas y sigue siendo el que más empresas subestiman, con el agravante de que ya está vigente. Desde el 11 de septiembre de 2026, los fabricantes de productos con elementos digitales deben notificar cualquier vulnerabilidad de su producto que esté siendo activamente explotada: (1) una alerta temprana en las 24 horas siguientes a conocerla; (2) una notificación de la vulnerabilidad en 72 horas; (3) un informe final en los 14 días siguientes a que exista una corrección o mitigación. Los incidentes graves que afecten a la seguridad del producto siguen el mismo esquema de 24 y 72 horas, con informe final en un mes.

Todo se envía por la plataforma única de notificación de ENISA, que lo hace llegar a la vez al CSIRT coordinador del Estado del establecimiento principal del fabricante y a ENISA. El artículo 69.3 extiende la obligación a los productos que ya estaban en el mercado, sin excepción por antigüedad. Las vulnerabilidades que no se están explotando no hay que notificarlas, aunque sí corregirlas.

Si a día de hoy tu organización no tiene un canal de recepción de reportes operativo, un criterio para decidir cuándo una vulnerabilidad está explotada y el acceso a la plataforma de ENISA preparado (cuentas EU Login con doble factor y el CSIRT coordinador identificado), no estás preparándote para una obligación futura: estás expuesto a incumplir una que ya es exigible.

11 de diciembre de 2027: aplicación plena del CRA

Esta es la fecha de aplicación plena de todos los requisitos del CRA. A partir de este día, cualquier producto con elementos digitales que se introduzca en el mercado europeo debe: (1) cumplir íntegramente los requisitos esenciales del anexo I; (2) haber superado el procedimiento de evaluación de la conformidad que corresponda a su categoría; (3) contar con la declaración UE de conformidad emitida por el fabricante; (4) llevar el marcado CE. Los productos que no cumplan estos requisitos no podrán comercializarse en la UE a partir de esta fecha. Las autoridades nacionales de vigilancia del mercado podrán retirar del mercado los productos no conformes e imponer sanciones a fabricantes, importadores y distribuidores.

Qué pasa con los productos que ya están en el mercado

El CRA no obliga a retirar ni a certificar los productos introducidos en el mercado antes del 11 de diciembre de 2027: según el artículo 69.1, solo les alcanza si sufren una modificación sustancial a partir de esa fecha. Hay dos matices que cambian la planificación. El primero es la excepción del artículo 69.3: la obligación de notificar vulnerabilidades explotadas e incidentes graves sí cubre a todos esos productos desde el 11 de septiembre de 2026. El segundo es que la introducción en el mercado se mide por unidad, no por modelo: cada unidad que se comercialice por primera vez a partir del 11 de diciembre de 2027 tiene que cumplir, aunque el modelo se lanzara años antes.

Cómo planificar tu adecuación según el horizonte temporal

Para los fabricantes que empiezan ahora, las obligaciones de notificación ya no son un preparativo: si faltan, son un incumplimiento. La prioridad inmediata es habilitar un canal de recepción de reportes de vulnerabilidades (security.txt, formulario de contacto de seguridad o plataforma de bug bounty), documentar un proceso mínimo de evaluación y respuesta, y tener preparado el acceso a la plataforma única de ENISA: cuentas EU Login con doble factor para quien vaya a notificar y el CSIRT coordinador identificado. ENISA recomienda completar el alta y la validación cuando haya que notificar; se hace en minutos. Para el único plazo que queda por delante, el de diciembre de 2027, la adecuación completa requiere trabajar en tres frentes en paralelo: (1) clasificar todos los productos en su categoría CRA y determinar el tipo de evaluación de la conformidad necesaria; (2) implementar los requisitos técnicos del anexo I en el proceso de desarrollo (SDLC seguro); (3) preparar la documentación técnica y la declaración UE de conformidad. Las empresas con experiencia en certificaciones de producto o de seguridad (marcado CE, ISO/IEC 27001, IEC 62443) parten con ventaja, porque muchos controles son reutilizables.

FAQ

¿Está aprobado el Cyber Resilience Act?

Sí. Es el Reglamento (UE) 2024/2847, publicado en el Diario Oficial de la UE el 20 de noviembre de 2024 y en vigor desde el 10 de diciembre de 2024. Al ser un reglamento y no una directiva, se aplica directamente en todos los Estados miembros sin ley nacional de transposición. Lo que se escalona es su aplicación: las obligaciones de notificación del artículo 14 son exigibles desde el 11 de septiembre de 2026 y el resto del reglamento desde el 11 de diciembre de 2027.

¿Desde cuándo es obligatorio cumplir el CRA?

Depende de la obligación. Notificar a ENISA las vulnerabilidades activamente explotadas y los incidentes graves es obligatorio desde el 11 de septiembre de 2026, también para productos que ya estaban en el mercado. Los requisitos esenciales del anexo I, la evaluación de la conformidad y el marcado CE son obligatorios para todo producto que se comercialice desde el 11 de diciembre de 2027.

¿Qué pasa si no notifico una vulnerabilidad activamente explotada a ENISA en el plazo de 24 horas?

Incumplir las obligaciones del artículo 14 está en el tramo más alto del régimen sancionador del artículo 64: hasta 15 millones de euros o el 2,5% del volumen de negocios mundial anual, la cifra que sea mayor. Las autoridades nacionales de vigilancia del mercado son las competentes para investigar e imponer estas sanciones.

¿Los plazos del CRA aplican también a las actualizaciones de software?

Las obligaciones de notificación de vulnerabilidades activamente explotadas aplican a todos los productos con elementos digitales en el mercado, independientemente de si se han actualizado hace poco o de cuándo se lanzaron. Si una vulnerabilidad explotada afecta a versiones de tu software que usan tus clientes, la obligación de notificar aplica desde el 11 de septiembre de 2026.