El Cyber Resilience Act
El Reglamento europeo 2024/2847 impone normas de ciberseguridad a los fabricantes de productos digitales: qué cambia para usted.
En 30 segundos
- Dónde ocurre
- En los productos con elementos digitales, ya sean de hardware o de software1.
- Lo que busca el texto
- Reducir el bajo nivel de ciberseguridad de muchos productos y la falta de actualizaciones de seguridad oportunas1.
- El reflejo
- Antes de comprar o instalar un producto conectado, preguntar al proveedor cómo trata las vulnerabilidades y las actualizaciones. El marcado CE conforme al CRA llegará después, ya que las obligaciones principales se aplican a partir del 11 de diciembre de 20271.
- Si ya está hecho
- Un producto cuyo fabricante no responde sobre sus actualizaciones se comunica al servicio de informática o de compras antes de cualquier uso.
De qué se trata
Un reloj conectado, un vigilabebés, una aplicación o un programa de escritorio: todos estos productos pueden presentar un riesgo de seguridad que sus usuarios perciben con dificultad. El Cyber Resilience Act (CRA), el Reglamento (UE) 2024/2847, pretende que los dispositivos y el software se diseñen, se actualicen y se mantengan de forma que protejan a quienes los utilizan1.
El texto se dirige en primer lugar a los fabricantes. Sin embargo, lo que los fabricantes deben hacer cambia lo que la empresa puede comprar, cómo puede comparar a sus proveedores y qué puede exigirles.
Preguntas directas
¿Qué es el Cyber Resilience Act?
Es un reglamento europeo que fija requisitos de ciberseguridad obligatorios para los fabricantes de productos con elementos digitales. Abarca la planificación, el diseño, el desarrollo y el mantenimiento de estos productos1.
¿A quién afecta?
El reglamento protege a los consumidores y a las empresas que compran software o hardware con elementos digitales1. Las obligaciones recaen sobre los fabricantes y deben cumplirse en cada etapa de la cadena de valor1. La página de la Comisión indica también que los fabricantes situados a lo largo de la cadena de suministro tienen una responsabilidad de seguridad1.
¿Cómo se reconoce un producto conforme?
Los productos llevarán el marcado CE para indicar que cumplen los requisitos del reglamento1. Las autoridades nacionales de vigilancia del mercado velarán por la aplicación de las normas1.
¿Está ya en vigor el reglamento?
Entró en vigor el 10 de diciembre de 20241. Las obligaciones de notificación se aplican a partir del 11 de septiembre de 2026 y las obligaciones principales, a partir del 11 de diciembre de 20271.
¿Debe un tercero controlar un producto de riesgo?
Algunos productos especialmente importantes para la ciberseguridad podrán tener que superar una evaluación por parte de un organismo notificado, un tercero, antes de venderse en el mercado de la Unión1.
1Qué cambia para los empleados1 min
El reglamento no asigna ninguna tarea al empleado común. Su efecto es indirecto: la Comisión explica que a los consumidores y a las empresas les cuesta saber qué productos son seguros y configurarlos correctamente, y que el CRA debe facilitar la identificación de los productos que cuentan con las funciones de ciberseguridad adecuadas1.
Conviene preferir los objetos y el software validados por la empresa a un producto conectado comprado o instalado por iniciativa propia. Conviene aceptar las actualizaciones propuestas, puesto que la falta de actualizaciones oportunas forma parte de los problemas que el texto quiere corregir1. Comunicar al servicio de informática un producto que ya no recibe correcciones sigue siendo un consejo de sentido común, no una obligación del reglamento. Las obligaciones de notificación del CRA se dirigen a los fabricantes1.
2Qué cambia para la direcciónDirección2 min
En las compras, los productos llevarán el marcado CE1: la dirección podrá convertirlo en un criterio de control a medida que se aplique el texto. También puede preguntar a los proveedores cómo gestionan las vulnerabilidades durante toda la vida del producto, ya que el reglamento se lo exige a los fabricantes1.
Las fuentes citadas aquí no detallan las funciones de fabricante, importador o distribuidor; la dirección que se plantee esta cuestión debe leer el texto jurídico y la guía práctica publicada por la Comisión el 27 de julio de 2026, destinada a fabricantes, desarrolladores y empresas de todos los tamaños1.
Unos marcos de referencia estadounidenses van en la misma dirección y pueden servir de base para hablar con un proveedor. Por el lado del comprador, la CISA publica una guía, «Secure by Demand», concebida para que cualquier cliente de software la utilice en las conversaciones de compra con revendedores o proveedores de servicios2. Espera que los productos sean seguros desde que salen de la caja, con autenticación multifactor, registro de eventos e inicio de sesión único disponibles sin coste adicional2.
El marco SSDF del NIST es un conjunto de prácticas de desarrollo seguro. Ofrece un lenguaje común que permite a los productores de software y a sus compradores entenderse mejor en las compras3. Sus prácticas se reparten en cuatro grupos: preparar la organización, proteger el software, producir software bien protegido y responder a las vulnerabilidades3. El NIST precisa que este marco no es una lista de verificación que haya que ir marcando3.
3Qué dice el textoTexto oficial1 min
El CRA impone requisitos de ciberseguridad obligatorios a los fabricantes, desde la planificación hasta el mantenimiento del producto1. Los fabricantes deben tratar las vulnerabilidades durante todo el ciclo de vida de sus productos1. Para algunos productos puede exigirse una evaluación por un organismo notificado1.
El marcado CE acreditará la conformidad1. Las autoridades nacionales de vigilancia del mercado harán aplicar las normas1. El CRA se apoya en la estrategia de ciberseguridad de la Unión de 2020 y en la estrategia para la unión de la seguridad, y complementa la directiva NIS21.
La Comisión mantiene páginas separadas sobre los fabricantes, los Estados miembros, la evaluación de la conformidad, las microempresas y pymes, el software libre, la normalización y las obligaciones de notificación1. No se han leído para esta ficha.
4En qué punto está la aplicación1 min
- 10 de diciembre de 2024: entrada en vigor del reglamento1.
- 27 de julio de 2026: publicación por la Comisión de una guía práctica para ayudar a los fabricantes, los desarrolladores y las empresas de todos los tamaños a cumplir sus obligaciones1.
- 11 de septiembre de 2026: inicio de las obligaciones de notificación. Los fabricantes deben notificar las vulnerabilidades explotadas activamente1.
- 11 de diciembre de 2027: aplicación de las obligaciones principales1.
La página de la Comisión se actualizó por última vez el 7 de septiembre de 20261. Por tanto, un producto comercializado hoy aún no está sujeto al conjunto de las obligaciones principales, que solo se aplican a partir de diciembre de 20271.
La CISA y 17 socios estadounidenses e internacionales han publicado una actualización de sus principios «Secure by Design», cuya edición inicial data de abril de 20234. Estos principios son: asumir los resultados de seguridad de los clientes, adoptar una transparencia y una responsabilidad radicales, y liderar desde la cúpula4. Son recomendaciones4.
Ficha
- Identificador
- CP-370
- Ala
- 6. Gobernanza y GRC
- Competencia Brain
- Proteger los datos (safeguard_data)
- Reflejo Brain
- cr-035
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr
- Fuentes
- 4 fuentes verificadas el 3 de noviembre de 2026
Fuentes4 fuentes
- Commission européenne, «Cyber Resilience Act», 7 de septiembre de 2026. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (consultado el 3 de noviembre de 2026)
- CISA, «Secure by Design | CISA». https://www.cisa.gov/securebydesign (consultado el 3 de noviembre de 2026)
- NIST, «Secure Software Development Framework | CSRC», 6 de octubre de 2026. https://csrc.nist.gov/projects/ssdf (consultado el 3 de noviembre de 2026)
- CISA, «Secure-by-Design | CISA», 25 de octubre de 2023. https://www.cisa.gov/resources-tools/resources/secure-by-design (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «El Cyber Resilience Act», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp370_es_2026,
author = {Brain},
title = {El Cyber Resilience Act},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/reglamento-ciberresiliencia-cra/},
note = {CC BY 4.0}
}