Industria y CRA: proteger los productos conectados comercializados

¿De qué trata la CRA?

El CRA está dirigido a productos con elementos digitales conectados directa o indirectamente a una red. Muchos equipos industriales conectados entran en este ámbito, con categorías reforzadas para los productos críticos.

Se articula con las legislaciones sectoriales existentes (maquinaria, seguridad de productos); algunas categorías ya cubiertas por normas equivalentes se benefician de disposiciones específicas.

¿Está implicado el sector «Industria»?

Todo fabricante industrial que comercialice en el mercado europeo una máquina o un equipo conectado que incorpore software es, en principio, fabricante en el sentido del CRA. El nivel de exigencia depende de la criticidad del producto.

Los componentes de software integrados, incluido el código abierto, son responsabilidad del fabricante que comercializa el producto.

Obligaciones detalladas

Sanciones y riesgos

Hasta 15 M€ o el 2,5 % del volumen de negocio mundial por incumplimiento de los requisitos esenciales, con posibilidad de retirada o recall del producto. El marcado CE de ciberseguridad condiciona el acceso al mercado.

Para la industria, el desafío es tanto comercial como regulatorio: sin conformidad CRA, el producto ya no puede comercializarse en la Unión.

Calendario de aplicación

• 1Entrada en vigor. Finales de 2024.
• 2Obligaciones de notificación. A lo largo de 2026.
• 3Requisitos completos. Horizonte 2027.

Errores frecuentes en el sector

• 1CRA descuidado en el producto. Gestionar la ciberseguridad a nivel de fábrica sin proteger los productos comercializados.
• 2Sin SBOM. Ignorar la nomenclatura de los componentes.
• 3Soporte no definido. No garantizar correcciones a lo largo del tiempo.
• 4Componentes de terceros sin seguimiento. No supervisar las vulnerabilidades de los componentes integrados.

Caso práctico

Un fabricante de autómatas descubre, gracias a su SBOM, que una biblioteca integrada presenta una vulnerabilidad explotada. Publica un parche en el marco de su política de soporte, notifica a ENISA e informa a sus clientes industriales — cadena de reacción impuesta por el CRA e imposible sin nomenclatura ni procesos de gestión de vulnerabilidades.

Hoja de ruta de cumplimiento

1. 1

   Cartografiar los productos. Inventariar los productos conectados y sus componentes de software (SBOM).

2. 2

   Estructurar la seguridad del producto. Implementar seguridad by design y gestión de vulnerabilidades.

3. 3

   Definir el soporte. Fijar y comunicar el plazo de suministro de los parches.

4. 4

   Preparar el cumplimiento. Constituir la documentación y la evaluación con vistas al marcado CE.

5. 5

   Instrumentar la notificación. Implementar la notificación de vulnerabilidades explotadas.

Preguntas frecuentes