Usted desarrolla máquinas, controladores, componentes o software y los comercializa en la UE. Con el Cyber Resilience Act y el Reglamento de máquinas, la ciberseguridad pasa a formar parte del marcado CE. Complass le guía por producto hasta la declaración de conformidad.
Notificar las vulnerabilidades explotadas activamente y los incidentes graves, con alerta temprana en 24 horas, desde el 11 de septiembre de 2026 Art. 14 CRAArtículo 14 Reglamento de CiberresilienciaObligaciones de información de los fabricantes1. Los fabricantes notificarán simultáneamente al CSIRT designado como coordinador, de conformidad con el apartado 7 del presente artículo, y a la ENISA cualquier vulnerabilidad aprovechada activamente presente en el producto con elementos digitales de la que tengan conocimiento. El fabricante notificará dicha vulnerabilidad aprovechada activamente a través de la plataforma única de notificación establecida en …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Desarrollar los productos conforme a los requisitos del anexo I del CRA y documentar la evaluación de riesgos Art. 13 CRAArtículo 13 Reglamento de CiberresilienciaObligaciones de los fabricantes1. Cuando se introduzca en el mercado un producto con elementos digitales, los fabricantes garantizarán que el producto ha sido diseñado, desarrollado y producido de conformidad con los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte I. 2. A efectos del cumplimiento del apartado 1, los fabricantes llevarán a cabo una evaluación de los riesgos de ciberseguridad asociados a un producto con …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Gestionar las vulnerabilidades durante el período de soporte, con SBOM y actualizaciones de seguridad gratuitas Anhang I Teil II CRAAnexo I Parte II Reglamento de CiberresilienciaRequisitos de gestión de las vulnerabilidadesLos fabricantes de los productos con elementos digitales: 1) identificarán y documentarán las vulnerabilidades y los componentes presentes en el producto con elementos digitales, también mediante la elaboración de una nomenclatura de materiales de los programas informáticos en un formato comúnmente utilizado y legible por máquina, que incluya, como mínimo, las dependencias de máximo nivel del producto; 2) por lo que …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Documentación técnica, evaluación de la conformidad, declaración UE de conformidad y marcado CE, a partir del 11 de diciembre de 2027 Art. 71 CRAArtículo 71 Reglamento de CiberresilienciaEntrada en vigor y aplicación1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. 2. El presente Reglamento será aplicable a partir del 11 de diciembre de 2027. No obstante, el artículo 14 será aplicable a partir del 11 de septiembre de 2026 y el capítulo IV (artículos 35 a 51) será aplicable a partir del 11 de junio de 2026.Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Protección frente a la corrupción y seguridad del sistema de control conforme al Reglamento de máquinas, a partir del 20 de enero de 2027 Anexo III, punto 1.1.9, Reglamento de máquinasAnexo III Sección 1.1.9 Reglamento de máquinasProtección contra la corrupciónLa máquina o el producto relacionado se diseñarán y fabricarán de manera que la conexión con otro dispositivo, a través de cualquier característica del propio dispositivo conectado o a través de un dispositivo remoto que se comunique con la máquina o el producto relacionado, no provoque situaciones peligrosas. El componente de hardware trasmisor de señales o datos pertinente para la conexión o el acceso al software …Versión: 06.10.2026 · Fuente: EUR-Lex – OJ L 165, 29.6.2023; Art. 3, 8, 20, 25a–25e and 47 as consolidated on 27.07.2026Abrir el original (EUR-Lex – OJ L 165, 29.6.2023; Art. 3, 8, 20, 25a–25e and 47 as consolidated on 27.07.2026) ↗
Información general, no asesoramiento jurídico. Esta página resume la situación jurídica de forma simplificada y no sustituye el examen de su caso concreto. Lo determinante es el texto de las leyes y normas.
Sectores y productos
Construcción de máquinas e instalaciones Ámbito prioritario
CRA y Reglamento de máquinas en paralelo por máquina, desde el controlador hasta el acceso remoto. El ámbito que Complass cubre con mayor profundidad.
Componentes, controladores e IoT
PLC, sensores y dispositivos conectados con IEC 62443-4-2 como base. Los productos radioeléctricos, además, conforme a la Directiva sobre equipos radioeléctricos (RED) con EN 18031.
Software
El software autónomo con elementos digitales entra en el ámbito del CRA. Los servicios en la nube sin producto asociado, por lo general, no los regula el CRA, sino NIS2.
Productos conectados e IA
Acceso a los datos para los usuarios de productos conectados conforme al Data Act, funciones de IA en el producto conforme al Reglamento de IA.
Así le ayuda Complass
CRA por producto
Clasificación como producto estándar, importante o crítico, requisitos del anexo I, evaluación de la conformidad y documentación hasta el marcado CE.
Mantenga una SBOM por producto y expórtela como CycloneDX o SPDX. Encuentre y evalúe las vulnerabilidades conocidas de los componentes y declárelas como VEX.
Desarrollo seguro de productos conforme a IEC 62443-4-1 y requisitos de componentes conforme a 62443-4-2, vinculados al CRA.
Plan adecuado
Lo mínimo que necesita como Fabricantes
La primera selección cubre las obligaciones en Complass si le son aplicables. Si es así, lo muestra la comprobación de afectación gratuita. Al control de afectación
Lo mínimo que necesita
Si usted es fabricante en el sentido de la CRA: esta selección cubre en Complass las obligaciones derivadas de ello. Está preseleccionada cuando prueba o hace un pedido.
Vulnerabilidades y técnicas de ataque (incl. SBOM, expediente de producto CRA y MITRE ATT&CK): Tratar las vulnerabilidades y emitir una alerta temprana en 24 horas para las vulnerabilidades explotadas activamente. (Art. 14, anexo I, parte II CRA (se abre en una pestaña nueva))
Gestión de incidentes: incluido
RGPD, Reglamento de IA y Protección de los denunciantes (HinSchG) (protección básica): incluido
Precio de la selección mínima
Concepto
Precio neto al mes
Start S
179 €
Cyber Resilience Act (CRA)
incluido
Vulnerabilidades y técnicas de ataque (incl. SBOM, expediente de producto CRA y MITRE ATT&CK)
149 €
RGPD, Reglamento de IA y Protección de los denunciantes (HinSchG) (protección básica)
incluido
Total
328 € netos/mes
Con pago anual, permanencia mínima de 12 meses. Pago mensual con un recargo del 15 %. Todos los precios sin IVA, a fecha de 16/10/2026.
Conviene saber: Puede cumplir las obligaciones también sin Complass. Complass le apoya en la implementación y la acreditación, pero no sustituye el asesoramiento jurídico. Avisos legales
Otros planes
Para productos conforme a la CRA existe la plantilla sectorial Fabricante. Los fabricantes de productos sanitarios no están sujetos a la CRA; para ellos está pensada la plantilla Tecnología médica.
disponible
Plantilla sectorial: Fabricantes
Cyber Resilience Act por producto hasta el marcado CE
Directiva sobre equipos radioeléctricos (RED) con EN 18031
Gestión de vulnerabilidades con SBOM
desde 427 € al mes más IVA en el paquete Start, tamaño S, pago anual
Todos los precios están dirigidos a empresas, no a consumidores. Se entienden netos más IVA con pago anual; con pago mensual se aplica un recargo del 15 %. Vigente a 16/10/2026. Enterprise y grupos empresariales bajo consulta.
Preguntas frecuentes
¿Entra nuestro producto en el ámbito del CRA?+
El CRA se aplica a los productos con elementos digitales que pueden conectarse directa o indirectamente a un dispositivo o a una red. Esto afecta a la mayoría de los controladores, máquinas conectadas y software. Existen excepciones, entre otras, para productos con normativa propia, como los productos sanitarios y los vehículos. La comprobación ¿Me afecta? y la clasificación por producto de Complass muestran en qué clase entra su producto.
¿Cómo se relacionan el CRA y el Reglamento de máquinas?+
Ambos exigen ciberseguridad, desde perspectivas distintas: el CRA para el producto con elementos digitales, el Reglamento de máquinas para el funcionamiento seguro de la máquina. Muchos documentos, como la evaluación de riesgos y la documentación técnica, le sirven para ambos. Complass gestiona ambos marcos normativos en paralelo por producto.
Fabricamos y además tenemos producción propia. ¿Necesitamos dos soluciones?+
No. En Complass gestiona sus productos conforme al CRA y al Reglamento de máquinas, y su propia operativa conforme a NIS2, ISO 27001 o IEC 62443, en la misma cuenta.
Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.
