¡No se pierda las novedades y los cambios relacionados con el CE! Regístrese ahora para el CE-InfoService (en inglés)
Compartir artículo
El 20 de noviembre de 2024 se publicó en el Diario Oficial de la Unión Europea el Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo, de 23 de octubre de 2024, relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales, conocido como Cyber Resilience Act (CRA) o Reglamento sobre la Ciberresiliencia. El objetivo de la normativa es garantizar que una amplia gama de productos, como cámaras domésticas conectadas, frigoríficos, televisores, juguetes y también máquinas, sean seguros antes de su comercialización.
El nuevo reglamento tiene por objeto colmar las lagunas, aclarar las relaciones y hacer más coherente el marco jurídico vigente en materia de ciberseguridad, con el fin de garantizar que los productos con elementos digitales, por ejemplo, los productos del Internet de las cosas (IoT), sean seguros a lo largo de toda la cadena de suministro y de todo su ciclo de vida.
Nota: Este artículo técnico se actualiza continuamente. No se pierda ninguna actualización importante y suscríbase a nuestro newsletter gratuito o síganos en LinkedIn.
Suscribirse al newsletter
Sigue a IBF en LinkedIn
Antecedentes
Con el Cyber Resilience Act, la Unión Europea ha establecido por primera vez un marco jurídico horizontal para la ciberseguridad de los productos con elementos digitales. Su objetivo es mejorar la ciberseguridad de los productos de hardware y software a lo largo de todo su ciclo de vida y subsanar las lagunas existentes en el marco jurídico europeo.
La Comisión Europea presentó su propuesta de Cyber Resilience Act en septiembre de 2022. Tras concluir el procedimiento legislativo, el Reglamento (UE) 2024/2847 se publicó en el Diario Oficial de la Unión Europea el 20 de noviembre de 2024 y entró en vigor el 10 de diciembre de 2024. La mayoría de sus requisitos serán aplicables a partir del 11 de diciembre de 2027; determinadas disposiciones se aplicarán antes.
¿Cuándo entró en vigor el Cyber Resilience Act?
El 20 de noviembre de 2024 se publicó en el Diario Oficial de la Unión Europea el Cyber Resilience Act, el nuevo reglamento relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales.
¿A partir de cuándo debe aplicarse el Cyber Resilience Act?
El nuevo reglamento entrará en vigor veinte días después de su publicación en el Diario Oficial de la UE (10 de diciembre de 2024) y será directamente aplicable en todos los Estados miembros de la UE 36 meses después de su entrada en vigor, es decir, a partir del 11 de diciembre de 2027.
Algunas disposiciones se aplicarán antes:
¿Por qué adoptó la Unión Europea el Cyber Resilience Act?
El nuevo «Reglamento de Ciberresiliencia» tiene por objeto garantizar que los productos digitales sean más seguros para los particulares y las empresas. Los fabricantes de dichos productos, tanto de hardware como de software, estarán obligados a subsanar las vulnerabilidades mediante actualizaciones de software e informar a los usuarios finales de sus productos sobre los posibles riesgos de ciberseguridad.
Además, el reglamento establece requisitos para el desarrollo de software, lo que refuerza el principio de «seguridad desde el diseño» exigido por la «Ley de Ciberseguridad», que ya se encuentra en vigor.
¿Cuáles son los objetivos del Cyber Resilience Act?
El Cyber Resilience Act tiene como objetivo general mejorar la ciberseguridad de los productos de hardware y software en el mercado interior de la UE. La Comisión concreta los objetivos de la ley en cuatro medidas:
¿Cuál es el ámbito de aplicación del Cyber Resilience Act?“
El ámbito de aplicación del Reglamento muestra que se trata de un ámbito muy amplio:
«El presente Reglamento es aplicable a los productos con elementos digitales comercializados cuya finalidad prevista o uso razonablemente previsible incluya una conexión de datos directa o indirecta, lógica o física, a un dispositivo o red.».
Debido a su amplio ámbito de aplicación, el Reglamento abarca tanto productos de hardware, como máquinas y dispositivos IoT, como productos de software.
En el ámbito de aplicación también se mencionan excepciones, por ejemplo, los productos sanitarios según el Reglamento (UE) 2017/745 no entran en el ámbito de aplicación del acto jurídico previsto.
El acto legislativo también regula la futura interacción con el Reglamento Delegado 2022/30, que ya exige requisitos de seguridad para los equipos conectados a Internet en el sentido de la Directiva sobre equipos radioeléctricos 2014/53/UE. Así, Bruselas anunció que, para evitar solapamientos, se derogará el Reglamento 2022/30. El acto jurídico correspondiente se publicó el 29 de abril de 2026 en el Diario Oficial de la UE y establece como fecha el 12 de diciembre de 2027, fecha de entrada en vigor de la CRA.
¿Exige el Cyber Resilience Act un procedimiento de evaluación de la conformidad y una «evaluación del riesgo cibernético»?
Al igual que otros actos legislativos de la UE, como la Directiva de máquinas y, en el futuro, el Reglamento de máquinas, el Cyber Resilience Act también prevé un procedimiento de evaluación de la conformidad.
Un elemento esencial de este procedimiento es la evaluación de los riesgos de ciberseguridad, que en este artículo denominamos, por analogía con la evaluación de riesgos en el ámbito de la seguridad de las máquinas, «evaluación del riesgo cibernético». Esta analogía resulta especialmente útil para los fabricantes de máquinas.
A este respecto, el artículo 13, apartado 2, del CRA establece lo siguiente:
«(...) los fabricantes llevarán a cabo una evaluación de los riesgos de ciberseguridad asociados a un producto con elementos digitales y tendrán en cuenta el resultado de dicha evaluación durante las fases de planificación, diseño, desarrollo, producción, entrega y mantenimiento del producto con elementos digitales, con el objetivo de minimizar los riesgos de ciberseguridad, prevenir incidentes y reducir al mínimo sus repercusiones, incluidas las relacionadas con la salud y la seguridad de los usuarios».
En función de la criticidad de los productos, el procedimiento de evaluación de la conformidad distingue entre una control interno de la producción (módulo A) y dos procedimientos en los que deben intervenir organismos notificados. Los detalles al respecto se encuentran en la ficha informativa sobre el Cyber Resilience Act.
Desde nuestro punto de vista, las disposiciones del punto 2 del anexo VII del Reglamento son especialmente relevantes para los fabricantes. La documentación técnica debe incluir, entre otros aspectos, información relativa al diseño, el desarrollo, la producción y la gestión de vulnerabilidades.
En el desarrollo de software deberán documentarse tanto las decisiones relativas a la arquitectura del software como las decisiones relacionadas con los procesos de desarrollo y de build. Para los fabricantes, esto puede suponer requisitos adicionales de documentación. Por supuesto, esto supone un mayor esfuerzo de documentación para las empresas. En particular, el rápido avance tecnológico de las herramientas relacionadas con el desarrollo de software (por ejemplo, para los procesos de compilación) planteará sin duda a las empresas retos organizativos superables, pero que no deben subestimarse.
El contenido en su redacción literal:
«CONTENIDO DE LA DOCUMENTACIÓN TÉCNICA
(…)
una descripción del diseño, el desarrollo y la producción del producto con elementos digitales y de los procesos de gestión de las vulnerabilidades, que incluya
a) información necesaria sobre el diseño y el desarrollo del producto con elementos digitales, incluidos, en su caso, planos y esquemas, y una descripción de la arquitectura del sistema que explique cómo se apoyan o se alimentan mutuamente los componentes de los programas informáticos y cómo se integran en el tratamiento general;
b) información y especificaciones necesarias de los procesos de gestión de las vulnerabilidades establecidos por el fabricante, incluida la nomenclatura de materiales de los programas informáticos, la política de divulgación coordinada de vulnerabilidades, pruebas de que se ha facilitado una dirección de contacto para la notificación de vulnerabilidades y una descripción de las soluciones técnicas elegidas para la distribución segura de las actualizaciones;
c) información y especificaciones necesarias de los procesos de producción y seguimiento del producto con elementos digitales y la validación de esos procesos;»
¿Qué implican los requisitos del Cyber Resilience Act para los fabricantes?
La Oficina Federal Alemana de Seguridad Informática (BSI) ofrece apoyo a los fabricantes en la identificación de los requisitos de la CRA con la publicación de la directiva técnica TR-03183. Encontrará más información al respecto en nuestro artículo técnico «Directriz técnica para los requisitos de ciberresiliencia» (en inglés).
¿Cómo funcionan las obligaciones de notificación y la Plataforma Única de Notificación?
A partir del 11 de septiembre de 2026 entrarán en vigor las obligaciones de notificación del Reglamento de Ciberresiliencia. A partir de esa fecha, los fabricantes deberán notificar las vulnerabilidades que estén siendo explotadas activamente, así como los incidentes de seguridad graves que afecten a productos con elementos digitales.
Para estas notificaciones, la ENISA pone a disposición la denominada Plataforma Única de Notificación (SRP). Esta actúa como punto de contacto central, de modo que los fabricantes solo tienen que presentar una notificación. Al realizar la notificación, se selecciona como coordinador al CSIRT (Equipo de Respuesta ante Incidentes de Seguridad Informática) competente. Por regla general, esto depende del Estado miembro en el que el fabricante tenga su sede principal. La notificación se pone simultáneamente a disposición de la ENISA y, en caso necesario, se remite a otros CSIRT y autoridades de vigilancia del mercado afectados.
El CRA establece un procedimiento de notificación en varias fases: en un plazo de 24 horas tras tener conocimiento de un hecho sujeto a notificación, debe emitirse en primer lugar una alerta temprana. En un plazo de 72 horas deben remitirse más datos y una primera evaluación. Posteriormente, es necesario presentar un informe final. En el caso de vulnerabilidades que se estén explotando activamente, este informe deberá presentarse a más tardar 14 días después de que esté disponible una medida correctiva; en el caso de incidentes de seguridad graves, deberá presentarse en el plazo de un mes tras la notificación de las 72 horas.
La ENISA ofrece ya instrucciones concretas sobre el registro y el uso de la SRP, así como sobre la presentación y actualización de notificaciones. Por lo tanto, los fabricantes deberían familiarizarse cuanto antes con la plataforma y establecer internamente cómo se detectarán, evaluarán y tramitarán, dentro de los plazos previstos, los posibles incidentes sujetos a notificación.
¿Qué normas y especificaciones existentes podrían utilizarse en el futuro como normas armonizadas para respaldar los requisitos del CRA?
En el mandato de normalización se hace referencia explícita a «nuevas normas europeas que se elaborarán». No obstante, el CEN, el CENELEC y el ETSI podrían recurrir a documentos ya existentes.
Algunos ejemplos de normas y especificaciones que podrían armonizarse para cumplir los requisitos de la CRA son:
De forma análoga al nuevo Reglamento de Máquinas (UE) 2023/1230, en ausencia de normas armonizadas para los requisitos de ciberseguridad del anexo I, la Comisión puede adoptar actos de ejecución con especificaciones comunes para los requisitos técnicos. El legislador se reserva esta opción en caso de que las normas deseadas no se entreguen en el plazo fijado, no se haya aceptado el mandato de normalización o el contenido de los documentos no se ajuste al mandato.
Los siguientes documentos constituyen una valiosa fuente de información, especialmente para los fabricantes de máquinas:
¿Cuál es la relación entre el Cyber Resilience Act y la Directiva NIS 2?
La Directiva NIS 2 se centra principalmente en la ciberseguridad de las entidades esenciales e importantes y de sus redes y sistemas de información. Las entidades incluidas en su ámbito de aplicación deben adoptar medidas adecuadas y proporcionadas para gestionar los riesgos de ciberseguridad. En el artículo técnico Directiva NIS 2 en la ingeniería mecánica explicamos qué empresas se ven directamente afectadas (como operadores) y qué requisitos y sanciones prevé la directiva.
El Cyber Resilience Act, por el contrario, establece requisitos de ciberseguridad para los productos con elementos digitales e impone obligaciones a los operadores económicos correspondientes, en particular a los fabricantes.
De forma simplificada, la Directiva NIS 2 se centra principalmente en la ciberseguridad de las entidades y de sus redes y sistemas de información, mientras que el CRA se ocupa de la ciberseguridad de los productos con elementos digitales a lo largo de todo su ciclo de vida.
El 20 de noviembre de 2024 se publicó la versión definitiva del Cyber Resilience Act en el Diario Oficial de la Unión Europea. Puede consultar el texto completo del Reglamento (UE) 2024/2847 en el siguiente enlace:
Cyber Resilience Act 2024/2847, de 20 de noviembre de 2024
Actos de ejecución del Cyber Resilience Act
El 1 de diciembre de 2025 se publicó en el Diario Oficial de la Unión Europea el Reglamento de Ejecución (UE) 2025/2392. Este acto de ejecución debía publicarse, de conformidad con el Reglamento, a más tardar el 11 de diciembre de 2025 (dos años antes de la fecha de aplicación general del CRA) y comprende la descripción técnica de las categorías de productos importantes (anexo III) y críticos (anexo IV) con elementos digitales de la CRA.
El Reglamento 2025/2392 trata en su anexo I las descripciones técnicas de los productos importantes con elementos digitales, divididos en las clases 1 (por ejemplo, gestores de contraseñas, sistemas de gestión de redes o sistemas operativos) y 2 (por ejemplo, hipervisores, cortafuegos y microprocesadores a prueba de manipulaciones). En el anexo II se incluyen las descripciones de elementos críticos, como dispositivos de hardware con cajas de seguridad, dispositivos para fines de seguridad avanzados y tarjetas chip.
El 20 de abril de 2026 se publicó el Reglamento Delegado (UE) 2026/881. Este complementa el Reglamento de Ciberresiliencia y especifica en qué condiciones se puede retrasar temporalmente, por motivos de ciberseguridad, la transmisión de notificaciones sobre vulnerabilidades que se están explotando activamente o incidentes de seguridad graves.
En principio, las notificaciones se transmiten a las autoridades competentes a través de la Plataforma Única de Notificación. No obstante, en casos excepcionales, el CSIRT que reciba inicialmente una notificación podrá retrasar su transmisión a otros CSIRT pertinentes durante el tiempo estrictamente necesario. Para ello, es necesario que existan motivos justificados de ciberseguridad.
El Reglamento especifica, en particular, los siguientes casos:
Por lo tanto, la posibilidad de retrasar la transmisión no afecta a la obligación de notificación del fabricante como tal. Más bien, el Reglamento Delegado regula en qué circunstancias especiales puede restringirse o retrasarse la posterior transmisión de una notificación ya presentada.
Modificaciones y correcciones de errores al Cyber Resilience Act
El 5 de marzo de 2025, el Cyber Resilience Act fue modificado por el Reglamento (UE) 2025/327 sobre el Espacio Europeo de Datos Sanitarios (EHDS). El reglamento regula el acceso, el uso y la protección de los datos sanitarios electrónicos dentro de la UE.
Complementa los requisitos del Cyber Resilience Act en lo que respecta a los requisitos de seguridad para los productos sanitarios digitales, define una documentación técnica uniforme para el software sanitario y establece normas para los modelos de software como servicio (SaaS) que no están directamente cubiertos por el Cyber Resilience Act.
El 2 de julio de 2025, la Comisión Europea publicó la corrección de errores 2025/90555. En todas las versiones lingüísticas de la CRA se modifica el artículo 64, apartado 10. Hasta ahora, el texto decía «No obstante lo dispuesto en los apartados 3 a 9...», pero ahora la excepción se aplica a los apartados 2 a 9. Por lo tanto, las pequeñas y microempresas mencionadas en el apartado 64 (10), así como los administradores de software de código abierto, quedan exentos de las sanciones correspondientes del apartado (2) del artículo 64.
Preguntas frecuentes sobre el Cyber Resilience Act
El 3 de diciembre 2025, la Comisión Europea publicó en su página web un documento de preguntas frecuentes sobre el Cyber Resilience Act (CRA). El documento, de 66 páginas, recoge una serie de preguntas frecuentes de carácter técnico y tiene por objeto ayudar a las partes interesadas en la aplicación del Cyber Resilience Act. Las preguntas frecuentes no abarcan todo el ámbito de aplicación de la CRA, sino que tratan más bien cuestiones recurrentes que los servicios de la Comisión han recopilado desde la entrada en vigor de la CRA. Se trata de un «documento vivo» que la Comisión actualizará cuando sea necesario.
En un capítulo específico, el 2.4, el documento aborda también la interacción entre la CRA y el nuevo Reglamento de Máquinas (UE) 2023/1230. Según este, un producto puede clasificarse tanto como máquina en el sentido del Reglamento de Máquinas como producto con elementos digitales en el sentido de la CRA. Como ejemplo se cita una máquina de envasado de alimentos que integra software y hardware para garantizar un funcionamiento seguro. En tales casos, los fabricantes deben garantizar que el producto cumpla los requisitos de ciberseguridad tanto del Reglamento sobre máquinas como del CRA. El cumplimiento de los requisitos de un reglamento no sustituye automáticamente al cumplimiento de los requisitos del otro.
Al mismo tiempo, existen ciertas sinergias entre ambos marcos normativos. Dado que los requisitos de ciberseguridad se refieren en parte a riesgos similares, la aplicación de los requisitos del CRA puede facilitar el cumplimiento de los requisitos del Reglamento de máquinas. No obstante, los fabricantes están obligados a demostrar estas posibles sinergias sobre la base de una evaluación del riesgo fundamentada o mediante referencia a normas armonizadas y otras especificaciones técnicas.
Según el documento de preguntas frecuentes, la evaluación de la conformidad de los productos que entran en el ámbito de aplicación de ambos reglamentos también debe realizarse por separado para la CRA y el MVO. La realización de un procedimiento no sustituye automáticamente a los requisitos del otro. Por lo tanto, para garantizar la comercialización, los fabricantes deben cumplir los procedimientos de evaluación de la conformidad de ambos reglamentos.
Guía sobre el Cyber Resilience Act
El 27 de julio de 2026, la Comisión Europea publicó la versión definitiva de una guía sobre el «Cyber Resilience Act». El objetivo del documento es definir con mayor claridad las obligaciones y el ámbito de aplicación de la normativa.
Se presta especial atención a facilitar el cumplimiento de la normativa por parte de las microempresas y las pequeñas y medianas empresas. Estas pueden solicitar apoyo adicional para la implementación en el marco del programa SECURE. La guía se centra especialmente en las soluciones para el tratamiento remoto de datos, el software libre y de código abierto, el concepto de «período de soporte» y la interacción entre el CRA y otros actos legislativos de la UE.
Guía práctica de ENISA sobre «Security by Design and by Default
En el «Manual de Security by design and default», la ENISA, la Agencia de la Unión Europea para la Ciberseguridad, detalla cómo los fabricantes de productos con elementos digitales pueden aplicar los requisitos del CRA desde el punto de vista técnico y organizativo.
La guía práctica, de julio de 2026, está dirigida especialmente a los fabricantes de software y de dispositivos del Internet de las cosas (IoT) y tiene como objetivo integrar sistemáticamente la ciberseguridad a lo largo de todo el ciclo de vida del producto.
Más información
Puede consultar un análisis de la «Cyber Resilience Act» desde el punto de vista jurídico (en inglés) en el artículo técnico correspondiente del Dr. Gerhard Wiebe.
Notas al pie:1 Seminario web «Normas que respaldan la Cyber Resilience Act» (Standards supporting the Cyber Resilience Act): consulte los detalles en el sitio web de CEN/CENELEC2 Categorización de futuras normas sobre la CRA. Representación propia basada en el seminario web de CEN/CENELEC mencionado anteriormente.
Publicado el: 03/09/2026 (Última actualización)
Johannes Windeler-Frick, MSc ETH Director general de IBF Solutions. Asesor técnico en materia de marcado CE y Safexpert. Conferencias, podcasts y publicaciones sobre diversos temas relacionados con el marcado CE, en particular la organización y la gestión eficiente del marcado CE. Dirección del desarrollo del sistema de software Safexpert. Estudios de Ingeniería Eléctrica en la ETH de Zúrich (MSc) con especialización en Tecnología Energética y profundización en el ámbito de las máquinas herramienta.
Correo electrónico: johannes.windeler-frick@ibf-solutions.com | www.ibf-solutions.com/es
Daniel Zacek-Gebele, MSc Gerente de productos en IBF para productos suplementarios y gestor de datos para la actualización de los datos estándar en el servidor Safexpert Live. Estudios de Ciencias Económicas en Passau (BSc) y Stuttgart (MSc) con especialización en Negocios Internacionales y Economía.
Correo electrónico: daniel.zacek-gebele@ibf-solutions.com | www.ibf-solutions.com