Qué es el Cyber Resilience Act: el reglamento europeo de ciberseguridad para productos digitales

Por Kike Gandia · Co-Fundador y CEO, OSCP

El Cyber Resilience Act (CRA) es el Reglamento (UE) 2024/2847, aprobado por el Parlamento Europeo y el Consejo de la UE en octubre de 2024. Es el primer marco legal de la Unión Europea que impone requisitos obligatorios de ciberseguridad a los productos con elementos digitales —hardware y software— antes de que puedan ponerse a la venta en el mercado europeo. Si tu empresa fabrica, importa o distribuye cualquier tipo de producto tecnológico en la UE, el CRA te afecta directamente.

Por qué existe el Cyber Resilience Act

Durante años, la ciberseguridad de los productos digitales se dejó al criterio voluntario de los fabricantes. El resultado: dispositivos IoT con contraseñas predeterminadas iguales para millones de unidades, software empresarial sin proceso de actualización de seguridad, routers domésticos con vulnerabilidades conocidas sin parche. La Comisión Europea, al proponer el reglamento en 2022, estimó el coste mundial del ciberdelito en 5,5 billones de euros solo en 2021. El CRA responde a esta situación estableciendo un umbral mínimo obligatorio de ciberseguridad que todos los productos con elementos digitales deben cumplir antes de acceder al mercado único europeo. La idea central es sencilla: la seguridad debe diseñarse en el producto desde el principio —security by design— y no añadirse como un parche tardío.

A qué productos aplica el CRA

El CRA aplica a cualquier producto con elementos digitales que tenga conectividad de red directa o indirecta y se comercialice en la UE. Esto incluye hardware conectado (routers, cámaras IP, dispositivos IoT industriales y de consumo, wearables, dispositivos médicos conectados no sujetos al MDR), software con componentes instalables en el cliente (aplicaciones de escritorio, firmware, sistemas operativos, software empresarial, plugins) y componentes de software integrados en otros productos (librerías, SDKs, módulos). Las exclusiones son: software open source sin finalidad comercial, servicios SaaS puros sin componentes instalables en el cliente, dispositivos médicos regulados por el MDR, productos de aviación civil y equipo de defensa. Un punto clave: si tu servicio SaaS incluye un agente de escritorio, un conector instalable o un plugin que se comunica con tu infraestructura en la nube, ese componente entra en el ámbito del CRA aunque el resto de tu servicio sea cloud puro.

Las cuatro categorías de productos del CRA

El CRA clasifica los productos en cuatro categorías según su nivel de riesgo potencial, lo que determina el tipo de evaluación de conformidad exigida.

Productos Default: la categoría que incluye a la gran mayoría de los productos con elementos digitales. Los fabricantes pueden realizar una autoevaluación de conformidad (self-assessment) siguiendo los requisitos del Anexo I.

Clase I (mayor riesgo): incluye software de gestión de identidad y acceso, gestores de contraseñas, navegadores web, software antivirus, gestores de dispositivos de red, sistemas operativos para uso general, routers domésticos y firewalls de consumo. Para estos productos el fabricante puede hacer self-assessment solo si aplica íntegramente una norma armonizada europea; en caso contrario, necesita evaluación de terceros.

Clase II (crítico): hipervisores, sistemas operativos de servidores, firewalls industriales, sistemas de detección y prevención de intrusiones, microcontroladores de seguridad, tarjetas inteligentes, infraestructuras de clave pública (PKI) y módulos de plataforma de confianza (TPM). Requieren obligatoriamente auditoría por un organismo notificado.

Productos IACS: sistemas de control industrial con función crítica en infraestructuras, con requisitos específicos para entornos OT/ICS.

Los requisitos esenciales del Anexo I

El Anexo I del CRA define dos grupos de requisitos esenciales de ciberseguridad.

Requisitos de producto (Parte I): el producto no debe tener vulnerabilidades conocidas explotables en el momento de su puesta en el mercado; debe entregarse con una configuración segura por defecto; debe proteger los datos almacenados y transmitidos mediante cifrado; debe minimizar su superficie de ataque; debe resistir intentos de acceso no autorizado; debe garantizar la integridad del software mediante mecanismos de actualización segura; debe ofrecer funciones de registro de eventos de seguridad; y no debe incluir funcionalidades ocultas ni puertas traseras.

Requisitos de gestión de vulnerabilidades (Parte II): el fabricante debe identificar y documentar vulnerabilidades durante todo el ciclo de vida del producto; debe poner a disposición actualizaciones de seguridad de forma gratuita durante al menos cinco años; debe contar con una política de divulgación coordinada de vulnerabilidades (CVD); debe notificar a ENISA las vulnerabilidades activamente explotadas en un plazo de 24 horas (alerta temprana) y 72 horas (notificación formal); y debe proporcionar a los usuarios información clara sobre el período de soporte de seguridad del producto.

Los plazos que debes tener en mente

El CRA tiene cuatro hitos temporales, y tres ya han pasado.

10 de diciembre de 2024: el reglamento entró en vigor, veinte días después de su publicación en el Diario Oficial de la UE el 20 de noviembre. Los fabricantes ya deben empezar a prepararse.

11 de junio de 2026: empiezan a aplicarse las normas sobre la notificación de los organismos de evaluación de la conformidad, de modo que los Estados miembros pueden designar a los organismos notificados que evaluarán los productos de clase I y II.

11 de septiembre de 2026: son exigibles las obligaciones de notificación del artículo 14. Desde ese día, los fabricantes deben comunicar a ENISA y al CSIRT coordinador las vulnerabilidades activamente explotadas y los incidentes graves, también de productos que ya estaban en el mercado.

11 de diciembre de 2027: fecha de aplicación plena del CRA. Todos los productos con elementos digitales puestos en el mercado europeo a partir de esta fecha deben cumplir íntegramente los requisitos del reglamento y llevar el marcado CE.

El marcado CE de ciberseguridad

Al igual que otros reglamentos europeos de producto, el CRA introduce el marcado CE como señal de conformidad con los requisitos de ciberseguridad. Un producto sin el marcado CE de ciberseguridad no podrá ponerse en el mercado europeo a partir del 11 de diciembre de 2027. El proceso varía según la categoría del producto: los fabricantes de productos Default realizan una self-assessment y emiten la declaración de conformidad UE; los de productos Clase I y II deben pasar por un organismo notificado.

FAQ

¿El CRA aplica solo a las empresas europeas o también a las que venden en la UE desde fuera?

El CRA aplica a cualquier producto que se comercialice en el mercado europeo, independientemente de dónde esté la sede del fabricante. Un fabricante con sede en EEUU, India o Corea del Sur que venda sus productos en la UE debe cumplir el CRA. Si no tiene presencia en la UE, el importador que introduce el producto en el mercado europeo asume las obligaciones del fabricante.

¿El CRA se aplica a las actualizaciones de software de productos ya en el mercado?

Sí. El CRA aplica a las actualizaciones significativas de software que modifiquen de forma sustancial las características de seguridad del producto. Las actualizaciones de seguridad menores o los parches de vulnerabilidades no se consideran "puesta en el mercado" de un nuevo producto, pero el fabricante sigue obligado a facilitarlas de forma gratuita durante al menos cinco años.

¿Qué es la declaración de conformidad UE bajo el CRA?

Es el documento que el fabricante emite bajo su propia responsabilidad declarando que el producto cumple todos los requisitos esenciales de ciberseguridad del CRA. Debe incluir la identificación del producto y del fabricante, los requisitos que se consideran cumplidos, las normas armonizadas aplicadas, y una declaración de responsabilidad. Debe conservarse durante 10 años y estar disponible para las autoridades de vigilancia del mercado.