Evaluación de seguridad de la Ley de Ciberresiliencia de la UE (CRA)

Productos con elementos digitales (PDE), entre los que se incluyen software, firmware, sistemas en la nube y SDK.

Sí, si es probable que se utilicen en un contexto conectado. Por ejemplo, las memorias USB no están conectadas de fábrica, pero contienen firmware y están pensadas para conectarse. Del mismo modo, los televisores inteligentes contienen firmware integrado y capacidad de conexión a la red.

Sí. El software independiente está expresamente incluido, aunque no venga preinstalado en el hardware.

• En vigor: 12 de noviembre de 2024
• Inicio del periodo de notificación de vulnerabilidades e incidentes: 12 de noviembre de 2025
• La fecha de aplicación plena es el 11 de diciembre de 2027.

Sí, siempre y cuando siga comercializándose o actualizándose después del 11 de diciembre de 2027.

La CRA afecta a un amplio abanico de partes interesadas que participan en el diseño, el desarrollo y la distribución de productos con elementos digitales: fabricantes, representantes autorizados, importadores, distribuidores, desarrolladores de software y empresas emergentes.

Evaluaciones de riesgos, aplicación del principio de «seguridad desde el diseño», gestión de vulnerabilidades, evaluaciones de conformidad, documentación técnica y actualizaciones.

Resultados de TARA, SBOM, estrategia de actualización, detalles de conformidad y procedimientos relativos a vulnerabilidades.

Varía según la categoría de riesgo: autoevaluación para el riesgo bajo; organismo notificado para el riesgo más elevado.

En parte: ayudan, pero no cumplen automáticamente con todas las obligaciones de la CRA.

Un organismo notificado, es decir, una organización independiente designada por un Estado miembro de la UE, lleva a cabo una evaluación independiente de los productos de categoría II importante y crítica. Los organismos notificados deben estar acreditados y figurar en la base de datos NANDO (Organismos notificados y designados del Nuevo Enfoque).

Los fabricantes de productos de menor riesgo (por defecto o de la clase I importante) no suelen necesitar un organismo notificado, a menos que opten por una evaluación realizada por terceros.

Te expones a multas, a la prohibición de comercialización de productos, a daños a tu reputación y a no poder aplicar el marcado CE. Las multas y las medidas coercitivas pueden variar en función de la gravedad de la infracción.

Para obtener el marcado CE de los productos digitales en la UE, es obligatorio cumplir con la normativa.

Sí, deben designar a un representante autorizado establecido en la UE y cumplir íntegramente los requisitos de la CRA antes de la comercialización.

Empieza por clasificar tu producto (por defecto, importante o crítico), ya que esto determina si necesitas realizar una autoevaluación o recurrir a un organismo notificado. Realiza un análisis de deficiencias para comprobar tu nivel actual de seguridad y cumplimiento frente a los requisitos de la CRA, incluyendo el diseño seguro, la gestión de riesgos y la documentación. A continuación, elabora una hoja de ruta con responsabilidades y plazos claros. Utiliza herramientas de preparación como generadores de SBOM, plantillas de riesgos, listas de verificación de SDL y recursos de formación. Keysight te acompaña en cada paso del proceso, desde la definición del alcance del producto hasta el marcado CE, ayudándote a mantener el cumplimiento normativo sin ralentizar la innovación ni el tiempo de comercialización.