Cumplimiento
El primer plazo del Reglamento de Ciberresiliencia no es 2027: es septiembre de 2026, y alcanza a productos que ya vendiste. Qué tienes que notificar, a quién aplica y cómo prepararte sin prisas de última hora.
Un fabricante de maquinaria de Navarra da por hecho que el Reglamento de Ciberresiliencia europeo (CRA) es un asunto de 2027 y lo ha aparcado. Cuando repasa las fechas con calma, descubre dos cosas que le cambian el plan. La primera, que el primer plazo con obligaciones reales llega antes, el 11 de septiembre de 2026. La segunda, que ese plazo alcanza también a los productos que ya vendió y que siguen en el mercado, no solo a los que saque a partir de ahora.
El CRA (Reglamento UE 2024/2847) es la primera norma europea que impone requisitos de ciberseguridad a los productos con elementos digitales durante toda su vida útil. Afecta a mucha más gente de la que cree que le toca, y para buena parte del tejido industrial de Navarra, La Rioja y Aragón, con sus fabricantes de maquinaria, bienes de equipo, electrónica, dispositivos conectados y software, la conversación empieza este año.
El CRA se suele resumir en una sola fecha, diciembre de 2027, y ahí está el error que más caro sale. La norma entró en vigor el 10 de diciembre de 2024 y se aplica de forma escalonada en tres momentos.
Calendario del CRA
Se aplica escalonado. El plazo que aprieta ahora es septiembre de 2026, no 2027.
Desde el 11 de junio de 2026 rigen las reglas sobre notificación de los organismos de evaluación de la conformidad. Desde el 11 de septiembre de 2026 empiezan las obligaciones de notificación de vulnerabilidades e incidentes. Y el 11 de diciembre de 2027 llega la aplicación plena, con los requisitos esenciales de diseño, la evaluación de conformidad, el marcado CE y la documentación técnica.
El plazo que aprieta ahora es el de septiembre de 2026. Es, además, el más exigente en el día a día, porque obliga a tener montado un proceso de vigilancia y respuesta antes de esa fecha, no a partir de ella.
Desde el 11 de septiembre de 2026, un fabricante que detecte que una vulnerabilidad de su producto está siendo activamente explotada, o que sufra un incidente grave que afecte a la seguridad del producto, tiene que notificarlo.
Notificación desde el 11 de septiembre de 2026
Qué se notifica
Plazos
Una sola vez, a través de la plataforma única que gestiona ENISA, dirigida al CSIRT del país de tu establecimiento principal. No hay que reportar cada vulnerabilidad, solo las que se explotan de verdad, ni cualquier incidencia, solo los incidentes graves.
Un matiz para las empresas más pequeñas: las microempresas y las pequeñas empresas no pueden ser sancionadas específicamente por no cumplir ese plazo de 24 horas. La obligación de notificar les sigue aplicando igual, así que conviene tener el circuito montado, pero esa penalización concreta no recae sobre ellas.
El punto que descoloca a muchos fabricantes es el alcance. Esta obligación se aplica también a los productos que ya están en el mercado antes de diciembre de 2027. Un equipo que pusiste a la venta hace años, si se sigue comercializando y aparece en él una vulnerabilidad explotada, entra. Y para saber si un fallo conocido te afecta, necesitas saber exactamente qué componentes lleva tu producto por dentro. Esa es la trampa: el inventario de componentes de software es, sobre el papel, una obligación de 2027, pero en la práctica lo necesitas antes para poder cumplir la notificación de vulnerabilidades de 2026.
El CRA cubre los productos con elementos digitales que se comercializan en la UE y que tienen una conexión, directa o indirecta, a una red o a otros dispositivos. Abarca hardware y software, y reparte responsabilidades entre tres figuras: el fabricante, que es el principal obligado, el importador y el distribuidor.
Hay exclusiones que conviene conocer, porque separan lo que va por el CRA de lo que sigue su propia normativa. Quedan fuera los dispositivos médicos, los vehículos de motor, los equipos de aviación civil certificados y los equipos marinos, cada uno con su propio régimen de ciberseguridad. Ese matiz importa aquí: un vehículo terminado no va por el CRA, pero un fabricante de maquinaria industrial, de electrónica o de un dispositivo conectado sí entra, aunque venda a clientes de automoción.
Dentro del alcance, el nivel de exigencia depende del riesgo del producto. La mayoría se autoevalúa. Las categorías clasificadas como importantes y críticas tienen que pasar por una evaluación de conformidad más estricta, a través de un organismo notificado o de un esquema de certificación europeo.
Lo primero es un ejercicio que casi ningún fabricante tiene hecho: mapear qué productos comercializa en la UE, cuáles se conectan y qué papel juega la empresa en cada uno, si fabricante, integrador o importador. Sin ese mapa no se puede decidir nada.
De ahí salen dos frentes que conviene abrir ya, sin esperar a 2027. Uno es el inventario de componentes de software de cada producto, con una vigilancia de vulnerabilidades que avise cuando una de esas piezas se vea afectada. El otro es el circuito de notificación: quién vigila, quién decide que algo es reportable y quién presenta la alerta de 24 horas. Cuando aparece una vulnerabilidad explotada no es momento de improvisar quién llama a ENISA.
Por lo que vemos al revisar fabricantes industriales de la zona, el hueco habitual no está en la voluntad, sino en la trazabilidad. Se sabe qué producto se vende, pero no qué librerías y qué firmware lleva dentro, ni cómo se enteraría la empresa de que uno de esos componentes tiene un fallo que alguien está explotando. Ese es el trabajo que da tiempo a hacer ahora y no da tiempo a hacer en septiembre.
Así lo estamos viendo ahora mismo en un proyecto. Acompañamos a un fabricante que desarrolla hardware y software para componentes industriales, justo el perfil que el CRA tiene en el punto de mira. Con ellos ya hemos montado el proceso de notificación interno, quién vigila, quién decide que algo es reportable y quién presenta la alerta de 24 horas, y el sistema de gestión que les permite cumplir los requisitos y hacer las autoevaluaciones de conformidad de sus productos. Ahora estamos con la documentación técnica, que es la parte que mira a diciembre de 2027. El orden no es casual: primero lo que aprieta en septiembre de 2026, que es la capacidad de detectar y notificar, y sobre esa base lo que llega después. Montarlo así es lo que evita las prisas del último trimestre, cuando ya no hay margen para hacer las cosas bien.
Vale la pena tomárselo en serio también por lo que cuesta no hacerlo. El incumplimiento de los requisitos esenciales o de las obligaciones del fabricante puede acarrear multas de hasta 15 millones de euros o el 2,5 % de la facturación mundial anual, la cifra que resulte mayor. Y el CRA no va aislado: complementa a NIS2, de modo que muchos fabricantes se encontrarán con las dos exigencias a la vez, una sobre su producto y otra sobre su organización. Comparten enfoque de gestión de riesgos y de respuesta a incidentes, así que se pueden preparar de forma coordinada, que es justo el planteamiento que defendíamos al hablar de cómo NIS2 desciende por la cadena de suministro de automoción.
En Meta-Data ayudamos a fabricantes de Navarra, La Rioja y Aragón a situarse frente al CRA: qué productos entran, qué falta para llegar a septiembre de 2026 y cómo encajarlo con NIS2 sin duplicar esfuerzo. Lo abordamos con nuestra consultoría del Cyber Resilience Act, empezando por un diagnóstico que deja el trabajo ordenado por prioridad.
Cuéntanos qué productos fabricas y comercializas en la UE. Te situamos frente al CRA (qué entra, qué te falta para septiembre de 2026 y cómo encaja con NIS2) y te dejamos un plan ordenado por prioridad. Sin compromiso.
Solicita tu diagnóstico gratuitoO escríbenos a [email protected].
Guía práctica · descarga gratuitaCyber Resilience Act (CRA): la guía para saber si te afectaDescargar la guía (PDF) →
Dudas
El vehículo terminado queda fuera del CRA porque tiene su propia normativa. Un componente, un equipo o un dispositivo conectado que fabricas y comercializas por separado puede entrar igualmente. Hay que analizarlo producto a producto.
Sí. Desde el 11 de septiembre de 2026 hay que notificar vulnerabilidades activamente explotadas e incidentes graves, y esa obligación alcanza a productos que ya están en el mercado. Para cumplirla necesitas tener antes el inventario de componentes y el circuito de aviso.
Las sanciones por incumplir los requisitos esenciales o las obligaciones del fabricante llegan hasta 15 millones de euros o el 2,5 % de la facturación mundial. A partir de diciembre de 2027, además, un producto sin marcado CE conforme al CRA no podrá comercializarse en la UE.
