Cyber Resilience Act
Reglamento de ciberresiliencia de la UE
El reglamento europeo que exige seguridad por diseño en todos los productos con elementos digitales. Documentación técnica, SBOM obligatorio y marcado CE.
Qué encontrarás en esta guía
¿Qué es el Cyber Resilience Act?
El Cyber Resilience Act (CRA) es el reglamento europeo que establece requisitos de ciberseguridad obligatorios para todos los productos con elementos digitales comercializados en la Unión Europea.
Aplica a fabricantes, importadores y distribuidores de hardware y software. El principio rector es 'cybersecurity by design': la seguridad debe incorporarse desde el diseño del producto, no como un añadido posterior.
El CRA introduce obligaciones de documentación técnica (Anexo VII), gestión de vulnerabilidades durante todo el ciclo de vida del producto, notificación de vulnerabilidades explotadas en 24 horas a las autoridades y el marcado CE obligatorio para comercializar en la UE.
Fechas clave del CRA
El calendario de implementación del Cyber Resilience Act
Publicación oficial
El CRA se publica en el Diario Oficial de la UE y entra en vigor
Organismos notificados
Los organismos de certificación CRA estarán designados y operativos
Obligaciones de reporte activas
Reporte de vulnerabilidades explotadas activamente en 24h obligatorio
Aplicación completa
Todos los productos deben cumplir los requisitos esenciales del CRA
Artículos clave del CRA
Cada artículo explicado con casos prácticos reales
"Los fabricantes garantizarán que los productos con elementos digitales se diseñen, desarrollen y produzcan de conformidad con los requisitos esenciales de ciberseguridad establecidos en el anexo I."
Una empresa SaaS lanza una nueva versión de su producto. Antes del release debe: actualizar el SBOM con los nuevos componentes, verificar que no hay CVEs críticos en las dependencias añadidas, y documentar los cambios en el Anexo VII.
EMETHRA genera automáticamente el SBOM en cada commit, detecta CVEs nuevos en tiempo real y mantiene actualizada la documentación del Anexo VII sin intervención manual.
Proceso de cumplimiento CRA
Los 5 pasos para preparar tu producto
Inventario software
Identifica todos los componentes de tu producto
Análisis vulnerabilidades
Escanea CVEs en todas las dependencias
Genera SBOM
SPDX o CycloneDX completo
Documenta Anexo VII
Documentación técnica completa
Mantén actualizado
Monitoriza CVEs y actualiza
Informes que genera EMETHRA
Documentación lista para cumplir con el CRA
Sanciones por incumplimiento
Las consecuencias de no cumplir con el CRA
Sanciones aplicables
Además, las autoridades pueden ordenar la retirada del producto del mercado europeo.
Sectores afectados por el CRA
¿A quién aplica el Cyber Resilience Act?
Preguntas frecuentes sobre el CRA
Resolvemos las dudas más comunes
El CRA aplica a todos los productos con elementos digitales comercializados en la UE: software standalone, firmware, dispositivos IoT, hardware con componentes conectados, aplicaciones móviles y productos SaaS con componente on-premise. Solo quedan excluidos productos ya regulados por normativas específicas como dispositivos médicos o vehículos.
¿Necesitas cumplir con el CRA?
EMETHRA automatiza la generación de documentación CRA Anexo VII, SBOM y te alerta de vulnerabilidades para el reporte de 24 horas.
Solicitar Product SnapshotArtículos relacionados en el Observatorio