CRA Scope Check
Dos de cada cinco empresas que han oído hablar del Cyber Resilience Act no han determinado si les aplica, y la mitad no distingue a un fabricante de un administrador de software de código abierto. Cuatro preguntas resuelven ambas cosas, con el artículo detrás de cada respuesta.
Su situación
Nada de lo que elija sale de esta página. Es un árbol de decisión sobre las definiciones del propio Reglamento, ejecutado en su navegador.
Lo que le aplica
Art. 3(13): usted desarrolla o fabrica el producto, o lo manda fabricar, y lo comercializa con su nombre o marca, a cambio de un pago o gratuitamente.
Un importador o distribuidor que introduce un producto en el mercado con su propio nombre o marca, o que modifica sustancialmente un producto ya introducido, se considera fabricante y queda sujeto a los artículos 13 y 14.
- Desde el 11 de septiembre de 2026
- Notifique una vulnerabilidad aprovechada activamente o un incidente grave a su CSIRT coordinador y a ENISA: alerta temprana en las 24 horas siguientes al conocimiento, notificación en 72 horas, informe final tras la corrección (Art. 14, Art. 71(2)). Los productos introducidos en el mercado antes de diciembre de 2027 también cuentan (Art. 69(3)).
- Desde el 11 de diciembre de 2027
- Los requisitos esenciales del anexo I, la documentación técnica, la evaluación de la conformidad y el marcado CE (Art. 13).
- Sanciones
- Un incumplimiento de los artículos 13 o 14 está en el tramo más alto: hasta 15 millones de euros o el 2,5 % del volumen de negocios anual mundial (Art. 64(2)). Como microempresa o pequeña empresa no puede ser multada por no presentar la alerta temprana de 24 horas (Art. 64(10)). La obligación de notificar se mantiene, y también todas las demás.
Tres cosas que hacer esta semana
- Regístrese en la ENISA Single Reporting Platform y designe un Primary Assigned Representative.
- Sepa qué incluye cada producto: una SBOM por versión, guardada donde las personas de guardia puedan leerla.
- Decida quién declara el conocimiento y dónde se registra el momento. El reloj cuenta desde esa decisión.
Art. 3, «importador»: usted está establecido en la UE e introduce en el mercado un producto que lleva el nombre o la marca de una persona establecida fuera de la UE.
Sus propias obligaciones están en el artículo 19 y se aplican desde el 11 de diciembre de 2027: introducir en el mercado solo productos conformes, comprobar que el fabricante ha cumplido su parte, conservar la documentación e informar al fabricante y a las autoridades de vigilancia del mercado cuando conozca una vulnerabilidad o una no conformidad.
La obligación de notificación del artículo 14 sigue siendo del fabricante, salvo que ponga su propio nombre en el producto o lo modifique sustancialmente; entonces pasa a ser suya (Art. 21).
Pregunte hoy a su fabricante: ¿quién es su Assigned Representative en la plataforma de ENISA y cómo le avisarán en 24 horas?
Art. 3, «distribuidor»: usted comercializa un producto en el mercado de la UE sin alterar sus propiedades y no es ni su fabricante ni su importador.
Sus propias obligaciones están en el artículo 20 y se aplican desde el 11 de diciembre de 2027: comprobar el marcado CE y la documentación antes de suministrar el producto e informar al fabricante o importador y a las autoridades de vigilancia del mercado cuando conozca una vulnerabilidad o una no conformidad.
La obligación de notificación del artículo 14 sigue siendo del fabricante, salvo que ponga su propio nombre en el producto o lo modifique sustancialmente; entonces pasa a ser suya (Art. 21).
Pregunte hoy a su fabricante: ¿quién es su Assigned Representative en la plataforma de ENISA y cómo le avisarán en 24 horas?
Art. 3(14): una persona jurídica, distinta de un fabricante, que apoya de forma sistemática y sostenida el desarrollo de productos concretos de código abierto destinados a actividades comerciales y garantiza su viabilidad.
El artículo 24 fija sus obligaciones: una política de ciberseguridad para el proyecto, cooperación con las autoridades de vigilancia del mercado y la obligación de notificación del artículo 14(1) en la medida en que participe en el desarrollo (Art. 24(3)). Los administradores no pueden ser multados (Art. 64(10)).
La fecha general de aplicación es el 11 de diciembre de 2027; la plataforma de ENISA ya acepta notificaciones de administradores. Un proyecto monetizado, o desarrollado por una empresa como parte de su negocio, convierte a esa empresa en fabricante.
El Reglamento cubre los productos con elementos digitales (Art. 3(1)). El software ofrecido solo como servicio no lo es, salvo que sea el tratamiento de datos a distancia que un producto necesita para realizar una de sus funciones (Art. 3(2)); entonces forma parte de ese producto y responde de él el fabricante del producto.
Al propio servicio puede aplicarle NIS2 (Directiva (UE) 2022/2555). Es otra ley, con otro régimen de notificación.
El Reglamento se aplica a los productos comercializados en el transcurso de una actividad comercial (Art. 3, «comercialización»). Desarrollar y publicar software de código abierto sin monetizarlo no lo es (considerando 18).
Pasa a ser comercial cuando cobra por el software o por su soporte más allá de cubrir costes, o cuando una empresa lo desarrolla como parte de su negocio. Repita entonces esta comprobación como fabricante.
El artículo 2 deja el producto a la norma que ya lo cubre: los productos sanitarios y de diagnóstico in vitro de los Reglamentos (UE) 2017/745 y 2017/746 (Art. 2(2)). los vehículos de motor homologados con arreglo al Reglamento (UE) 2019/2144 (Art. 2(2)). los productos certificados con arreglo al Reglamento (UE) 2018/1139 sobre aviación civil (Art. 2(3)). los equipos marinos incluidos en la Directiva 2014/90/UE (Art. 2(4)). las piezas de repuesto que sustituyen componentes idénticos y se fabrican según la misma especificación (Art. 2(6)). los productos desarrollados o modificados exclusivamente para la seguridad nacional o la defensa, o diseñados para tratar información clasificada (Art. 2(7)).
Compruébelo por línea de producto. Un dispositivo excluido junto a una pasarela o una aplicación que no lo están no saca del ámbito a la pasarela ni a la aplicación.
No es asesoramiento jurídico. Cada respuesta cita su artículo del Reglamento (UE) 2024/2847; lea el artículo antes de actuar. EUR-Lex · Leer la guía del artículo 14
Por qué esta es la pregunta que la mayoría de las empresas no ha respondido
41%
de las empresas que conocen el CRA no han determinado si les aplica.
54%
siguen sin tener clara la diferencia entre un fabricante y un administrador de software de código abierto.
66%
de los encuestados no conocen el Reglamento, un año después de su entrada en vigor.
Fuente: Linux Foundation / OpenSSF, 2026 CRA Awareness and Readiness Report (junio de 2026, 843 encuestados)
¿Dentro del ámbito? Entonces el reloj ya corre.
ExploitClock contrasta sus SBOM con las listas de vulnerabilidades explotadas cada 15 minutos, inicia el reloj de 24 horas cuando usted confirma el conocimiento, redacta la notificación a ENISA en los propios campos de la plataforma y conserva la prueba.