Reglamento de Ciberresiliencia (CRA) (CRA)

Reglamento de Ciberresiliencia (CRA)

VigenteCRA

Resumen

Exige ciberseguridad desde el diseño a los productos con elementos digitales, incluido el software con IA que se vende como producto. Desde septiembre de 2026 los fabricantes deben notificar vulnerabilidades explotadas e incidentes graves; el resto de requisitos llega en diciembre de 2027. El software ofrecido solo como servicio en la nube queda fuera, salvo que forme parte de un producto.

A quién se dirige

Fabricantes, importadores y distribuidores de hardware y software comercializados en la UE.

Sanciones

Hasta 15 M€ o el 2,5 % de la facturación mundial por incumplir los requisitos esenciales o de notificación.

Nombre oficial: Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo, de 23 de octubre de 2024, relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales (Reglamento de Ciberresiliencia)
Referencia oficial: Reglamento (UE) 2024/2847, DO L de 20.11.2024
Autoridad: Autoridades nacionales de vigilancia del mercado y ENISA
Fuente oficial: Consultar la fuenteCómo verificamos las fuentes

Fechas clave

11 de septiembre de 2026Obligaciones de notificación
11 de diciembre de 2027Aplicación completa

Obligaciones y fechas

Tabla de obligaciones
Obligación	Artículo o cita	Estado	Fecha	A quién se dirige	Verificación
Notificar vulnerabilidades explotadas e incidentes graves en 24/72 horas	Reglamento (UE) 2024/2847, art. 14	Vigente	11 de septiembre de 2026	Si fabrica o comercializa software o dispositivos con IA como producto (no solo como servicio en la nube). Los distribuidores solo asumen este deber si ponen el producto en el mercado con su propio nombre o lo modifican sustancialmente.	Verificado en fuente oficial el 31 de octubre de 2026
Requisitos esenciales de ciberseguridad del producto	Reglamento (UE) 2024/2847, arts. 12-14 y Anexo I	Aprobada, aplica más adelante	11 de diciembre de 2027	Si fabrica o comercializa software o dispositivos con IA como producto.	Verificado en fuente oficial el 4 de noviembre de 2026

Notificar vulnerabilidades explotadas e incidentes graves en 24/72 horas

Reglamento (UE) 2024/2847, art. 14Vigente

Aplicable desde 11 de septiembre de 2026

Cuándo se relaciona: Si fabrica o comercializa software o dispositivos con IA como producto (no solo como servicio en la nube). Los distribuidores solo asumen este deber si ponen el producto en el mercado con su propio nombre o lo modifican sustancialmente.
Qué prevé la norma: Alerta temprana en 24 horas, notificación en 72 horas e informe final, a través de la plataforma única de ENISA.
Informar a los usuarios afectados y de las medidas para mitigar.
Evidencias habituales: Procedimiento de gestión de vulnerabilidades y notificación.
Registro de notificaciones.
Documentos base relacionados: Plan de respuesta a incidentes de IA
Documentos de apoyo: Lista de verificación de seguridad adversarial y robustez
Línea base de ciberseguridad para sistemas de IA
Procedimiento de control documental y versiones de IA
Ficha de procedencia de modelos de terceros y de pesos abiertos
Verificación: Verificado en fuente oficial el 31 de octubre de 2026Fecha de notificación confirmada en la página oficial de la Comisión sobre notificación del CRA (citada en la investigación).

Requisitos esenciales de ciberseguridad del producto

Reglamento (UE) 2024/2847, arts. 12-14 y Anexo IAprobada, aplica más adelante

Aplicable desde 11 de diciembre de 2027

Cuándo se relaciona: Si fabrica o comercializa software o dispositivos con IA como producto.
Qué prevé la norma: Diseñar con seguridad por defecto, evaluar riesgos y gestionar vulnerabilidades durante el periodo de soporte.
Documentación técnica, declaración UE de conformidad y marcado CE.
Los sistemas de IA de alto riesgo que cumplan el CRA se consideran conformes con los requisitos de ciberseguridad del Reglamento de IA.
Desde el 11-sep-2026 ya aplica el art. 14: notificar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad del producto.
Evidencias habituales: Evaluación de riesgos de ciberseguridad.
Lista de componentes de software (SBOM).
Documentos base relacionados: Línea base de ciberseguridad para sistemas de IA
Lista de verificación de seguridad adversarial y robustez
Documentos de apoyo: Arquitectura de referencia para soluciones de IA
Procedimiento de control documental y versiones de IA
Ficha de procedencia de modelos de terceros y de pesos abiertos
Verificación: Verificado en fuente oficial el 4 de noviembre de 2026Contrastado en el Diario Oficial (CELEX 32024R2847): art. 71.2 («shall apply from 11 December 2027. However, Article 14 shall apply from 11 September 2026»), art. 12 (sistemas de IA de alto riesgo), art. 13, Anexo I y art. 64.2 (multas de hasta 15 M€ o el 2,5 %).