--- id: CP-370 slug: reglamento-ciberresiliencia-cra lang: es title: El Cyber Resilience Act description: "El Reglamento europeo 2024/2847 impone normas de ciberseguridad a los fabricantes de productos digitales: qué cambia para usted." canonical_url: https://startbrain.io/cyberpedia/es/articles/reglamento-ciberresiliencia-cra/ markdown_url: https://startbrain.io/cyberpedia/es/articles/reglamento-ciberresiliencia-cra.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «El Cyber Resilience Act», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/reglamento-ciberresiliencia-cra/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-035 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/reglamento-ciberresiliencia-cra/ fr: https://startbrain.io/cyberpedia/fr/articles/cyber-resilience-act-cra/ en: https://startbrain.io/cyberpedia/en/articles/cyber-resilience-act-cra-explained/ de: https://startbrain.io/cyberpedia/de/articles/cyber-resilience-act-cra-de/ it: https://startbrain.io/cyberpedia/it/articles/regolamento-cyber-resilience-act-cra/ sources: - "n": 1 title: Cyber Resilience Act publisher: Commission européenne url: https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act published: "2026-09-07" accessed: "2026-11-03" - "n": 2 title: Secure by Design | CISA publisher: CISA url: https://www.cisa.gov/securebydesign accessed: "2026-11-03" - "n": 3 title: Secure Software Development Framework | CSRC publisher: NIST url: https://csrc.nist.gov/projects/ssdf published: "2026-10-06" accessed: "2026-11-03" - "n": 4 title: Secure-by-Design | CISA publisher: CISA url: https://www.cisa.gov/resources-tools/resources/secure-by-design published: "2023-10-25" accessed: "2026-11-03" --- # El Cyber Resilience Act Un reloj conectado, un vigilabebés, una aplicación o un programa de escritorio: todos estos productos pueden presentar un riesgo de seguridad que sus usuarios perciben con dificultad. El Cyber Resilience Act (CRA), el Reglamento (UE) 2024/2847, pretende que los dispositivos y el software se diseñen, se actualicen y se mantengan de forma que protejan a quienes los utilizan [1]. El texto se dirige en primer lugar a los fabricantes. Sin embargo, lo que los fabricantes deben hacer cambia lo que la empresa puede comprar, cómo puede comparar a sus proveedores y qué puede exigirles. ## En 30 segundos - Dónde ocurre: en los productos con elementos digitales, ya sean de hardware o de software [1]. - Lo que busca el texto: reducir el bajo nivel de ciberseguridad de muchos productos y la falta de actualizaciones de seguridad oportunas [1]. - El reflejo: antes de comprar o instalar un producto conectado, preguntar al proveedor cómo trata las vulnerabilidades y las actualizaciones. El marcado CE conforme al CRA llegará después, ya que las obligaciones principales se aplican a partir del 11 de diciembre de 2027 [1]. - Si ya está hecho: un producto cuyo fabricante no responde sobre sus actualizaciones se comunica al servicio de informática o de compras antes de cualquier uso. ## Preguntas directas ### ¿Qué es el Cyber Resilience Act? Es un reglamento europeo que fija requisitos de ciberseguridad obligatorios para los fabricantes de productos con elementos digitales. Abarca la planificación, el diseño, el desarrollo y el mantenimiento de estos productos [1]. ### ¿A quién afecta? El reglamento protege a los consumidores y a las empresas que compran software o hardware con elementos digitales [1]. Las obligaciones recaen sobre los fabricantes y deben cumplirse en cada etapa de la cadena de valor [1]. La página de la Comisión indica también que los fabricantes situados a lo largo de la cadena de suministro tienen una responsabilidad de seguridad [1]. ### ¿Cómo se reconoce un producto conforme? Los productos llevarán el marcado CE para indicar que cumplen los requisitos del reglamento [1]. Las autoridades nacionales de vigilancia del mercado velarán por la aplicación de las normas [1]. ### ¿Está ya en vigor el reglamento? Entró en vigor el 10 de diciembre de 2024 [1]. Las obligaciones de notificación se aplican a partir del 11 de septiembre de 2026 y las obligaciones principales, a partir del 11 de diciembre de 2027 [1]. ### ¿Debe un tercero controlar un producto de riesgo? Algunos productos especialmente importantes para la ciberseguridad podrán tener que superar una evaluación por parte de un organismo notificado, un tercero, antes de venderse en el mercado de la Unión [1]. ## Qué cambia para los empleados El reglamento no asigna ninguna tarea al empleado común. Su efecto es indirecto: la Comisión explica que a los consumidores y a las empresas les cuesta saber qué productos son seguros y configurarlos correctamente, y que el CRA debe facilitar la identificación de los productos que cuentan con las funciones de ciberseguridad adecuadas [1]. Conviene preferir los objetos y el software validados por la empresa a un producto conectado comprado o instalado por iniciativa propia. Conviene aceptar las actualizaciones propuestas, puesto que la falta de actualizaciones oportunas forma parte de los problemas que el texto quiere corregir [1]. Comunicar al servicio de informática un producto que ya no recibe correcciones sigue siendo un consejo de sentido común, no una obligación del reglamento. Las obligaciones de notificación del CRA se dirigen a los fabricantes [1]. ## Qué cambia para la dirección En las compras, los productos llevarán el marcado CE [1]: la dirección podrá convertirlo en un criterio de control a medida que se aplique el texto. También puede preguntar a los proveedores cómo gestionan las vulnerabilidades durante toda la vida del producto, ya que el reglamento se lo exige a los fabricantes [1]. Las fuentes citadas aquí no detallan las funciones de fabricante, importador o distribuidor; la dirección que se plantee esta cuestión debe leer el texto jurídico y la guía práctica publicada por la Comisión el 27 de julio de 2026, destinada a fabricantes, desarrolladores y empresas de todos los tamaños [1]. Unos marcos de referencia estadounidenses van en la misma dirección y pueden servir de base para hablar con un proveedor. Por el lado del comprador, la CISA publica una guía, «Secure by Demand», concebida para que cualquier cliente de software la utilice en las conversaciones de compra con revendedores o proveedores de servicios [2]. Espera que los productos sean seguros desde que salen de la caja, con autenticación multifactor, registro de eventos e inicio de sesión único disponibles sin coste adicional [2]. El marco SSDF del NIST es un conjunto de prácticas de desarrollo seguro. Ofrece un lenguaje común que permite a los productores de software y a sus compradores entenderse mejor en las compras [3]. Sus prácticas se reparten en cuatro grupos: preparar la organización, proteger el software, producir software bien protegido y responder a las vulnerabilidades [3]. El NIST precisa que este marco no es una lista de verificación que haya que ir marcando [3]. ## Qué dice el texto El CRA impone requisitos de ciberseguridad obligatorios a los fabricantes, desde la planificación hasta el mantenimiento del producto [1]. Los fabricantes deben tratar las vulnerabilidades durante todo el ciclo de vida de sus productos [1]. Para algunos productos puede exigirse una evaluación por un organismo notificado [1]. El marcado CE acreditará la conformidad [1]. Las autoridades nacionales de vigilancia del mercado harán aplicar las normas [1]. El CRA se apoya en la estrategia de ciberseguridad de la Unión de 2020 y en la estrategia para la unión de la seguridad, y complementa la directiva NIS2 [1]. La Comisión mantiene páginas separadas sobre los fabricantes, los Estados miembros, la evaluación de la conformidad, las microempresas y pymes, el software libre, la normalización y las obligaciones de notificación [1]. No se han leído para esta ficha. ## En qué punto está la aplicación - 10 de diciembre de 2024: entrada en vigor del reglamento [1]. - 27 de julio de 2026: publicación por la Comisión de una guía práctica para ayudar a los fabricantes, los desarrolladores y las empresas de todos los tamaños a cumplir sus obligaciones [1]. - 11 de septiembre de 2026: inicio de las obligaciones de notificación. Los fabricantes deben notificar las vulnerabilidades explotadas activamente [1]. - 11 de diciembre de 2027: aplicación de las obligaciones principales [1]. La página de la Comisión se actualizó por última vez el 7 de septiembre de 2026 [1]. Por tanto, un producto comercializado hoy aún no está sujeto al conjunto de las obligaciones principales, que solo se aplican a partir de diciembre de 2027 [1]. La CISA y 17 socios estadounidenses e internacionales han publicado una actualización de sus principios «Secure by Design», cuya edición inicial data de abril de 2023 [4]. Estos principios son: asumir los resultados de seguridad de los clientes, adoptar una transparencia y una responsabilidad radicales, y liderar desde la cúpula [4]. Son recomendaciones [4]. ## Fuentes 1. Commission européenne, «Cyber Resilience Act», 7 de septiembre de 2026. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (consultado el 3 de noviembre de 2026) 2. CISA, «Secure by Design | CISA». https://www.cisa.gov/securebydesign (consultado el 3 de noviembre de 2026) 3. NIST, «Secure Software Development Framework | CSRC», 6 de octubre de 2026. https://csrc.nist.gov/projects/ssdf (consultado el 3 de noviembre de 2026) 4. CISA, «Secure-by-Design | CISA», 25 de octubre de 2023. https://www.cisa.gov/resources-tools/resources/secure-by-design (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/reglamento-ciberresiliencia-cra/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.