Compartir artículo
El Reglamento de Ciberresiliencia (UE) 2024/2847 (en inglés Cyber Resilience Act – CRA) tiene como objetivo establecer un marco normativo uniforme en toda la UE para los requisitos de ciberseguridad aplicables a los productos con elementos digitales durante todo su ciclo de vida.
De conformidad con el artículo 26 del CRA, la Comisión Europea debe publicar directrices destinadas a ayudar a los operadores económicos a aplicar el Reglamento. La Comisión Europea publicó la versión definitiva de estas directrices el 27 de julio de 2026.
Este artículo técnico se centra en explicar el contenido de las directrices a los fabricantes de máquinas, instalaciones y equipos eléctricos (dispositivos IoT) y en facilitarles el cumplimiento de los nuevos requisitos.
Directrices del CRA 2026: ¿qué aclara la versión definitiva para los fabricantes de máquinas?
Con la publicación de las directrices oficiales del CRA en julio de 2026, la Comisión Europea ha aclarado numerosas cuestiones relacionadas con la aplicación práctica del Reglamento de Ciberresiliencia. Las nuevas explicaciones son especialmente relevantes para los fabricantes de máquinas, instalaciones, sistemas robóticos y soluciones de automatización industrial. Las directrices confirman un enfoque basado en el riesgo y aportan una mayor seguridad jurídica en relación con los sistemas existentes, las piezas de recambio, las actualizaciones de software y las modernizaciones.
¿Qué significa exactamente «introducción en el mercado» y qué aclaraciones aportan las directrices?
En este punto, las directrices hacen referencia a la «Guía azul» (Blue Guide) y aclaran que los conceptos de «introducción en el mercado» y «comercialización» deben entenderse con respecto a cada producto individual y no a un tipo de producto, independientemente de que se fabrique como unidad individual o en serie.
En el caso del software independiente suministrado digitalmente, este se considera introducido en el mercado a efectos del Reglamento (UE) 2024/2847 cuando ha finalizado su desarrollo y se ofrece por primera vez, en el marco de una actividad comercial, para su distribución o utilización en el mercado de la UE.
Dado que el software distribuido digitalmente puede reproducirse sin las limitaciones físicas propias de la producción o el almacenamiento, con esta primera oferta se considera introducido en el mercado un número prácticamente ilimitado de copias idénticas. Las descargas o accesos posteriores constituyen únicamente la comercialización del mismo producto que ya ha sido introducido en el mercado, aunque tengan lugar en momentos diferentes.
Las nuevas versiones del software solo se consideran introducidas de nuevo en el mercado cuando constituyen una modificación sustancial («substantial modification»). Las actualizaciones menores o las iteraciones que no supongan una modificación sustancial no requieren una nueva evaluación de la conformidad ni modifican la fecha original de introducción en el mercado.
Esta interpretación se aplica únicamente al software independiente suministrado digitalmente. No se aplica cuando:
¿Cómo se aplica el CRA a la combinación de hardware y software en un producto?
El Reglamento (UE) 2024/2847 se aplica a los productos con elementos digitales, es decir, productos de hardware o software y sus soluciones de tratamiento de datos a distancia, siempre que incluyan una conexión de datos directa o indirecta con un dispositivo o una red.
El ámbito de aplicación incluye, entre otros:
Lo determinante no es cómo o cuándo se suministra el software, sino si este es necesario para las funciones previstas del producto. Si un dispositivo de hardware solo puede cumplir sus funciones junto con un software determinado, el hardware y el software se consideran conjuntamente un único producto con elementos digitales.
Esto también se aplica cuando el software se suministra después de la venta del hardware a través de otros canales, como un sitio web, una tienda de aplicaciones o una descarga. Algunos ejemplos son los controladores necesarios para una impresora o las aplicaciones utilizadas para controlar un dispositivo de seguimiento de actividad física, siempre que sean necesarias para el funcionamiento o la utilización del dispositivo.
¿Cómo interpretan las directrices del CRA el concepto de «conexión de datos»?
El Reglamento (UE) 2024/2847 se aplica a los productos con elementos digitales cuando su finalidad prevista o razonablemente previsible incluye una conexión de datos directa o indirecta con un dispositivo o una red.
La definición de «producto con elementos digitales» se basa, en última instancia, en la definición de «sistema de información electrónico», es decir, un sistema, incluidos los equipos eléctricos o electrónicos, capaz de procesar, almacenar o transmitir datos digitales.
Por tanto, el ámbito de aplicación del CRA no depende únicamente de la presencia de componentes electrónicos, sino de la capacidad del producto para intercambiar información digital.
Existe una conexión de datos a efectos del CRA únicamente cuando la información se codifica digitalmente de forma intencionada —por ejemplo, en formato binario— y se transmite de manera que el receptor pueda interpretarla como datos.
Las señales puramente eléctricas que únicamente activan una función —por ejemplo, señales de encendido/apagado sin transmisión de información— no se consideran una conexión de datos y, por tanto, no quedan incluidas en este aspecto del ámbito de aplicación del CRA.
¿Cómo se aplica el CRA a las máquinas e instalaciones clasificadas en las directrices como «sistemas complejos»?
El Reglamento (UE) 2024/2847 también se aplica a los «sistemas complejos» compuestos por varios componentes de hardware y software cuando se comercializan como un único producto.
Las directrices definitivas del CRA dedican un capítulo específico a los sistemas complejos (capítulo 2.6 «Complex systems», apartados 29 a 32). En él, la Comisión Europea reconoce expresamente que las máquinas industriales, las líneas de producción y las soluciones de automatización suelen estar compuestas por numerosos componentes de hardware y software, tienen ciclos de vida prolongados y dependen de arquitecturas, interfaces y requisitos de interoperabilidad existentes.
Las directrices confirman que estas condiciones técnicas pueden tenerse en cuenta. Cuando determinadas medidas de ciberseguridad no puedan aplicarse plenamente debido a limitaciones técnicas o a las arquitecturas existentes del sistema, podrán utilizarse medidas alternativas o compensatorias. No obstante, los riesgos asociados deberán documentarse de forma comprensible y evaluarse en el marco de la evaluación de riesgos de ciberseguridad.
Estos sistemas pueden resultar difíciles de adaptar a nuevos requisitos de seguridad debido a sus largos ciclos de desarrollo, arquitecturas existentes o necesidades de interoperabilidad. Sin embargo, esto no significa que queden automáticamente excluidos del ámbito de aplicación del CRA. En su lugar, se aplica un enfoque basado en el riesgo.
Los fabricantes deben:
Estas limitaciones, riesgos y medidas deben describirse de forma transparente en la documentación técnica y en la información destinada a los usuarios. Asimismo, deben revisarse periódicamente durante el período de soporte y actualizarse cuando sea necesario.
¿Plantean un problema para el CRA los componentes existentes y las interfaces ya establecidas?
Muchos fabricantes de máquinas utilizan durante años protocolos de comunicación, sistemas de bus de campo o componentes de control consolidados.
Las directrices definitivas reconocen expresamente que, debido a los requisitos de interoperabilidad o a determinadas limitaciones técnicas, no siempre es posible aplicar plenamente las medidas de seguridad más modernas.
En estos casos, los fabricantes pueden aplicar medidas de protección alternativas o compensatorias, siempre que los riesgos se documenten de forma comprensible en el marco de la evaluación de riesgos de ciberseguridad.
Esta aclaración es especialmente relevante en la práctica para los fabricantes y operadores de instalaciones de producción existentes.
¿Cómo deben tratarse los productos desarrollados antes de que el CRA comenzara a aplicarse?
Los productos desarrollados antes de la fecha de aplicación del Reglamento (UE) 2024/2847 pueden seguir introduciéndose en el mercado sin que sea necesario desarrollarlos de nuevo.
Las directrices definitivas del CRA (capítulo 2.7 «Products with digital elements designed before the CRA entered into application», apartados 33 a 39) precisan este aspecto. Para muchos fabricantes de máquinas, esta es probablemente una de las aclaraciones más importantes de las directrices.
La Comisión Europea deja claro que los productos con elementos digitales desarrollados antes de que el CRA comenzara a aplicarse no tienen que ser automáticamente rediseñados o desarrollados por completo.
Los fabricantes pueden seguir utilizando diseños existentes siempre que puedan demostrar, mediante una evaluación de riesgos de ciberseguridad, que se cumplen los requisitos esenciales de ciberseguridad.
Además, la Comisión aclara que no es obligatorio reconstruir íntegramente la documentación histórica de desarrollo y ensayo. En su lugar, pueden utilizarse las pruebas existentes y las evaluaciones de riesgos actuales para demostrar la conformidad con los requisitos del CRA.
Para ello, el fabricante debe:
Sin embargo, incluso cuando no se realicen modificaciones de diseño, deben cumplirse todas las obligaciones del CRA, en particular:
Si no existe una evaluación de seguridad original de la fase de desarrollo, el fabricante deberá realizar una evaluación de riesgos actual y documentar de qué manera las medidas existentes reducen los riesgos identificados.
Además, deberán establecerse procesos para la gestión de vulnerabilidades y actualizarse periódicamente la evaluación de riesgos durante el período de soporte.
¿Cómo debe evaluarse una «modificación sustancial» de los productos incluidos en el ámbito de aplicación del CRA?
El artículo 3, apartado 30, del Reglamento (UE) 2024/2847 define una «modificación sustancial» como una modificación del producto con elementos digitales tras su introducción en el mercado que afecte a la conformidad del producto con los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte I, o que dé lugar a una modificación de la finalidad prevista para la que se haya evaluado el producto.
Conforme al CRA, cualquier persona física o jurídica que lleve a cabo una modificación sustancial de un producto y posteriormente lo comercialice pasa a ser considerada fabricante.
Esto afecta, en particular, a:
En el marco del Reglamento (UE) 2024/2847 se distingue entre modificaciones, reparaciones, piezas de recambio y actualizaciones de software para determinar si existe una modificación sustancial de un producto.
El mantenimiento, la reparación o la sustitución de componentes no constituyen automáticamente una modificación sustancial.
Lo determinante es si:
La sustitución de componentes defectuosos por componentes equivalentes o mejores no suele considerarse una modificación sustancial siempre que la función y el perfil de riesgo permanezcan inalterados.
Las piezas de recambio idénticas fabricadas conforme a las mismas especificaciones no quedan sujetas al CRA como nuevos productos.
Las piezas de recambio no idénticas se consideran productos independientes y están sujetas al CRA.
No obstante, su instalación normalmente no constituye una modificación sustancial del producto original siempre que la finalidad prevista y el perfil de riesgo permanezcan inalterados.
Las directrices definitivas incluyen explicaciones mucho más detalladas sobre las piezas de recambio (capítulo 4.2 «Spare parts», apartados 96 a 102).
La Comisión Europea aclara que no todas las modificaciones técnicas dan lugar automáticamente a una nueva evaluación conforme al CRA. Lo determinante es, en particular, si se modifican características del producto relevantes para la ciberseguridad, como las funciones criptográficas, los mecanismos de autenticación, los protocolos de comunicación u otras propiedades relacionadas con la seguridad.
Al mismo tiempo, las directrices precisan las condiciones bajo las cuales una pieza de recambio puede seguir considerándose «idéntica». Mientras la función, el perfil de seguridad y la finalidad prevista permanezcan inalterados, la sustitución de una pieza de recambio normalmente no genera nuevas obligaciones del CRA para el sistema en su conjunto.
Una actualización de software se considera una modificación sustancial cuando:
Las actualizaciones de seguridad habituales o aquellas que ya estaban previstas en la evaluación de riesgos original normalmente no se consideran modificaciones sustanciales.
Especialmente en la construcción de máquinas e instalaciones, los productos se modernizan, amplían y adaptan a nuevos requisitos durante muchos años.
Las directrices definitivas del CRA (capítulo 4.3 «Software updates as substantial modifications», apartados 103 a 112) aclaran que no toda ampliación funcional debe clasificarse automáticamente como una modificación sustancial.
Lo determinante sigue siendo si cambia la finalidad prevista original o si surgen riesgos de ciberseguridad nuevos o mayores.
Como ejemplo, la Comisión Europea menciona la transformación de una solución destinada únicamente a la monitorización en una solución que interviene activamente en el control. Esta aclaración aporta una mayor seguridad jurídica, especialmente en los proyectos de modernización y retrofit.
¿Qué consecuencias tiene una modificación sustancial de un producto?
Cuando se realiza una modificación sustancial:
En cuanto a la documentación tras una modificación sustancial, las directrices remiten al apartado 2.1 de la «Guía azul». Esta aclara que la documentación técnica debe actualizarse en la medida en que la modificación afecte a los requisitos de la legislación aplicable.
No es necesario repetir ensayos ni elaborar nueva documentación sobre aspectos que no se vean afectados por la modificación.
Corresponde a la persona física o jurídica que realice o encargue las modificaciones demostrar que no es necesario actualizar todos los elementos de la documentación técnica.
Esta persona es responsable de la conformidad del producto modificado y debe emitir una declaración de conformidad, incluso cuando utilice ensayos y documentación técnica ya existentes.
Los productos comercializados antes del 11 de diciembre de 2027 solo quedan sujetos al CRA si son modificados sustancialmente después de dicha fecha.
Las directrices definitivas del CRA aportan importantes aclaraciones al respecto (capítulos 4.4.1 y 4.4.2 «Consequences of a substantial modification», apartados 117 a 124).
Incluso cuando exista una modificación sustancial, no siempre es necesario volver a evaluar el producto completo. Si la modificación no afecta negativamente a la ciberseguridad del sistema en su conjunto y puede delimitarse claramente, las obligaciones del CRA pueden limitarse a los componentes y funciones modificados.
Esta aclaración es especialmente relevante para los proyectos de retrofit y modernización de máquinas e instalaciones industriales.
¿Durante cuánto tiempo deberán proporcionar los fabricantes de máquinas actualizaciones de seguridad?
Las directrices aclaran expresamente que los cinco años mencionados con frecuencia representan únicamente el requisito mínimo legal, es decir, el límite inferior. No deben interpretarse como un valor estándar aplicable a todos los productos.
El fabricante debe determinar el período de soporte basándose en el tiempo de utilización realmente previsto («expected use time») del producto.
Por tanto, para productos cuya utilización prevista sea superior a cinco años puede ser necesario establecer un período de soporte considerablemente más largo (capítulo 5 «Support period», apartados 125 y 126).
Al determinar el período de soporte, los fabricantes deben tener en cuenta, en particular:
Esta aclaración reviste especial importancia para la construcción de máquinas e instalaciones. Mientras que un período de soporte de cinco años puede ser adecuado para determinados productos de software o dispositivos de consumo, las instalaciones industriales, las máquinas de producción, los sistemas robóticos o las soluciones de automatización suelen utilizarse durante diez, quince o incluso veinte años.
Por ello, los fabricantes deberían comprobar con suficiente antelación si sus procesos de servicio, aplicación de parches y gestión de vulnerabilidades son adecuados para proporcionar actualizaciones de seguridad durante el ciclo de vida realmente previsto del producto.
La Comisión Europea deja claro que los productos con un período de utilización previsto superior a cinco años deben disponer, por regla general, de un período de soporte correspondientemente más largo.
¿Una modificación sustancial prolonga automáticamente el período de soporte del CRA?
Las directrices definitivas responden expresamente por primera vez a esta pregunta frecuente.
Una modificación sustancial («substantial modification») no supone automáticamente el reinicio ni la prolongación del período de soporte.
En su lugar, debe analizarse si la modificación cambia las hipótesis originales relativas al período de utilización previsto del producto. Solo en ese caso puede ser necesario adaptar el período de soporte.
Las directrices relativas al Reglamento (UE) 2024/2847 precisan conceptos y casos de aplicación fundamentales del CRA y ofrecen a los fabricantes de máquinas, instalaciones y equipos eléctricos una orientación importante para la aplicación práctica de los nuevos requisitos de ciberseguridad.
Una de las principales aclaraciones se refiere al momento en que un producto se considera introducido en el mercado y a qué productos quedan incluidos en el ámbito de aplicación del CRA. Lo determinante no es únicamente la presencia de componentes electrónicos, sino la capacidad del producto para procesar o intercambiar datos digitales.
Las combinaciones de hardware y software también se consideran un único producto con elementos digitales cuando ambos son necesarios para la funcionalidad del producto.
Las directrices también dejan claro que el CRA adopta un enfoque basado en el riesgo. Los fabricantes deben evaluar y documentar los riesgos de ciberseguridad durante todo el ciclo de vida del producto y aplicar medidas de protección adecuadas. Esto también se aplica a sistemas complejos, como máquinas o instalaciones industriales, en los que pueden tenerse en cuenta limitaciones técnicas, interfaces existentes, componentes antiguos o requisitos de interoperabilidad.
Las directrices definitivas confirman expresamente que, en estos casos, pueden utilizarse medidas de protección alternativas o compensatorias siempre que los riesgos se evalúen y documenten de forma comprensible.
En principio, los productos desarrollados antes de la aplicación del CRA no tienen que ser desarrollados de nuevo. La Comisión Europea aclara que las plataformas de máquinas existentes pueden seguir utilizándose siempre que los fabricantes puedan demostrar, mediante una evaluación actual de riesgos de ciberseguridad, que se cumplen los requisitos esenciales. Esto proporciona una mayor seguridad de planificación a los fabricantes con familias de productos consolidadas desde hace años.
El concepto de «modificación sustancial» también tiene una importancia especial. Solo las modificaciones que cambien la finalidad prevista de un producto o introduzcan riesgos de ciberseguridad nuevos o mayores hacen que el producto se considere introducido de nuevo en el mercado y deba someterse a una nueva evaluación de la conformidad.
Por regla general, el mantenimiento, las reparaciones, las piezas de recambio idénticas o las actualizaciones puramente destinadas a la seguridad no dan lugar a esta clasificación.
Las directrices definitivas también aportan mayor claridad para los proyectos de retrofit y modernización, ya que no toda ampliación funcional constituye automáticamente una modificación sustancial.
Asimismo, se concretan los requisitos relativos al período de soporte. Los cinco años mencionados habitualmente representan únicamente el requisito mínimo legal. Los fabricantes deben tener en cuenta la duración prevista de utilización del producto.
En el caso de máquinas, instalaciones, sistemas robóticos y soluciones de automatización industrial, esto puede dar lugar a obligaciones considerablemente más largas en materia de actualizaciones de seguridad y gestión de vulnerabilidades.
En conjunto, las directrices definitivas del CRA muestran que el Reglamento no solo establece nuevos requisitos de ciberseguridad, sino también reglas concretas relativas a las actualizaciones de software, las modificaciones de productos, la documentación técnica, los períodos de soporte y las responsabilidades a lo largo de todo el ciclo de vida del producto. Para los fabricantes, esto significa sobre todo que deben integrar sistemáticamente la ciberseguridad en sus procesos de desarrollo, modificación, servicio y soporte y documentar de forma transparente las pruebas y evidencias correspondientes en la documentación técnica.
Descarga de las directrices
Puede abrir y descargar las directrices del CRA haciendo clic en el siguiente enlace:
Directrices del CRA (en inglés)
Fecha de publicación: 5 de agosto de 2026 (Última actualización)
Wolfgang ReichIngeniería Eléctrica (HTL), especialidad en Tecnología Energética (Dipl.-HTL-Ing.), 20 años de experiencia en el ámbito del marcado CE, la seguridad de las máquinas, la adaptación de máquinas, la ingeniería eléctrica y la protección contra explosiones, 10 de ellos en TÜV Austria e Intertek Deutschland GmbH. Presidente de la Comisión de Exámenes de Maestría de la Cámara de Comercio de Estiria en el ámbito de la mecatrónica (tecnología de automatización y electrónica).
Correo electrónico: wolfgang.reich@ibf-solutions.com | www.ibf-solutions.com
Hendrik Stupin
Redactor técnico titulado (certificado por tekom) y coordinador de CE acreditado. Cuenta con 11 años de experiencia previa en comunicación técnica y como coordinador de CE en el sector de la ingeniería de máquinas y de instalaciones, especializado en productos «Engineered to Order (ETO)».
Correo electrónico:: hendrik.stupin@ibf-solutions.com| www.ibf-solutions.com
Software CE para la ingeniería sistemática y profesional en materia de seguridad técnica
Seminarios prácticos sobre el tema de la seguridad de los productos
El CE-InfoService (en inglés) le mantiene informado sobre los avances importantes en materia de seguridad de los productos.