Qué es el CRA y a quién afecta
El Reglamento (UE) 2024/2847, conocido como CRA, fija requisitos de ciberseguridad para los productos con elementos digitales: hardware y software que se conectan, directa o indirectamente, a otro equipo o a una red. Se aplica a lo que se pone a la venta en la UE, y las directrices de la Comisión de 2026 confirman que el hardware con software integrado, como un ordenador o una placa base, entra dentro.
El responsable es el fabricante: quien pone el producto en el mercado con su nombre. Si vendes una máquina con un ordenador dentro, respondes de la máquina entera, y el ordenador es una de sus piezas digitales más importantes.
Las fechas que importan
| Fecha | Qué empieza |
|---|---|
| 11 de septiembre de 2026 | Obligación de notificar vulnerabilidades explotadas e incidentes graves: alerta en 24 horas, notificación en 72 horas e informe final, a través de la plataforma única de ENISA. También para productos ya vendidos. |
| 20 de enero de 2027 | Se aplica el nuevo Reglamento de máquinas (UE) 2023/1230, que incluye la protección de los sistemas de control frente a manipulaciones. |
| 11 de diciembre de 2027 | Obligaciones completas del CRA: requisitos esenciales, evaluación de conformidad, documentación técnica y marcado CE conforme al reglamento. |
Qué pide el CRA, en la práctica
- Seguridad desde el diseño y por defecto: sin contraseñas genéricas y con los servicios innecesarios cerrados.
- Gestión de vulnerabilidades durante el periodo de soporte, que en general debe ser de al menos cinco años, salvo que el producto vaya a usarse menos tiempo.
- Actualizaciones de seguridad gratuitas, separadas de las funcionales cuando sea posible.
- Una lista de materiales de software (SBOM) en un formato legible por máquina, con al menos las dependencias de primer nivel, dentro de la documentación técnica.
- Un punto de contacto para que cualquiera pueda avisar de una vulnerabilidad, y la fecha de fin del soporte comunicada al usuario.
El incumplimiento se sanciona con multas de hasta 15 millones de euros o el 2,5 % de la facturación mundial, y un producto sin el marcado CE que corresponde no puede venderse en la UE.
El ordenador de dentro: qué pedirle a tu proveedor
Muchos fabricantes de maquinaria se encuentran con el mismo problema: no pueden completar su documentación porque sus proveedores no les dan la información. Con el ordenador, pide esto:
- La lista de componentes y de versiones de firmware (BIOS o UEFI, controladoras y gestión remota) de cada configuración.
- Un compromiso de actualizaciones de firmware durante el periodo de soporte de tu producto.
- Que te avise si aparece una vulnerabilidad en alguna de sus piezas, para que puedas cumplir tu propio plazo de 24 horas.
- Una plataforma congelada: cambiar el ordenador obliga a revisar tu documentación técnica.
- Un sistema operativo con soporte largo (Windows IoT Enterprise LTSC o Linux LTS), arranque seguro y TPM activados, y ninguna cuenta con contraseña de fábrica.
- El registro por número de serie de la configuración exacta de cada unidad.
Un plan sencillo hasta diciembre de 2027
- Haz inventario de tus productos y de todo lo digital que llevan dentro.
- Pide a cada proveedor su lista de componentes y sus compromisos de actualización.
- Decide el periodo de soporte de cada producto.
- Monta ya el proceso de avisos de vulnerabilidades: es obligatorio desde septiembre de 2026.
- Prepara la documentación técnica y la evaluación de conformidad, y revísalas con un especialista.
Cómo trabajamos el ordenador de tu producto
En el programa OEM el ordenador sale con la plataforma congelada (ningún cambio sin aviso ni revalidación), con su configuración exacta y el resultado de la prueba de 24 horas registrados por número de serie, con tu imagen de sistema cargada y probada, con sistemas de soporte largo y con gestión remota por KVM-IPMI dedicado. A petición, te entregamos la lista de componentes y de versiones de firmware de cada unidad para tu documentación técnica.
Equipos y guías relacionados
Preguntas frecuentes
¿El CRA afecta a los equipos que ya he vendido?
La obligación de notificar vulnerabilidades explotadas e incidentes graves, vigente desde el 11 de septiembre de 2026, se aplica también a productos que ya estaban en el mercado. El resto de requisitos se exige a lo que se ponga en el mercado desde el 11 de diciembre de 2027.
¿Qué es una SBOM?
La lista de materiales de software: todo el software, librerías y componentes que lleva un producto, con sus versiones. El CRA la pide en formato legible por máquina dentro de la documentación técnica; no hay que publicarla.
¿Cuánto tiempo tengo que dar actualizaciones?
Durante el periodo de soporte que declares, que en general debe ser de al menos cinco años, salvo que el producto vaya a usarse menos tiempo.
¿Qué pasa si no se cumple?
Las multas pueden llegar a 15 millones de euros o al 2,5 % de la facturación mundial, y un producto sin el marcado CE que corresponde no puede venderse en la UE.
¿Preparamos el ordenador de tu máquina?
Cuéntanos qué fabricas y cuántas unidades al año. Te proponemos la plataforma y lo que documentamos de cada unidad en menos de 12 horas laborables.