A quién va dirigido
Usted desarrolla software, firmware, aplicaciones o dispositivos conectados y los vende en la UE. Desde el 11 de septiembre de 2026 debe notificar las vulnerabilidades explotadas activamente y los incidentes graves conforme al Cyber Resilience Act; a partir del 11 de diciembre de 2027 se aplican todos los requisitos a sus productos. Complass le guía por producto desde la clasificación hasta el marcado CE y durante el período de soporte.
Para una vulnerabilidad explotada activamente quedan 24 horas hasta la alerta temprana, también para productos que llevan mucho tiempo en el mercado. Solo se consigue con un procedimiento practicado.
Bibliotecas, código abierto y componentes de proveedores: sin una lista de materiales de software actualizada no se puede saber qué producto se ve afectado por una nueva vulnerabilidad.
La Directiva sobre equipos radioeléctricos (RED), el CRA, el Data Act y, en su caso, el Reglamento de IA se entrelazan, con plazos y transiciones propios.
El Cyber Resilience Act se aplica a los productos con elementos digitales que pueden conectarse a un dispositivo o a una red, es decir, a la mayor parte del software y a casi todos los dispositivos conectados. Quedan excluidos, entre otros, los productos sanitarios y los vehículos con homologación de tipo propia.
Marcos normativos: CRA · Directiva sobre equipos radioeléctricos (RED) · IEC 62443 para fabricantes · Data Act · Reglamento de IA
¿No sabe con seguridad qué marcos normativos le son aplicables? Iniciar la comprobación ¿Me afecta?
Costes, esfuerzo y plazo: ¿solo consultor, consultor con Complass o implantación propia con Complass? Abrir la calculadora de costes de cumplimiento
IA en el producto. Si su producto contiene un sistema de IA, compruebe su clasificación conforme al Reglamento de IA. Si la IA es un componente de seguridad de un producto que según el Derecho de la UE requiere una evaluación de la conformidad por terceros, puede ser de alto riesgo. Las obligaciones de transparencia, por ejemplo en los chatbots, se aplican desde el 2 de agosto de 2026. Art. 6 del Reglamento de IAArticle 6 AI Act Classification rules for high-risk AI systems1. Irrespective of whether an AI system is placed on the market or put into service independently of the products referred to in points (a) and (b), that AI system shall be considered to be high-risk where both of the following conditions are fulfilled: - (a) the AI system is intended to be used as a safety component of a product, or the AI system is itself a product, covered by the Union harmonisation legislation …Abrir el original (EUR-Lex – consolidated version of 27.07.2026) ↗ Art. 50 del Reglamento de IAArticle 50 AI Act Transparency obligations for providers and deployers of certain AI systems1. Providers shall ensure that AI systems intended to interact directly with natural persons are designed and developed in such a way that the natural persons concerned are informed that they are interacting with an AI system, unless this is obvious from the point of view of a natural person who is reasonably well-informed, observant and circumspect, taking into account the circumstances and the context of use. This …Abrir el original (EUR-Lex – consolidated version of 27.07.2026) ↗
Información general, no asesoramiento jurídico. Esta página resume la situación jurídica de forma simplificada y no sustituye el examen de su caso concreto. Lo determinante es el texto de las leyes y normas.
Software estándar, aplicaciones y firmware: lista de materiales de software, updates y notificaciones durante todo el período de soporte.
Dispositivos domóticos, IoT e industriales con radio: hoy la Directiva sobre equipos radioeléctricos (RED), a partir de diciembre de 2027 el CRA.
Controladores, gateways y componentes de red; los routers y otros componentes de red se consideran en parte producto importante con un procedimiento de conformidad más estricto. IEC 62443-4-1 y 4-2 son un marco extendido.
Productos con IA integrada: clasificación conforme al Reglamento de IA además del CRA.
Clasificación, evaluación de riesgos, requisitos conforme al anexo I, documentación técnica y declaración de conformidad, guiadas por fases.
Más sobre la funciónImportar listas de materiales de software (CycloneDX, SPDX), asignar vulnerabilidades y avisos de fabricantes (CSAF) y exportar SBOM y VEX para clientes y autoridades.
Más sobre la funciónVulnerabilidad explotada activamente o incidente grave: Complass muestra las tres fases de notificación con su plazo y los datos exigidos.
Más sobre la funciónUn marco normativo propio para fabricantes con plantillas para el proceso de desarrollo, el modelo de amenazas y el proceso PSIRT, vinculado al CRA.
La plantilla sectorial «Fabricantes» preselecciona la CRA, la Directiva sobre equipos radioeléctricos y la gestión de vulnerabilidades con SBOM. El Reglamento de IA lo añade si lo necesita.
disponible
desde 427 € al mes más IVA en el paquete Start, tamaño S, pago anual
disponible
desde 79 € al mes más IVA en el paquete Consulta, tamaño S, pago anual
Todos los precios están dirigidos a empresas, no a consumidores. Se entienden netos más IVA con pago anual; con pago mensual se aplica un recargo del 15 %. Vigente a 16/10/2026. Enterprise y grupos empresariales bajo consulta.
Sí. También el software que se vende por separado es un producto con elementos digitales. Los servicios en la nube puros sin relación con un producto, por lo general, no están sujetos al CRA sino a NIS2. En cambio, el tratamiento de datos a distancia sin el cual un producto no puede cumplir su función forma parte del producto.
Debe notificar las vulnerabilidades explotadas activamente y los incidentes de seguridad graves a través de la plataforma única de notificación, con alerta temprana en 24 horas. Esto también se aplica a los productos que usted comercializó antes de esa fecha.
La serie de normas no es obligatoria, pero a menudo se exige para componentes industriales. IEC 62443-4-1 describe los requisitos de un proceso de desarrollo seguro; IEC 62443-4-2, los requisitos técnicos de seguridad de los componentes. Complass vincula ambas con los requisitos del CRA.
Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.
