Qué es el Cyber Resilience Act: el reglamento europeo de ciberseguridad para productos digitales
Por el equipo de QuantumSec
El Cyber Resilience Act (CRA) es el Reglamento (UE) 2024/2847, aprobado por el Parlamento Europeo y el Consejo de la UE en octubre de 2024. Es el primer marco legal de la Unión Europea que impone requisitos obligatorios de ciberseguridad a los productos con elementos digitales —hardware y software— antes de que puedan ponerse a la venta en el mercado europeo. Si tu empresa fabrica, importa o distribuye cualquier tipo de producto tecnológico en la UE, el CRA te afecta directamente.
Por qué existe el Cyber Resilience Act
Durante años, la ciberseguridad de los productos digitales se dejó al criterio voluntario de los fabricantes. El resultado: dispositivos IoT con contraseñas predeterminadas iguales para millones de unidades, software empresarial sin proceso de actualización de seguridad, routers domésticos con vulnerabilidades conocidas sin parche. Los ciberataques que aprovechan estas debilidades cuestan a la economía europea más de 5.500 millones de euros anuales, según la Comisión Europea. El CRA responde a esta situación estableciendo un umbral mínimo obligatorio de ciberseguridad que todos los productos con elementos digitales deben cumplir antes de acceder al mercado único europeo. La idea central es sencilla: la seguridad debe diseñarse en el producto desde el principio —security by design— y no añadirse como un parche tardío.
A qué productos aplica el CRA
El CRA aplica a cualquier producto con elementos digitales que tenga conectividad de red directa o indirecta y se comercialice en la UE. Esto incluye hardware conectado (routers, cámaras IP, dispositivos IoT industriales y de consumo, wearables, dispositivos médicos conectados no sujetos al MDR), software con componentes instalables en el cliente (aplicaciones de escritorio, firmware, sistemas operativos, software empresarial, plugins) y componentes de software integrados en otros productos (librerías, SDKs, módulos). Las exclusiones son: software open source sin finalidad comercial, servicios SaaS puros sin componentes instalables en el cliente, dispositivos médicos regulados por el MDR, productos de aviación civil y equipo de defensa. Un punto clave: si tu servicio SaaS incluye un agente de escritorio, un conector instalable o un plugin que se comunica con tu infraestructura en la nube, ese componente entra en el ámbito del CRA aunque el resto de tu servicio sea cloud puro.
Las cuatro categorías de productos del CRA
El CRA clasifica los productos en cuatro categorías según su nivel de riesgo potencial, lo que determina el tipo de evaluación de conformidad exigida.
Productos Default: la categoría que incluye a la gran mayoría de los productos con elementos digitales. Los fabricantes pueden realizar una autoevaluación de conformidad (self-assessment) siguiendo los requisitos del Anexo I.
Clase I (mayor riesgo): incluye software de gestión de identidad y acceso, gestores de contraseñas, navegadores web, software antivirus, gestores de dispositivos de red, sistemas operativos para uso general, routers domésticos y firewalls de consumo. Para estos productos el fabricante puede hacer self-assessment solo si aplica íntegramente una norma armonizada europea; en caso contrario, necesita evaluación de terceros.
Clase II (crítico): hipervisores, sistemas operativos de servidores, firewalls industriales, sistemas de detección y prevención de intrusiones, microcontroladores de seguridad, tarjetas inteligentes, infraestructuras de clave pública (PKI) y módulos de plataforma de confianza (TPM). Requieren obligatoriamente auditoría por un organismo notificado.
Productos IACS: sistemas de control industrial con función crítica en infraestructuras, con requisitos específicos para entornos OT/ICS.
Los requisitos esenciales del Anexo I
El Anexo I del CRA define dos grupos de requisitos esenciales de ciberseguridad.
Requisitos de producto (Parte I): el producto no debe tener vulnerabilidades conocidas explotables en el momento de su puesta en el mercado; debe entregarse con una configuración segura por defecto; debe proteger los datos almacenados y transmitidos mediante cifrado; debe minimizar su superficie de ataque; debe resistir intentos de acceso no autorizado; debe garantizar la integridad del software mediante mecanismos de actualización segura; debe ofrecer funciones de registro de eventos de seguridad; y no debe incluir funcionalidades ocultas ni puertas traseras.
Requisitos de gestión de vulnerabilidades (Parte II): el fabricante debe identificar y documentar vulnerabilidades durante todo el ciclo de vida del producto; debe poner a disposición actualizaciones de seguridad de forma gratuita durante al menos cinco años; debe contar con una política de divulgación coordinada de vulnerabilidades (CVD); debe notificar a ENISA las vulnerabilidades activamente explotadas en un plazo de 24 horas (alerta temprana) y 72 horas (notificación formal); y debe proporcionar a los usuarios información clara sobre el período de soporte de seguridad del producto.
Los plazos que debes tener en mente
El CRA tiene tres hitos temporales importantes.
23 de octubre de 2024: el reglamento entró en vigor. Los fabricantes ya deben empezar a prepararse.
11 de agosto de 2026: entran en aplicación los requisitos de notificación de incidentes y vulnerabilidades activamente explotadas a ENISA. Las empresas deben tener operativo su proceso de reporte antes de esta fecha.
11 de septiembre de 2026: los organismos notificados (que realizarán las evaluaciones de conformidad de terceros para productos Clase I y II) deben estar designados y operativos.
11 de diciembre de 2027: fecha de aplicación plena del CRA. Todos los productos con elementos digitales puestos en el mercado europeo a partir de esta fecha deben cumplir íntegramente los requisitos del reglamento y estar en posesión del marcado CE de ciberseguridad.
El marcado CE de ciberseguridad
Al igual que otros reglamentos europeos de producto, el CRA introduce el marcado CE como señal de conformidad con los requisitos de ciberseguridad. Un producto sin el marcado CE de ciberseguridad no podrá ponerse en el mercado europeo a partir del 11 de diciembre de 2027. El proceso varía según la categoría del producto: los fabricantes de productos Default realizan una self-assessment y emiten la declaración de conformidad UE; los de productos Clase I y II deben pasar por un organismo notificado.
FAQ
¿El CRA aplica solo a las empresas europeas o también a las que venden en la UE desde fuera?
El CRA aplica a cualquier producto que se comercialice en el mercado europeo, independientemente de dónde esté la sede del fabricante. Un fabricante con sede en EEUU, India o Corea del Sur que venda sus productos en la UE debe cumplir el CRA. Si no tiene presencia en la UE, el importador que introduce el producto en el mercado europeo asume las obligaciones del fabricante.
¿El CRA se aplica a las actualizaciones de software de productos ya en el mercado?
Sí. El CRA aplica a las actualizaciones significativas de software que modifiquen de forma sustancial las características de seguridad del producto. Las actualizaciones de seguridad menores o los parches de vulnerabilidades no se consideran "puesta en el mercado" de un nuevo producto, pero el fabricante sigue obligado a facilitarlas de forma gratuita durante al menos cinco años.
¿Qué es la declaración de conformidad UE bajo el CRA?
Es el documento que el fabricante emite bajo su propia responsabilidad declarando que el producto cumple todos los requisitos esenciales de ciberseguridad del CRA. Debe incluir la identificación del producto y del fabricante, los requisitos que se consideran cumplidos, las normas armonizadas aplicadas, y una declaración de responsabilidad. Debe conservarse durante 10 años y estar disponible para las autoridades de vigilancia del mercado.