Complass – Navigate compliance Complass – Navigate compliance

marco normativo

Reglamento de Ciberresiliencia (UE) 2024/2847

El Reglamento de Ciberresiliencia establece requisitos para los productos con elementos digitales durante todo su ciclo de vida. Complass le guía producto a producto, desde la aplicabilidad hasta el marcado CE.

Fotograma del vídeo corto «Gestión del cumplimiento en 20 segundos»
Gestión del cumplimiento en 20 segundos Proyecto, siguiente paso, lista de verificación, declaración de aplicabilidad, paquete de auditoría. Beispieldaten der Demo-Firma.

¿Qué es CRA?

El Reglamento de Ciberresiliencia (CRA) es el Reglamento (UE) 2024/2847 sobre requisitos horizontales de ciberseguridad para los productos con elementos digitales. Exige la seguridad desde el diseño, la gestión de vulnerabilidades durante todo el periodo de soporte, la notificación de las vulnerabilidades explotadas activamente y una evaluación de la conformidad con marcado CE.

Actualidad de los contenidos:

¿Me afecta?

El CRA se aplica a los productos con elementos digitales comercializados en el mercado de la UE, es decir, hardware y software con conexión de datos, como controladores, dispositivos y aplicaciones. Las obligaciones afectan sobre todo a los fabricantes, así como a los importadores y distribuidores. Existen excepciones, entre otros, para los productos ya cubiertos por determinadas otras normas de la UE.

Las obligaciones de notificación conforme al art. 14 son aplicables desde el 11 de septiembre de 2026, también para los productos comercializados antes de esa fecha.

Este resumen no sustituye al asesoramiento jurídico. Lo que prevalece es el texto legal o normativo; en Complass usted comprueba la aplicabilidad con ayuda de orientaciones basadas en las referencias.

Base jurídica

  • Art. 2 CRAArtículo 2 Reglamento de Ciberresiliencia Ámbito de aplicación1. El presente Reglamento es aplicable a los productos con elementos digitales comercializados cuya finalidad prevista o uso razonablemente previsible incluya una conexión de datos directa o indirecta, lógica o física, a un dispositivo o red. 2. El presente Reglamento no es aplicable a los productos con elementos digitales a los que sean aplicables los siguientes actos jurídicos de la Unión: - a) el Reglamento (UE) …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Ámbito de aplicación
  • Art. 3 CRAArtículo 3 Reglamento de Ciberresiliencia DefinicionesA los efectos del presente Reglamento, se entenderá por: 1) «producto con elementos digitales»: producto consistente en programas informáticos o equipos informáticos y sus soluciones de procesamiento de datos remoto, incluidos los componentes consistentes en programas informáticos o equipos informáticos que se introduzcan en el mercado por separado; 2) «tratamiento de datos a distancia»: tratamiento de datos a …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Definiciones
  • Art. 7 CRAArtículo 7 Reglamento de Ciberresiliencia Productos importantes con elementos digitales1. Los productos con elementos digitales cuya funcionalidad principal sea la de una categoría de productos establecida en el anexo III se considerarán productos importantes con elementos digitales y estarán sujetos a los procedimientos de evaluación de la conformidad a que se refiere el artículo 32, apartados 2 y 3. La integración de un producto con elementos digitales cuya funcionalidad principal sea la de una …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Productos importantes con elementos digitales
  • Art. 13 CRAArtículo 13 Reglamento de Ciberresiliencia Obligaciones de los fabricantes1. Cuando se introduzca en el mercado un producto con elementos digitales, los fabricantes garantizarán que el producto ha sido diseñado, desarrollado y producido de conformidad con los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte I. 2. A efectos del cumplimiento del apartado 1, los fabricantes llevarán a cabo una evaluación de los riesgos de ciberseguridad asociados a un producto con …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗Obligaciones de los fabricantes

Fechas clave

  1. Entrada en vigor del Reglamento · Art. 71, apdo. 1Artículo 71 Reglamento de Ciberresiliencia Entrada en vigor y aplicación1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. 2. El presente Reglamento será aplicable a partir del 11 de diciembre de 2027. No obstante, el artículo 14 será aplicable a partir del 11 de septiembre de 2026 y el capítulo IV (artículos 35 a 51) será aplicable a partir del 11 de junio de 2026.Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
  2. Se aplica el capítulo IV (organismos notificados, arts. 35 a 51) · Art. 71, apdo. 2Artículo 71 Reglamento de Ciberresiliencia Entrada en vigor y aplicación1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. 2. El presente Reglamento será aplicable a partir del 11 de diciembre de 2027. No obstante, el artículo 14 será aplicable a partir del 11 de septiembre de 2026 y el capítulo IV (artículos 35 a 51) será aplicable a partir del 11 de junio de 2026.Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
  3. Se aplican las obligaciones de notificación del art. 14, también a los productos existentes · Art. 71, apdo. 2, y art. 69, apdo. 3Artículo 71 Reglamento de Ciberresiliencia Entrada en vigor y aplicación1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. 2. El presente Reglamento será aplicable a partir del 11 de diciembre de 2027. No obstante, el artículo 14 será aplicable a partir del 11 de septiembre de 2026 y el capítulo IV (artículos 35 a 51) será aplicable a partir del 11 de junio de 2026.Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
  4. EHR systems: conformity assessment under the EHDS Regulation (Art. 32(5a)); amendment of Art. 13(4) and Art. 31(3) · Art. 104 Regulation (EU) 2025/327Artículo 71 Reglamento de Ciberresiliencia Entrada en vigor y aplicación1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. 2. El presente Reglamento será aplicable a partir del 11 de diciembre de 2027. No obstante, el artículo 14 será aplicable a partir del 11 de septiembre de 2026 y el capítulo IV (artículos 35 a 51) será aplicable a partir del 11 de junio de 2026.Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
  5. Plena aplicación del Reglamento · Art. 71, apdo. 2Artículo 71 Reglamento de Ciberresiliencia Entrada en vigor y aplicación1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. 2. El presente Reglamento será aplicable a partir del 11 de diciembre de 2027. No obstante, el artículo 14 será aplicable a partir del 11 de septiembre de 2026 y el capítulo IV (artículos 35 a 51) será aplicable a partir del 11 de junio de 2026.Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
  6. 24 horas / 72 horas / 14 días Alerta temprana, notificación e informe final para las vulnerabilidades explotadas activamente (informe final 14 días después de que haya una corrección disponible) · Art. 14 CRAArtículo 14 Reglamento de Ciberresiliencia Obligaciones de información de los fabricantes1. Los fabricantes notificarán simultáneamente al CSIRT designado como coordinador, de conformidad con el apartado 7 del presente artículo, y a la ENISA cualquier vulnerabilidad aprovechada activamente presente en el producto con elementos digitales de la que tengan conocimiento. El fabricante notificará dicha vulnerabilidad aprovechada activamente a través de la plataforma única de notificación establecida en …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗

Calcule gratis los plazos de notificación para su caso

Cómo le ayuda Complass

  • 10fases
  • 33pasos guiados
  • 17plantillas de documentos
  • 32requisitos en el catálogo
  • Un proyecto por producto

    Diez fases, desde la aplicabilidad y el rol, pasando por la clasificación y la evaluación de riesgos, hasta la declaración de conformidad, las obligaciones posteriores a la comercialización y la responsabilidad por productos.

  • Catálogo para el anexo I

    Requisitos esenciales de ciberseguridad y gestión de vulnerabilidades con estado y evidencias, vinculables con IEC 62443-3-3 y el Reglamento de máquinas.

  • Vulnerabilidades en su propio producto

    Importe el SBOM, concilie continuamente los componentes con datos públicos de vulnerabilidades y cree el incidente del art. 14 ya rellenado en caso de explotación activa.

  • Documentación técnica

    Plantillas para, entre otros, la evaluación de riesgos, el concepto de SBOM, el proceso de gestión de vulnerabilidades, la política de divulgación, la información para el usuario conforme al anexo II y la declaración UE de conformidad.

Las fases del módulo

  1. Aplicabilidad, rol y calendario
  2. Descripción del producto, clasificación y procedimiento de evaluación de la conformidad
  3. Evaluación de riesgos de ciberseguridad
  4. Requisitos esenciales de ciberseguridad del producto (anexo I, parte I)
  5. Gestión de vulnerabilidades, SBOM y periodo de soporte (anexo I, parte II)
  6. Obligaciones de notificación conforme al art. 14 (aplicables desde el 11 de septiembre de 2026)
  7. Información al usuario y documentación técnica
  8. Evaluación de la conformidad, declaración UE de conformidad y marcado CE
  9. Obligaciones posteriores a la comercialización
  10. Product liability under Directive (EU) 2024/2853

Catálogo: Anexo I – Requisitos esenciales de ciberseguridad

Módulos relacionados

Expediente de ciberseguridad CE por producto

CRA y Reglamento de máquinas en un expediente por producto y versión: requisitos, SBOM, vulnerabilidades, periodo de soporte. Complass elabora la documentación técnica y la declaración UE de conformidad como borrador.

Lo mínimo que necesita como Fabricantes

La primera selección cubre las obligaciones en Complass si le son aplicables. Si es así, lo muestra la comprobación de afectación gratuita. Al control de afectación

Lo mínimo que necesita

Si usted es fabricante en el sentido de la CRA: esta selección cubre en Complass las obligaciones derivadas de ello. Está preseleccionada cuando prueba o hace un pedido.

Tamaño del portal Start

  • Cyber Resilience Act (CRA): Requisitos esenciales, evaluación de la conformidad y marcado CE. (Art. 13 CRA (se abre en una pestaña nueva))
  • Vulnerabilidades y técnicas de ataque (incl. SBOM, expediente de producto CRA y MITRE ATT&CK): Tratar las vulnerabilidades y emitir una alerta temprana en 24 horas para las vulnerabilidades explotadas activamente. (Art. 14, anexo I, parte II CRA (se abre en una pestaña nueva))
  • Gestión de incidentes: incluido
  • RGPD, Reglamento de IA y Protección de los denunciantes (HinSchG) (protección básica): incluido
Precio de la selección mínima
ConceptoPrecio neto al mes
Start S179 €
Cyber Resilience Act (CRA)incluido
Vulnerabilidades y técnicas de ataque (incl. SBOM, expediente de producto CRA y MITRE ATT&CK)149 €
RGPD, Reglamento de IA y Protección de los denunciantes (HinSchG) (protección básica)incluido
Total328 € netos/mes

Con pago anual, permanencia mínima de 12 meses. Pago mensual con un recargo del 15 %. Todos los precios sin IVA, a fecha de 16/10/2026.

Ajustar la selección en la vista de precios: Selección mínima Fabricantes

Si solo es importador o distribuidor (art. 19, 20 CRA), en Complass basta con el marco normativo CRA sin el módulo de vulnerabilidades: Start, 179 € netos/mes. Quien ofrece productos con su propio nombre o los modifica sustancialmente se considera fabricante (art. 21, 22 CRA). Ver la selección: Selección mínima importador o distribuidor

Recomendado para mayor efecto Oferta, no una obligación

Business

Más efecto con Gestión de riesgos y Gestión de la continuidad de negocio (BCM), espacio para 10 usuarios y 2 marcos normativos.

598 € netos/mes, 270 € más que la selección mínima.

Con pago anual, permanencia mínima de 12 meses. Pago mensual con un recargo del 15 %. Todos los precios sin IVA, a fecha de 16/10/2026.

Ver en el resumen de precios: Selección mínima Fabricantes

Preguntas frecuentes

Fabricamos máquinas con un controlador. ¿Se aplica el CRA o el Reglamento de máquinas?

A menudo, ambos. Complass muestra las coincidencias y vincula los catálogos para que usted aporte las evidencias una sola vez.

¿Complass presenta la notificación a ENISA?

No. Complass calcula los plazos y prepara el contenido; usted presenta la notificación a través de la plataforma de notificaciones.

Pruebe Complass con sus propios datos

Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.