Cyber Resilience Act: guía para pymes fabricantes de software y productos conectados

TL;DR El Cyber Resilience Act (CRA) es el Reglamento (UE) 2024/2847. Obliga sobre todo al fabricante de productos con elementos digitales (software o hardware que se conecta a una red o a otro dispositivo): debe diseñarlos con seguridad, mantenerlos con actualizaciones y notificar las vulnerabilidades explotadas y los incidentes graves. Importadores y distribuidores tienen obligaciones propias de comprobación (artículos 19 y 20). La notificación se exige desde el 11 de septiembre de 2026. El resto, incluido el marcado CE, desde el 11 de diciembre de 2027. Si fabricas o vendes bajo tu marca software o productos conectados, lo más probable es que te toque como fabricante.

¿Qué es el Cyber Resilience Act y por qué importa a una pyme?

La mayoría de las normas de ciberseguridad que conoces (NIS2, ENS, ISO 27001) miran a la empresa y a sus sistemas. El CRA mira a lo que vendes: el programa, la aplicación, el dispositivo o el componente que llega a un cliente.

Por eso afecta igual a una pequeña empresa de desarrollo de software que a un fabricante de dispositivos IoT.

El texto oficial en español está en EUR-Lex. Se publicó el 20 de noviembre de 2024 y entró en vigor veinte días después (artículo 71).

¿Me aplica? Un árbol de decisión en texto

Responde por orden. Un «no» en cualquiera de las tres primeras preguntas te deja fuera.

1. ¿Pones en el mercado de la UE un programa o un equipo informático? Si solo prestas un servicio web sin producto, el CRA no es tu norma. El considerando 12 deja fuera los sitios web que no dan soporte a la funcionalidad de un producto, y remite los servicios en la nube (IaaS, PaaS, SaaS) a la Directiva NIS2. Sí entra el tratamiento de datos a distancia que diseña el fabricante, o se hace bajo su responsabilidad, sin el cual el producto no podría cumplir alguna de sus funciones (artículo 3, punto 2).
2. ¿Tiene o puede tener una conexión de datos, directa o indirecta, lógica o física, con un dispositivo o una red? Criterio del artículo 2.1. Una app móvil, un firmware o un router lo cumplen.
3. ¿Lo comercializas en una actividad comercial? El artículo 3 define comercializar como suministrar el producto, de pago o gratis, en el curso de una actividad comercial. El considerando 18 dice que suministrar software libre que su fabricante no monetiza no cuenta como actividad comercial.
4. ¿Lo excluye otra norma? El artículo 2 deja fuera los productos sujetos a los Reglamentos (UE) 2017/745 y 2017/746 (productos sanitarios y diagnóstico in vitro) y 2019/2144 (vehículos), los certificados conforme al Reglamento (UE) 2018/1139 (aviación), los equipos marinos de la Directiva 2014/90/UE, las piezas de recambio idénticas y los productos desarrollados o modificados exclusivamente con fines de seguridad nacional o defensa. Además, el Reglamento Delegado (UE) 2025/1535, dictado al amparo del artículo 2.5, excluye los productos sujetos al Reglamento (UE) n.º 168/2013 (vehículos de dos o tres ruedas y cuatriciclos), salvo los vehículos L1e diseñados para funcionar a pedal.
5. ¿Qué papel tienes? Fabricante (desarrollas o encargas el producto y lo comercializas con tu nombre o marca, de pago o gratis), importador (traes a la UE un producto de marca extracomunitaria) o distribuidor (lo pones a disposición sin influir en sus propiedades).

Una pyme que integra componentes de terceros y vende el resultado bajo su marca es fabricante de ese producto. El comprobador de summumsistemas.es da una primera orientación sobre el alcance.

Calendario: qué se exige y desde cuándo

La del 11 de septiembre de 2026 es la primera que obliga al fabricante, y ya se aplica.

Dos precisiones cambian el plan. Las unidades introducidas en el mercado antes del 11 de diciembre de 2027 solo quedan sujetas al Reglamento si, a partir de esa fecha, sufren una modificación sustancial, es decir, un cambio que afecta al cumplimiento de los requisitos del anexo I, parte I, o a la finalidad prevista para la que se evaluó el producto (artículos 3, punto 30, y 69.2). La regla va por unidad, no por modelo: si después de esa fecha introduces en el mercado más unidades de un modelo de 2022, esas unidades necesitan evaluación de conformidad y marcado CE, como aclaran las preguntas frecuentes de la Comisión (apartados 6.4 y 7.2) y el considerando 38.

Además, el artículo 14 se aplica a todo lo ya introducido en el mercado (artículo 69.3): desde septiembre de 2026 tienes que poder notificar una vulnerabilidad explotada también en lo que vendiste en 2022.

Categorías de producto y evaluación de la conformidad

El Reglamento sube el listón para dos grupos de más riesgo.

• Por defecto. El fabricante puede elegir cualquiera de los procedimientos del artículo 32.1, incluido el control interno (módulo A del anexo VIII).
• Importantes, clase I (anexo III, artículo 7). Gestores de contraseñas, sistemas de gestión de la identidad y de accesos privilegiados, navegadores, antimalware, VPN, SIEM, sistemas operativos o enrutadores, entre otros. Si aplicas íntegramente normas armonizadas, especificaciones comunes o un esquema europeo de certificación de nivel al menos «sustancial», sigue valiendo el control interno. Si no las aplicas, las aplicas solo en parte o no existen para tu categoría, necesitas examen de tipo UE más control interno de la producción (módulos B y C) o aseguramiento de calidad total (módulo H), según el artículo 32.2.
• Importantes, clase II (anexo III). Hipervisores y sistemas de ejecución de contenedores, cortafuegos y sistemas de detección y prevención de intrusiones, y microprocesadores y microcontroladores resistentes a manipulaciones. No vale el control interno: módulos B y C, módulo H o certificación europea (artículo 32.3).
• Críticos (anexo IV, artículo 8). Dispositivos de equipos informáticos con cajas de seguridad, pasarelas de contadores inteligentes y otros dispositivos de seguridad avanzada (incluido el procesamiento seguro de criptoactivos), y tarjetas inteligentes o dispositivos similares con elementos seguros. Pueden exigir un certificado europeo de ciberseguridad si la Comisión lo determina mediante acto delegado; si no, aplica el artículo 32.3.

La categoría depende de la funcionalidad principal del producto. Integrar un gestor de contraseñas dentro de tu aplicación no te convierte, por sí solo, en producto importante (artículo 7.1). El artículo 7.4 encargaba a la Comisión la descripción técnica de cada categoría, y se aprobó como Reglamento de Ejecución (UE) 2025/2392, de 28 de noviembre de 2025. Consúltalo si dudas de la categoría de tu producto.

Terminada la evaluación, el fabricante redacta la declaración UE de conformidad y coloca el marcado CE (artículo 13.12), y conserva la documentación al menos diez años (artículo 13.13). Si eres micro o pequeña empresa (no mediana), el artículo 33.5 te permitirá presentar la documentación técnica en un formulario simplificado, que la Comisión debe aprobar mediante acto de ejecución y que a 16 de octubre de 2026 aún no estaba aprobado. La Comisión publicó el 27 de julio de 2026 una guía de aplicación con ejemplos pensados para pymes.

Qué te exige el Reglamento como fabricante

El núcleo está en el artículo 13 y en el anexo I, que tiene dos partes.

Parte I, propiedades del producto. Sale al mercado sin vulnerabilidades explotables conocidas, con configuración segura por defecto, actualizaciones de seguridad, control de acceso, protección de los datos y superficie de ataque limitada, «cuando proceda» según tu evaluación de riesgos.

Parte II, gestión de vulnerabilidades. Debes documentar los componentes con una nomenclatura de materiales de los programas informáticos (SBOM, en la jerga) legible por máquina, que incluya al menos las dependencias de máximo nivel. Corriges las vulnerabilidades sin demora, pruebas la seguridad con regularidad, tienes una política de divulgación coordinada con un contacto para recibir avisos y distribuyes las actualizaciones de forma segura y, en general, gratuita.

Del artículo 13, cuatro puntos prácticos:

• Diligencia debida con los componentes de terceros, también los de código abierto, y aviso a quien los mantiene cuando detectas una vulnerabilidad (13.5 y 13.6).
• Período de soporte que refleje el tiempo de uso previsto del producto, con un mínimo de cinco años, o el uso previsto si es menor (13.8). Debes indicar el mes y el año de fin de soporte en el momento de la compra (13.19).
• Actualizaciones de seguridad disponibles diez años desde su publicación, o lo que quede de soporte si es más (13.9).
• Punto de contacto único para usuarios y avisos de vulnerabilidades (13.16 y 13.17).

Notificar vulnerabilidades e incidentes: lo que ya aplica

Para el fabricante, el artículo 14 es lo único exigible hoy. Se activa cuando conoces una vulnerabilidad aprovechada activamente (hay pruebas fiables de que alguien la ha explotado sin autorización) o un incidente grave que repercute en la seguridad del producto. El artículo 14.5 lo considera grave cuando afecta o puede afectar negativamente a la capacidad del producto para proteger la disponibilidad, autenticidad, integridad o confidencialidad de datos o funciones sensibles o importantes, o cuando ha llevado o puede llevar a introducir o ejecutar código malicioso en el producto o en la red y los sistemas del usuario. Se notifica a la vez al CSIRT coordinador y a ENISA, por la plataforma única de notificación (artículo 16). Plazos del artículo 14, desde que el fabricante lo conoce:

Hay que informar también a los usuarios afectados (artículo 14.8). La notificación va al CSIRT del Estado donde el fabricante tiene su establecimiento principal en la UE; si no lo tiene, rige la prelación del artículo 14.7.

ENISA mantiene el portal de la plataforma única de notificación, pensado para el «Assigned Representative» (representante asignado), la persona que presenta las notificaciones en nombre del fabricante. Es una figura de la plataforma, no del Reglamento: no la confundas con el representante autorizado del artículo 18.

Sanciones

El artículo 64 fija tres escalones máximos. Hasta 15 millones de euros o el 2,5 % del volumen de negocio mundial anual, si esta cifra es mayor, por incumplir el anexo I y los artículos 13 y 14. Hasta 10 millones de euros o el 2 % por otras obligaciones, como la declaración de conformidad o el marcado CE.

Hasta 5 millones de euros o el 1 % por dar información incorrecta, incompleta o engañosa a los organismos notificados o a las autoridades de vigilancia del mercado cuando la piden (artículo 64.4). El tamaño del infractor, en particular si es pyme, cuenta al fijar la multa (artículo 64.5). Las micro y pequeñas empresas quedan exentas de multa por incumplir solo el plazo de la alerta temprana de 24 horas (artículo 64.10, en la redacción de la corrección de errores de 2 de julio de 2025, que extendió la excepción al apartado 2, donde están las multas por el artículo 14). El régimen concreto lo fija cada Estado miembro (artículo 64.1).

Hoja de ruta hasta diciembre de 2027

Es un plan de trabajo mío; los hitos legales son los del calendario.

1. Ya, sin esperar (el artículo 14 se aplica desde el 11 de septiembre de 2026). Designa quién notifica, define la ruta interna de aviso, publica un contacto de vulnerabilidades y prepara una plantilla de notificación. Antes de que acabe 2026: inventario de productos y componentes, decisión de cuáles entran en el ámbito y primera lista de materiales de software.
2. Primer semestre de 2027. Evaluación de riesgos por producto (artículo 13.2), clasificación y elección del procedimiento de conformidad. Si tu producto es de clase I o II, confirma qué organismos notificados hay para tu categoría.
3. Segundo semestre de 2027. Revisión del producto contra el anexo I, parte I, y de tus procesos contra la parte II. Documentación técnica del anexo VII, instrucciones del anexo II y fecha de fin de soporte.
4. Antes del 11 de diciembre de 2027. Declaración UE de conformidad y marcado CE para cada unidad que introduzcas en el mercado desde esa fecha, aunque el modelo sea anterior.

Empieza por el proceso de vulnerabilidades, porque es lo que ya te pueden exigir. Un producto bien diseñado sin un procedimiento de aviso incumplirá el artículo 14 en cuanto aparezca la primera vulnerabilidad explotada.

Cómo encaja con ENS, ISO 27001 y NIS2

El CRA no sustituye a esas normas ni se cumple por tenerlas. Puedes aprovechar el sistema de gestión que ya funciona, con cautelas.

• ISO 27001. Un sistema de gestión de seguridad de la información aporta gestión de riesgos, control documental, gestión de incidentes y de proveedores, que ayudan al proceso que pide el CRA. Pero el Reglamento no reconoce equivalencia a los certificados ISO: la presunción de conformidad solo la dan las normas armonizadas, las especificaciones comunes y los esquemas europeos de certificación (artículo 27).
• ENS. Se centra en los sistemas de entidades públicas y sus proveedores. Si vendes software a la Administración, pueden afectarte los dos, con requisitos distintos. Tu gestión de vulnerabilidades y parcheo bajo el ENS te sirve como punto de partida organizativo, pero el CRA pide además un proceso propio del producto.
• NIS2. Si eres fabricante y también entidad NIS2, tienes dos regímenes de notificación: uno para los incidentes de tu organización y otro para los de tu producto, con su propio canal. Repasa la guía de NIS2 para pymes y cómo encajan ENS y NIS2.

Errores frecuentes

• Generar el SBOM una vez y archivarlo. El anexo I, parte II, exige identificar y documentar componentes y vulnerabilidades, y eso se mantiene durante todo el período de soporte (artículo 13.8).
• Olvidar al importador y al distribuidor. Tienen obligaciones propias (artículos 19 y 20), comprobarán lo que les entregues y, si venden con su marca o modifican sustancialmente el producto, pasan a ser fabricantes (artículo 21).

Modificaciones y actos de desarrollo

A 16 de octubre de 2026, la única norma que ha modificado el CRA es el Reglamento (UE) 2025/327 del Espacio Europeo de Datos de Salud: su artículo 104 retoca los artículos 13.4, 31.3 y 32 para los sistemas de historia clínica electrónica, con efecto desde el 26 de marzo de 2027. Tres actos de la Comisión desarrollan el CRA: el Reglamento Delegado (UE) 2025/1535, que excluye los productos sujetos al Reglamento (UE) n.º 168/2013; el Reglamento de Ejecución (UE) 2025/2392, con la descripción técnica de las categorías importantes y críticas, y el Reglamento Delegado (UE) 2026/881, sobre cuándo puede aplazarse la difusión de una notificación. Las propuestas en tramitación no cambian el texto vigente hasta que se aprueben.

Preguntas frecuentes

¿El Cyber Resilience Act se aplica a las empresas de software?

Sí, cuando el software es un producto con elementos digitales que se comercializa en la UE y se conecta directa o indirectamente a un dispositivo o una red. Si solo ofreces un servicio web sin producto, el CRA no es tu norma, aunque puede aplicarte NIS2.

¿Qué fechas tengo que cumplir?

Dos. La notificación de vulnerabilidades explotadas e incidentes graves, desde el 11 de septiembre de 2026. Todo lo demás, incluido el marcado CE, desde el 11 de diciembre de 2027 (artículo 71).

¿Quedan fuera los productos de código abierto?

Depende de si hay actividad comercial. El software libre que su fabricante no monetiza queda fuera, y los administradores de comunidades de código abierto tienen un régimen propio (artículo 24).

¿Cuánto tiempo debo dar soporte de seguridad?

El que corresponda al tiempo que se espera que se use el producto, con un mínimo de cinco años; si el uso previsto es menor, ese tiempo. Debes indicar el mes y el año de fin de soporte en el momento de la compra (artículos 13.8 y 13.19).

¿Por dónde empiezo?

Si tienes un producto con elementos digitales y no sabes si entra en el ámbito, qué categoría le corresponde o cómo organizar la notificación con el sistema de gestión que ya tienes, reserva una consulta y lo vemos con tu producto delante.

Fuentes

• Reglamento (UE) 2024/2847 (Cyber Resilience Act), texto en español, EUR-Lex, y su corrección de errores de 2 de julio de 2025.
• Reglamento (UE) 2025/327, Espacio Europeo de Datos de Salud, EUR-Lex, artículo 104.
• Reglamento de Ejecución (UE) 2025/2392, Reglamento Delegado (UE) 2025/1535 y Reglamento Delegado (UE) 2026/881, EUR-Lex.
• Portal de la plataforma única de notificación del CRA, ENISA.
• Preguntas frecuentes sobre la aplicación del CRA, Comisión Europea y guía de aplicación de 27 de julio de 2026.