Qué exige el Cyber Resilience Act
El CRA cubre los productos con elementos digitales cuyo uso previsto incluye una conexión, directa o indirecta, a un dispositivo o a una red. El fabricante debe, entre otras cosas:
- diseñar el producto con un nivel de ciberseguridad adecuado a los riesgos, sin vulnerabilidades explotables conocidas en el momento de la venta;
- ofrecer configuraciones seguras por defecto y actualizaciones de seguridad durante el periodo de soporte;
- gestionar las vulnerabilidades durante todo ese periodo y documentar los componentes de software;
- notificar las vulnerabilidades activamente explotadas y los incidentes graves.
Las fechas que hay que anotar
- 11 de septiembre de 2026: se aplican las obligaciones de notificar vulnerabilidades activamente explotadas e incidentes graves.
- 20 de enero de 2027: se aplica el Reglamento de Máquinas, con sus requisitos sobre protección contra la corrupción y sistemas de mando.
- 11 de diciembre de 2027: se aplican todas las demás obligaciones del CRA.
Las notificaciones tienen plazos cortos, de horas y días: conviene tener un proceso listo antes de necesitarlo.
El CRA y el Reglamento de Máquinas
El Reglamento de Máquinas tiene requisitos propios sobre la protección contra la corrupción y los sistemas de mando relacionados con la seguridad: un ataque o un software manipulado no deben provocar situaciones peligrosas. El CRA mira en cambio la ciberseguridad del producto en general, durante toda su vida. Las dos normas pueden aplicarse a la misma máquina.
Si compras componentes con elementos digitales, como PLC o routers industriales, sus fabricantes tienen obligaciones propias. Lo que necesita la máquina que tú introduces debe valorarse con tu consultor.
Qué hacer en la práctica
- Haz el inventario del software y el firmware montados, por modelo y por número de serie.
- Decide el periodo de soporte y cómo distribuir las actualizaciones de seguridad.
- Prepara un canal para recibir avisos de vulnerabilidades y un proceso para notificarlas a tiempo.
En TARGA cada número de serie tiene el historial de versiones de software, con fecha y notas de versión, útil tanto para el CRA como para las modificaciones sustanciales.
Preguntas frecuentes
¿El Cyber Resilience Act ya se aplica?
Las obligaciones de notificar vulnerabilidades activamente explotadas e incidentes graves se aplican desde el 11 de septiembre de 2026. Las demás obligaciones se aplican desde el 11 de diciembre de 2027.
¿Una máquina sin conexión a internet entra en el CRA?
El CRA cubre los productos cuyo uso previsto incluye una conexión directa o indirecta a un dispositivo o a una red, no solo a internet. Un puerto de servicio o una red de fábrica pueden bastar. Debe valorarse caso por caso.
Si uso PLC que ya cumplen el CRA, ¿estoy cubierto?
No necesariamente. El fabricante del PLC responde del PLC; quien introduce la máquina en el mercado debe valorar la máquina en su conjunto, incluidos el software, las redes y los accesos remotos que añade.