Guía CRA (Cyber Resilience Act): ¿cómo lograr la conformidad?

¿Qué es el Cyber Resilience Act?

El CRA es el primer reglamento europeo en establecer requisitos horizontales de ciberseguridad para los productos digitales comercializados en la UE. Su objetivo es poner fin a dos problemas graves: los productos vulnerables por diseño y la ausencia de actualizaciones de seguridad una vez vendido el producto.

Se basa en requisitos esenciales de ciberseguridad, una evaluación de conformidad (autoevaluación o de terceros según la criticidad), documentación técnica y el marcado CE, así como obligaciones continuas de gestión de vulnerabilidades y notificación.

Se articula con NIS2 (seguridad de las organizaciones) y el Cybersecurity Act (certificación): mientras NIS2 se dirige a las entidades, el CRA se dirige a los propios productos.

¿Quién está afectado?

El CRA afecta a toda la cadena de comercialización de productos digitales. El papel del fabricante concentra la mayor parte de las obligaciones, pero los importadores y distribuidores también tienen deberes de verificación.

• Fabricantes de software y hardware conectado: papel principal, obligaciones más exigentes.
• Importadores y distribuidores: obligados a verificar la conformidad de los productos que ponen a disposición.
• Editores SaaS cuando sus productos entran en el ámbito de los elementos digitales.
• Productos «críticos» e «importantes» sujetos a requisitos de evaluación reforzados.

El calendario de aplicación

El CRA se aplica por etapas. Las obligaciones de notificación llegan antes de la entrada en vigor completa, lo que deja poco tiempo para preparar ciclos de desarrollo a menudo prolongados.

Verifique el plazo exacto aplicable a su categoría de producto antes de cualquier decisión de comercialización.

¿Cuáles son las obligaciones concretas?

Las obligaciones abarcan todo el ciclo de vida del producto, desde el diseño hasta el fin del período de soporte.

• Integrar la seguridad desde el diseño y por defecto.
• Comercializar productos sin vulnerabilidades explotables conocidas en el momento de su puesta en el mercado.
• Garantizar actualizaciones de seguridad durante todo el período de soporte.
• Establecer documentación técnica y una declaración UE de conformidad.
• Aplicar el marcado CE que cubra la ciberseguridad.
• Mantener una SBOM (lista de materiales de software) y un proceso de divulgación coordinada de vulnerabilidades.
• Notificar a las autoridades las vulnerabilidades activamente explotadas y los incidentes graves.

¿Qué sanciones se aplican en caso de incumplimiento?

El CRA prevé multas elevadas, proporcionales a la gravedad de los incumplimientos, así como medidas de vigilancia del mercado que pueden llegar hasta la retirada del producto.

Cómo lograr la conformidad: la hoja de ruta en 7 pasos

Paso 1 — Inventariar sus productos digitales

Identifique todos sus productos con elementos digitales y determine cuáles entran en el ámbito del CRA y su clase de criticidad (predeterminado, importante, crítico).

No olvide los componentes de terceros y de código abierto integrados: forman parte de su producto y de sus obligaciones.

• Incluya firmware, componentes de terceros y dependencias de código abierto.
• Determine la clase de criticidad de cada producto.
• Identifique el período de soporte de cada uno.

Paso 2 — Integrar la seguridad desde el diseño

Adopte un enfoque «secure by design/by default»: reducción de la superficie de ataque, gestión de accesos, cifrado, endurecimiento de las configuraciones predeterminadas y pruebas de seguridad integradas en el ciclo de desarrollo.

Estos principios deben integrarse desde el principio: corregirlos a posteriori resulta mucho más costoso y retrasa la comercialización.

• Reduzca la superficie de ataque y endurezca los valores predeterminados.
• Integre pruebas de seguridad en el pipeline de desarrollo.
• Proteja la gestión de accesos y el cifrado.

Paso 3 — Establecer la gestión de vulnerabilidades y la SBOM

Implemente una vigilancia, un proceso de corrección y una divulgación coordinada de vulnerabilidades, respaldados por una SBOM (lista de materiales de software) actualizada que registre todos los componentes.

La SBOM es fundamental: sin ella, no puede saber rápidamente si una vulnerabilidad descubierta afecta a sus productos.

• Mantenga una SBOM actualizada para cada producto.
• Establezca un punto de contacto y una política de divulgación.
• Priorice y corrija las vulnerabilidades según su criticidad.

Paso 4 — Elaborar la documentación técnica

Redacte la documentación exigida, el análisis de riesgos de ciberseguridad del producto y la declaración UE de conformidad que respaldan el marcado CE.

Esta documentación debe mantenerse actualizada durante toda la vida útil del producto.

• Documente el análisis de riesgos de ciberseguridad del producto.
• Redacte la declaración UE de conformidad.
• Mantenga la documentación actualizada a lo largo del tiempo.

Paso 5 — Realizar la evaluación de conformidad

Según la clase del producto, lleve a cabo una autoevaluación o una evaluación por un organismo de terceros y, a continuación, aplique el marcado CE que cubre la ciberseguridad.

Anticípese: para los productos críticos, la intervención de un organismo puede prolongar los plazos.

• Determine el modo de evaluación en función de la clase del producto.
• Recurra a un organismo de terceros si es necesario.
• Aplique el marcado CE una vez establecida la conformidad.

Paso 6 — Organizar la notificación de incidentes

Prepare los procedimientos para notificar, dentro de los plazos establecidos, las vulnerabilidades activamente explotadas y los incidentes graves a las autoridades competentes (ENISA y autoridades nacionales).

Estos plazos son breves: la cadena de decisión debe definirse con antelación.

• Defina el circuito de detección y notificación.
• Prepare las plantillas de declaración.
• Ponga a prueba el procedimiento mediante simulacros.

Paso 7 — Mantener la conformidad a largo plazo

Garantice las actualizaciones de seguridad, actualice la documentación y la SBOM, y supervise las vulnerabilidades durante todo el período de soporte anunciado.

La conformidad con el CRA no finaliza con la comercialización: perdura mientras el producto cuente con soporte.

• Distribuya actualizaciones de seguridad durante todo el período de soporte.
• Actualice la SBOM y la documentación con cada evolución.
• Supervise de forma continua las vulnerabilidades de los componentes.

Los errores frecuentes que hay que evitar

• Esperar a 2027 para ponerse en marcha cuando la seguridad by design se construye sobre ciclos de desarrollo largos.
• Ignorar los componentes de código abierto y de terceros, que también están cubiertos por las obligaciones.
• Olvidar prever un período de soporte y actualizaciones de seguridad.
• Descuidar el proceso de divulgación coordinada de vulnerabilidades.
• No mantener un SBOM, lo que hace inmanejable la gestión de vulnerabilidades.
• Subestimar los plazos de evaluación para los productos críticos.

Cómo Data Comply One le acompaña

Data Comply One ayuda a los editores y fabricantes a estructurar su conformidad con el CRA: análisis de riesgos cibernéticos, gestión documental, seguimiento de vulnerabilidades y de la SBOM, y articulación con sus demás obligaciones (NIS2, ISO 27001, Cybersecurity Act).

Dispone de dos modos: gestionar su conformidad usted mismo con el software, o externalizarla a nuestros expertos —un CISO externalizado— que gestionan por usted la seguridad by design y los procesos de gestión y divulgación de vulnerabilidades, directamente en la plataforma, para una comercialización tranquila y conforme.

Transforma así una exigencia regulatoria en un argumento comercial: un producto cuya seguridad es demostrable genera confianza en sus clientes y le diferencia de la competencia.

Este módulo dedicado estará disponible próximamente en la plataforma: solicite una demo para probarlo en primicia.

¿En qué punto se encuentra? ·