Cumplimiento
El grueso del CRA llega en diciembre de 2027, pero la primera obligación real empieza este septiembre y alcanza a productos que ya vendiste. Esto es lo que se movió en verano y lo que arranca ahora.
El Cyber Resilience Act (CRA) se suele resumir en una fecha, diciembre de 2027, cuando será exigible al completo con marcado CE incluido. Es verdad que el grueso llega entonces. Pero la primera obligación real empieza mucho antes: el 11 de septiembre de 2026. Desde ese día, quien fabrique un producto con elementos digitales que se venda en la UE (en la práctica, casi cualquier hardware o software que se conecte a algo) tiene que notificar a las autoridades las vulnerabilidades de sus productos que estén siendo explotadas y los incidentes graves, con una alerta temprana en 24 horas. Y no es un requisito solo para productos futuros: aplica también a lo que ya está en el mercado.
Quien espere a 2027 va a llegar tarde a la obligación que empieza en cuatro semanas. Un plazo de 24 horas no se cumple improvisando: hay que saber de antemano quién detecta, quién decide que algo es notificable y quién redacta y envía el aviso. Si necesitas el detalle de a quién aplica exactamente el CRA y qué obligaciones impone a un fabricante, lo desarrollamos en nuestra guía del CRA para fabricantes de producto conectado. Aquí nos centramos en lo que se ha movido este verano y en lo que arranca ahora.
El 27 de julio de 2026 la Comisión Europea publicó su guía oficial de aplicación del CRA (Comunicación C(2026) 5252). Son unas 80 páginas con 67 ejemplos prácticos que aclaran las dudas más repetidas: qué entra y qué no en el alcance, cuándo una modificación es sustancial, cómo fijar el periodo de soporte, cómo funciona la notificación y cómo hacer la evaluación de riesgos. Presta atención especial a las pymes y microempresas, que es donde más incertidumbre había.
No es lo único que se ha movido. El documento oficial de preguntas frecuentes, publicado en diciembre de 2025, se actualiza de forma continua. Se han ido concretando los actos que faltaban: el Reglamento de Ejecución (UE) 2025/2392 detalla las categorías de producto importantes y críticas; el Reglamento Delegado (UE) 2025/1535 fija exclusiones (por ejemplo, ciertos vehículos de categoría L y las piezas de repuesto); y el Reglamento Delegado (UE) 2026/881 recoge las condiciones para retrasar de forma excepcional la difusión del aviso (artículo 16.2). Las normas armonizadas que darán presunción de conformidad, en cambio, siguen con retraso sobre el calendario previsto.
Y en España, el real decreto que designará a las autoridades del CRA sigue en tramitación; el proyecto atribuye la vigilancia del mercado a la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales.
La vía es la plataforma única de ENISA, la Single Reporting Platform (SRP), ya operativa: notificas una sola vez y la información llega a tu CSIRT nacional, a los CSIRT de los demás Estados donde esté disponible el producto y a la propia ENISA. Los plazos son alerta temprana en 24 horas, notificación en 72 horas e informe final (14 días desde que hay medida correctora para una vulnerabilidad, o un mes desde la notificación para un incidente grave). Un alivio para las más pequeñas: las microempresas y pequeñas empresas no pueden ser multadas por incumplir el plazo de 24 horas, aunque la obligación de notificar les sigue aplicando. El circuito completo, con quién hace qué, lo detallamos en la guía para fabricantes.
Si fabricas hardware conectado o desarrollas software que se comercializa en la UE, eres fabricante a efectos del CRA y cargas con el grueso. Si distribuyes o importas, te toca verificar el marcado y la documentación, salvo que vendas bajo tu marca o modifiques el producto de forma sustancial, en cuyo caso respondes como fabricante. Y con el software, cuidado con la clasificación: un producto con funciones de seguridad del Anexo III (gestión de identidades, VPN, gestores de contraseñas y similares) sube a la categoría de importante y cambia la ruta de conformidad. El desglose por figura y categoría está en la guía del pilar.
El CRA gradúa las sanciones. El incumplimiento de los requisitos esenciales o de las obligaciones del fabricante y de notificación puede llegar a 15 millones de euros o el 2,5 % de la facturación mundial anual, la cifra que resulte mayor. El resto de obligaciones se queda en 10 millones o el 2 %, y facilitar información falsa o incompleta, en 5 millones o el 1 %. A eso se suman los alivios ya citados para microempresas y pequeñas empresas, y el hecho de que los open source stewards no están sujetos a multas.
Hemos actualizado nuestra guía práctica del CRA para recoger todo lo anterior. La versión de agosto de 2026 incorpora la guía oficial de la Comisión, el estado de las autoridades en España, los tramos de sanciones con los alivios para pymes, el matiz sobre SaaS y portales web, y un autodiagnóstico para saber en unos minutos si el reglamento te aplica y en qué categoría cae cada producto de tu catálogo.
Si prefieres ir directo a tu caso, dinos qué productos fabricas o vendes en la UE y te decimos qué te aplica, en qué categoría cae cada uno y por dónde empezar antes del 11 de septiembre. Es el diagnóstico de alcance que hacemos en Meta-Data, sin compromiso.
Ver la consultoría CRAO escríbenos a [email protected].
Guía práctica · descarga gratuitaCyber Resilience Act (CRA): la guía para saber si te afectaDescargar la guía (PDF) →
