Ley de Ciberresiliencia de la UE (CRA): notificación desde sept. 2026, CE en 2027

Ámbito de aplicación y evaluación de la conformidad

El CRA se aplica a los productos de hardware y software con elementos digitales comercializados en el mercado de la UE, incluidas las soluciones de tratamiento de datos a distancia y los componentes introducidos en el mercado por separado, cuando su uso previsto o razonablemente previsible incluye una conexión de datos directa o indirecta. Los productos que no se suministran en el marco de una actividad comercial no están cubiertos, y algunos productos regulados por otra legislación de la UE quedan excluidos.

La mayoría de los productos pueden recurrir a la autoevaluación (control interno, módulo A). Los productos importantes de clase I solo pueden autoevaluarse si se aplicaron normas armonizadas, especificaciones comunes o un esquema europeo de certificación de ciberseguridad; de lo contrario, se necesita un organismo notificado. Los productos importantes de clase II y los productos críticos requieren una evaluación de terceros o un esquema de certificación. El uso de normas armonizadas da presunción de conformidad.

Obligaciones del fabricante

• Realizar una evaluación de riesgos de ciberseguridad y cumplir los requisitos esenciales del anexo I, incluido el tratamiento de vulnerabilidades durante el período de soporte.
• Ejercer la diligencia debida con respecto a los componentes de terceros integrados.
• Mantener la documentación técnica a disposición de las autoridades de vigilancia del mercado.
• Facilitar los datos de identificación y de contacto y la información para los usuarios conforme al anexo II, incluida la fecha de fin del período de soporte (mes y año) en el momento de la compra.
• Elaborar la declaración de conformidad de la UE y colocar el marcado CE antes de introducir el producto en el mercado.
• Notificar las vulnerabilidades explotadas activamente y los incidentes graves: alerta temprana en 24 horas, notificación en 72 horas e informe final en 14 días desde que haya una corrección disponible (vulnerabilidades) o en un mes (incidentes graves).

Importadores, distribuidores y calendario

Los importadores deben comprobar que el fabricante ha realizado la evaluación de la conformidad, que existe la documentación técnica y que el producto lleva el marcado CE, y no deben introducir en el mercado productos que no sean conformes. Los distribuidores deben comprobar el marcado CE y la información del fabricante y del importador, incluido el período de soporte. Unos y otros deben informar al fabricante de las vulnerabilidades y cooperar con las autoridades. El fabricante puede designar a un representante autorizado mediante mandato escrito.

Las obligaciones de notificación se aplican desde el 11 de septiembre de 2026, también a los productos que ya están en el mercado. Las disposiciones principales se aplican desde el 11 de diciembre de 2027; los productos que ya están en el mercado solo quedan cubiertos si se modifican sustancialmente después de esa fecha. Los certificados de examen UE de tipo vigentes en materia de ciberseguridad expiran el 11 de junio de 2028, salvo que caduquen antes. Las sanciones las fija cada Estado miembro, y las microempresas y pequeñas empresas no pueden ser sancionadas con multas por incumplir el plazo de 24 horas.