Desde el 11 de septiembre de 2026, el Cyber Resilience Act europeo impone a los fabricantes una primera obligación: notificar en 24 horas cualquier vulnerabilidad aprovechada activamente en un producto conectado vendido en la Unión, incluidos los productos que ya están en el mercado. Si usted diseña un objeto conectado, en Suiza o en otro lugar, y lo vende en la UE, el Cyber Resilience Act le afecta como fabricante: la notificación ya se aplica, y el resto de los requisitos llega el 11 de diciembre de 2027, es decir, durante el desarrollo de sus próximos productos.
Lo esencial
- El Reglamento (UE) 2024/2847, conocido como Cyber Resilience Act (CRA) o Reglamento de Ciberresiliencia, abarca los productos de hardware y software que se conectan, directa o indirectamente, a un dispositivo o a una red.
- Desde el 11 de septiembre de 2026: alerta temprana en 24 horas, notificación en 72 horas e informe final para toda vulnerabilidad aprovechada activamente o todo incidente grave, a través de la plataforma única de ENISA.
- A partir del 11 de diciembre de 2027: requisitos esenciales de ciberseguridad, gestión de vulnerabilidades durante al menos cinco años, documentación técnica y marcado CE.
- Un fabricante suizo que vende en la UE está sujeto a él igual que uno europeo. Suiza prepara por su parte una ley que «se basará» en el CRA.
- Este artículo resume el texto oficial; no es asesoramiento jurídico.
Qué está pasando: el Cyber Resilience Act y los fabricantes
Un reglamento en tres etapas
El reglamento se firmó el 23 de octubre de 2024 y se publicó en el Diario Oficial el 20 de noviembre de 2024. Su artículo 71 fija tres fechas. El capítulo sobre los organismos notificados se aplica desde el 11 de junio de 2026. El artículo 14, el de las obligaciones de notificación, se aplica desde el 11 de septiembre de 2026. Todo lo demás se aplicará a partir del 11 de diciembre de 2027.
El ámbito es amplio: todo producto con elementos digitales cuyo uso previsto o razonablemente previsible incluya una conexión de datos con un dispositivo o una red (artículo 2). Un sensor wifi, una máquina controlada por una aplicación, un módulo Bluetooth, un software vendido por separado. Algunos sectores tienen su propio reglamento y quedan excluidos, como los productos sanitarios o los vehículos.
Lo que ya se aplica: la notificación
En cuanto un fabricante sabe que una vulnerabilidad de su producto se está aprovechando activamente, el artículo 14 le exige tres envíos: una alerta temprana en las 24 horas, una notificación en las 72 horas con la naturaleza del fallo y las medidas adoptadas, y un informe final a más tardar 14 días después de que haya una corrección disponible. Para un incidente grave que afecte a la seguridad del producto, el informe final se debe presentar en el mes siguiente a la notificación. El fabricante también debe informar a los usuarios afectados e indicarles qué medidas pueden tomar.
Estas notificaciones pasan por una plataforma única, abierta por ENISA, la agencia europea de ciberseguridad, el mismo día de la entrada en aplicación. Llegan a la vez al equipo nacional de respuesta designado como coordinador y a ENISA. Un punto clave: según el artículo 69, esta obligación también se aplica a los productos introducidos en el mercado antes del 11 de diciembre de 2027. Lo que usted ya ha vendido está incluido.
Lo que llegará en diciembre de 2027
A partir del 11 de diciembre de 2027, un producto solo podrá introducirse en el mercado si cumple los requisitos esenciales del anexo I: ninguna vulnerabilidad aprovechable conocida en el momento de la venta, configuración segura por defecto, posibilidad de recibir actualizaciones de seguridad, protección de los datos y de los accesos, superficie de ataque limitada. El fabricante deberá documentar una evaluación de riesgos, mantener una lista de materiales de software (SBOM) que cubra al menos las dependencias principales, publicar una dirección para notificar fallos y gestionar las vulnerabilidades durante un período de soporte de al menos cinco años, salvo que el producto esté previsto para un uso más corto. Cada actualización de seguridad deberá seguir disponible al menos diez años. Los productos conformes llevan el marcado CE.
Las sanciones las fijan los Estados miembros, dentro de los límites del artículo 64: hasta 15 millones de euros o el 2,5 % del volumen de negocios anual mundial, la cifra que sea mayor, por incumplir los requisitos esenciales y los artículos 13 y 14.
Qué cambia para usted
Al CRA no le importa dónde está su oficina técnica. Se aplica a los productos comercializados en el mercado de la Unión. El «fabricante», en el sentido del reglamento, es quien diseña o encarga el diseño de un producto y lo comercializa con su nombre o su marca. El texto prevé incluso qué debe hacer un fabricante sin establecimiento en la UE: notifica al Estado miembro de su representante autorizado, en su defecto al de su importador, de su distribuidor, o al de donde se encuentre la mayoría de sus usuarios.
Para una pyme suiza que fabrica un objeto conectado, hay tres consecuencias concretas:
- Desde ahora, hace falta alguien capaz de reconocer un fallo aprovechado y notificarlo en 24 horas. Un buzón genérico que se lee una vez por semana no basta.
- Sus importadores y distribuidores europeos le pedirán pruebas: el artículo 19 prohíbe a un importador introducir en el mercado un producto cuyo fabricante no haya realizado la evaluación de la conformidad ni elaborado la documentación técnica.
- Sus productos en desarrollo se venderán después de diciembre de 2027. Las decisiones que tome hoy en el prototipo (componentes, firmware, modo de actualización) determinan la conformidad de mañana.
En Suiza, el 25 de septiembre de 2026 el Consejo Federal encargó al DDPS preparar, para junio de 2027, un proyecto de ley federal de ciberseguridad con requisitos vinculantes para fabricantes, importadores y distribuidores de productos técnicos. Precisa que la ley «se basará» en el CRA. Prepararse para el CRA es, por tanto, adelantarse también a la futura norma suiza.
Lo que he aprendido
Diseño y fabrico prototipos y preseries: del primer modelo funcional a la pequeña serie, valido la forma, la mecánica y los materiales antes de que el cliente se comprometa con una producción. El CRA añade una cuarta cosa que validar, y también se decide en el banco de trabajo: cómo se actualizará el producto y quién responderá cuando se descubra un fallo.
En el Lab, integré la placa electrónica, los sensores y la pantalla de un secador de filamento comercial en el sistema multicolor de mi impresora: es el proyecto CFS + Space Pi. Reutilicé la electrónica del fabricante tal cual. Para un montaje personal en mi taller, la cuestión no se plantea: no se introduce en el mercado. Pero si lo convirtiera en un producto a la venta, esa placa pasaría a ser un componente de terceros, y el artículo 13 exige al fabricante diligencia con ese tipo de componentes: saber de dónde viene, quién lo mantiene, si se puede corregir. Esa pregunta corresponde al momento de elegir la placa, no a después de la preserie.
En casa, monté una infraestructura domótica de código abierto que controla más de treinta dispositivos conectados. Los puse en una red aislada, separada de la red de la casa y de los servidores, y las automatizaciones funcionan sin conexión a internet. Lo hice porque no tenía forma de saber cómo se actualizaban esos dispositivos. El CRA traslada esa carga: ya no le toca al usuario protegerse de un objeto mal diseñado, le toca al fabricante entregarlo seguro por defecto y mantenerlo.
Qué hacer en concreto
1. Hacer el inventario de sus productos conectados
Enumere los productos vendidos en la UE que tienen una conexión de datos: wifi, Bluetooth, USB, aplicación, servicio en línea. Para cada uno, anote quién es el fabricante según el CRA, por qué importadores y distribuidores pasa y en qué países se vende.
2. Estar listo para notificar en 24 horas
Designe a una persona responsable y a un suplente, publique una dirección de contacto para notificar fallos, regístrese en la plataforma única de ENISA e identifique el equipo nacional competente. Prepare un modelo de alerta y un medio para informar a sus usuarios.
3. Incluir la seguridad en el pliego de condiciones del prototipo
Evaluación de riesgos escrita desde el diseño, lista de componentes y software de terceros, contraseña única o configuración segura por defecto, mecanismo de actualización probado en el prototipo, período de soporte decidido e incluido en su precio de coste.
4. Hablar con sus socios europeos
Pregunte a sus importadores y distribuidores qué esperarán de usted en diciembre de 2027 y valore si le conviene un representante autorizado en la UE. Mejor saberlo antes de firmar el próximo pedido.
5. Hacerlo validar por un especialista
La clasificación de su producto (categoría por defecto, producto importante o crítico) determina el procedimiento de conformidad. Hágala confirmar por un abogado o un organismo especializado.
Preguntas frecuentes
¿Mi prototipo está sujeto al Cyber Resilience Act?
El reglamento se aplica a los productos comercializados. Un prototipo puede presentarse en una feria si lleva un signo visible que indique que no es conforme y que no se venderá tal cual (artículo 4). Pero es en el prototipo donde se toman las decisiones que harán conforme el producto.
Mi producto se vende desde hace años: ¿me afecta?
Para la notificación, sí: también se aplica a los productos introducidos en el mercado antes del 11 de diciembre de 2027. Los demás requisitos solo se aplican a esos productos si sufren una modificación sustancial después de esa fecha (artículo 69).
Mi empresa es suiza: ¿de verdad me afecta el CRA?
Sí, en cuanto su producto se vende en la UE, directamente o a través de un importador. El reglamento prevé expresamente el caso de los fabricantes sin establecimiento en la Unión. Y la futura ley suiza debe inspirarse en él.
Para saber más
¿Desarrolla un objeto conectado y quiere integrar estos requisitos desde el prototipo? Consulte mi oferta de ingeniería y fabricación o, para encuadrar el proyecto desde el principio, estrategia y acompañamiento. Lo más sencillo: una llamada de 20 minutos.
Fuentes
- Reglamento (UE) 2024/2847 de 23 de octubre de 2024 (Reglamento de Ciberresiliencia), artículos 2, 3, 4, 13, 14, 19, 64, 69, 71 y anexo I, Diario Oficial de la Unión Europea, 20 de noviembre de 2024.
- Cyber Resilience Act, Comisión Europea, página actualizada el 7 de septiembre de 2026.
- Obligaciones de notificación del CRA, Comisión Europea, 11 de septiembre de 2026.
- The CRA Single Reporting Platform is launched, ENISA, 11 de septiembre de 2026 (en inglés).
- Federal Council plans to introduce new Cybersecurity Act, Consejo Federal suizo, 25 de septiembre de 2026 (en inglés).
- Federal Council to strengthen cyber resilience of digital products, Oficina Federal de Ciberseguridad, 20 de agosto de 2025 (en inglés).
Foto: Nicolas Thomas / Unsplash (fuente).
Etiquetas: Cyber Resilience Act, objetos conectados, prototipado, ciberseguridad, fabricantes, marcado CE