Cyber Resilience Act: qué cambia para fabricantes en 2026
El Cyber Resilience Act (CRA) establece requisitos europeos de ciberseguridad para productos con elementos digitales. Para los fabricantes, el 11 de septiembre de 2026 es una fecha clave: desde ese día empiezan a aplicarse las obligaciones de notificación de vulnerabilidades explotadas activamente e incidentes graves que afecten a la seguridad de estos productos.
El Reglamento será aplicable con carácter general a partir del 11 de diciembre de 2027. Sin embargo, algunas disposiciones comienzan a aplicarse antes: el capítulo IV, relativo a los organismos de evaluación de la conformidad, es aplicable desde el 11 de junio de 2026 y las obligaciones de información del artículo 14 empiezan a aplicarse el 11 de septiembre de 2026. Por ello, las empresas que desarrollan o comercializan hardware, software, componentes digitales o determinados productos industriales conectados deben revisar ya sus procedimientos internos.
Respuesta rápida: desde el 11 de septiembre de 2026, los fabricantes sujetos al Cyber Resilience Act deben ser capaces de detectar, evaluar y notificar determinadas vulnerabilidades e incidentes dentro de plazos que comienzan en las primeras 24 horas desde que tienen conocimiento del problema.
Qué es el Cyber Resilience Act y por qué importa a la industria
El Cyber Resilience Act es el Reglamento (UE) 2024/2847 sobre requisitos horizontales de ciberseguridad para productos con elementos digitales. Su objetivo es establecer unas reglas comunes para que el hardware y el software comercializados en la Unión Europea incorporen la ciberseguridad durante su diseño, desarrollo, mantenimiento y ciclo de vida.
El CRA utiliza el concepto de producto con elementos digitales. De forma resumida, engloba productos de software o hardware y determinadas soluciones de procesamiento remoto de datos, incluidos componentes que se comercializan por separado.
Para el sector industrial esta regulación es especialmente relevante porque el ámbito del Reglamento puede alcanzar productos conectados utilizados en entornos de fabricación. La síntesis oficial de EUR-Lex incluye entre sus ejemplos los sistemas de control industrial, además de dispositivos IoT, microchips y productos de software.
Esto no significa que cualquier máquina, componente o aplicación industrial esté automáticamente sometida al CRA. El análisis debe hacerse teniendo en cuenta el producto concreto, su funcionalidad, su conectividad, la forma en la que se comercializa y la posible existencia de normativa sectorial específica.
Paso 1: comprobar si el Cyber Resilience Act afecta a tus productos
Antes de preparar procedimientos de notificación, la empresa debe identificar qué productos de su catálogo pueden entrar en el ámbito del CRA. Esta revisión es especialmente importante para fabricantes que desarrollan productos conectados, hardware, software industrial o componentes digitales que se ponen a disposición en el mercado de la Unión Europea.
Como primera aproximación, conviene revisar si la empresa comercializa alguno de estos tipos de productos:
- Hardware que puede conectarse directa o indirectamente a otros dispositivos o redes.
- Software puesto a disposición en el mercado que cumpla las condiciones de aplicación del CRA.
- Componentes de hardware o software comercializados de forma independiente.
- Dispositivos IoT o productos conectados.
- Determinados sistemas de control industrial.
- Productos que dependen de soluciones remotas de procesamiento de datos para realizar alguna de sus funciones.
También hay que comprobar si el producto se encuentra cubierto por legislación europea sectorial que pueda modificar o excluir la aplicación del CRA. Por ello, esta primera clasificación no debería hacerse únicamente atendiendo al nombre comercial del producto.
En el caso del software libre y de código abierto, el CRA prevé un tratamiento específico. La Comisión Europea aclara que, con carácter general, el software libre y de código abierto solo entra en el ámbito del Reglamento cuando se pone a disposición en el mercado en el curso de una actividad comercial. Por tanto, tampoco debe asumirse que cualquier proyecto de software abierto quede automáticamente sujeto a las mismas obligaciones que un producto comercial.
Pregunta clave para un fabricante: ¿comercializamos en la Unión Europea algún producto de hardware o software cuya finalidad prevista o uso razonablemente previsible implique una conexión directa o indirecta con otro dispositivo o una red?
¿Afecta el CRA a productos que ya estaban en el mercado?
Las obligaciones de notificación tienen un alcance especialmente relevante en este punto. La Comisión Europea indica que estas obligaciones se aplican a los productos con elementos digitales que se hayan puesto a disposición en el mercado de la Unión, incluidos productos que ya estuvieran en el mercado antes del 11 de diciembre de 2027.
Esto significa que una empresa no debería limitar su análisis únicamente a los nuevos productos que desarrolle de cara a 2027. También debe revisar qué productos ya comercializados pueden quedar sujetos a las obligaciones de información que empiezan a aplicarse en septiembre de 2026.
Paso 2: identificar qué vulnerabilidades e incidentes deben notificarse
El inicio de las obligaciones de notificación no implica que deba comunicarse cualquier error, fallo técnico o vulnerabilidad detectada en un producto. El artículo 14 del CRA establece dos grandes categorías que los fabricantes deben vigilar.
Vulnerabilidades explotadas activamente
El Reglamento considera vulnerabilidad explotada activamente aquella respecto de la cual existen pruebas fiables de que un actor malintencionado la ha explotado en un sistema sin autorización de su propietario.
Por tanto, la mera existencia de una vulnerabilidad no equivale necesariamente a una vulnerabilidad explotada activamente. La empresa necesita un procedimiento que permita evaluar la información disponible y determinar si existen evidencias suficientes de explotación maliciosa.
Incidentes graves que afectan a la seguridad del producto
El segundo supuesto son los incidentes graves que repercuten en la seguridad del producto con elementos digitales. La valoración debe realizarse conforme a los criterios establecidos por el Reglamento y a la información disponible sobre el impacto del incidente.
En una empresa industrial, esta evaluación puede requerir la colaboración de diferentes áreas: desarrollo de producto, ingeniería, soporte, IT, OT, ciberseguridad, calidad o dirección técnica. Por eso es recomendable definir previamente quién recibe la alerta, quién realiza la evaluación y quién tiene capacidad para activar el procedimiento de notificación.
| Situación | ¿Implica automáticamente una notificación? | Qué debe hacer la empresa |
|---|---|---|
| Se descubre un error de software | No necesariamente | Analizar su naturaleza, impacto y posible relación con una vulnerabilidad. |
| Se identifica una vulnerabilidad | No necesariamente | Evaluar si existen pruebas fiables de explotación activa y aplicar el proceso de gestión de vulnerabilidades. |
| Existen pruebas fiables de explotación maliciosa | Puede activar la obligación de notificación | Verificar que se cumplen los criterios del CRA e iniciar el procedimiento dentro de los plazos aplicables. |
| Se produce un incidente que afecta a la seguridad del producto | Depende de su gravedad | Evaluar si cumple los criterios de incidente grave establecidos en el Reglamento. |
Paso 3: preparar el procedimiento de notificación del CRA
Uno de los aspectos más importantes del Cyber Resilience Act para fabricantes son los plazos. Una organización que espere a que ocurra un incidente para decidir quién debe actuar puede perder un tiempo crítico.
La Comisión Europea resume el procedimiento de notificación con tres hitos principales: una alerta temprana dentro de las primeras 24 horas, una notificación más completa dentro de las 72 horas y un informe final cuyo plazo depende de si se trata de una vulnerabilidad explotada activamente o de un incidente grave.
| Fase | Plazo máximo | Finalidad |
|---|---|---|
| Alerta temprana | 24 horas desde que el fabricante tiene conocimiento | Comunicar inicialmente la vulnerabilidad explotada activamente o el incidente grave. |
| Notificación principal | 72 horas desde que el fabricante tiene conocimiento | Ampliar la información disponible sobre el producto, la vulnerabilidad o el incidente y las medidas adoptadas. |
| Informe final: vulnerabilidad explotada activamente | Como máximo 14 días después de que exista una medida correctora o paliativa | Completar la información sobre la vulnerabilidad y su resolución o mitigación. |
| Informe final: incidente grave | Dentro de un mes desde la notificación de 72 horas | Documentar el incidente y las actuaciones realizadas. |
¿Dónde se notifican las vulnerabilidades e incidentes?
Las notificaciones se realizarán a través de la Single Reporting Platform (SRP) establecida por ENISA. A fecha de 10 de septiembre de 2026, ENISA indica que la plataforma está prevista para estar operativa desde el 11 de septiembre de 2026, coincidiendo con el inicio de las obligaciones de notificación del artículo 14.
Con carácter general, para fabricantes establecidos en la Unión Europea, la notificación se dirige al CSIRT designado del Estado miembro en el que el fabricante tenga su establecimiento principal y, salvo circunstancias excepcionales previstas por el CRA, la información se pone también a disposición de ENISA. Para fabricantes no establecidos en la Unión, el Reglamento establece reglas específicas para determinar el CSIRT correspondiente, entre ellas las vinculadas al representante autorizado.
La preparación no es solo técnica. La empresa necesita saber quién detecta el problema, quién lo clasifica, quién reúne la información, quién autoriza la comunicación y quién realiza la notificación a través de la plataforma.
Qué debería definir internamente un fabricante
- Un punto de entrada para avisos sobre vulnerabilidades e incidentes.
- Responsables de producto capaces de identificar los productos y versiones afectados.
- Un criterio interno para escalar posibles vulnerabilidades explotadas activamente.
- Un procedimiento para evaluar la gravedad de los incidentes.
- Responsables de recopilar evidencias e información técnica.
- Una persona o equipo autorizado para realizar la notificación.
- Un sistema para documentar fechas, decisiones y medidas correctoras o paliativas.
Paso 4: prepararse para la aplicación general del CRA en 2027
El 11 de septiembre de 2026 no empieza a aplicarse todo el Cyber Resilience Act. Las obligaciones de notificación son uno de los primeros hitos prácticos del calendario, junto con las disposiciones del capítulo IV aplicables desde el 11 de junio de 2026. El Reglamento será aplicable con carácter general a partir del 11 de diciembre de 2027.
De cara a esa fecha, el Reglamento introduce obligaciones más amplias relacionadas con la ciberseguridad de los productos con elementos digitales, la gestión de vulnerabilidades, la documentación técnica y los procedimientos de evaluación de conformidad.
Para los fabricantes industriales, anticiparse puede ser especialmente importante cuando los productos tienen ciclos largos de diseño, fabricación, validación y comercialización. Esperar a finales de 2027 para revisar el catálogo, los procesos de desarrollo o la documentación puede dificultar la adaptación.
Aspectos que conviene empezar a revisar
- Qué productos de la empresa se encuentran dentro del ámbito del CRA.
- Cómo se evalúan los riesgos de ciberseguridad durante el desarrollo del producto.
- Cómo se gestionan y corrigen vulnerabilidades durante el periodo de soporte.
- Qué documentación técnica deberá mantenerse.
- Qué procedimiento de evaluación de conformidad puede corresponder a cada producto.
- Cómo se facilitan actualizaciones y medidas correctoras a los usuarios.
- Cómo se coordinan desarrollo, producto, calidad, IT/OT y ciberseguridad.
El CRA refuerza así una idea que afecta directamente a la industria conectada: la ciberseguridad no debe limitarse a proteger la red interna de la fábrica. También debe incorporarse al diseño, mantenimiento y ciclo de vida de los productos digitales que se comercializan.
Caso práctico: cómo actuar ante una vulnerabilidad explotada activamente
Ejemplo hipotético en un producto industrial conectado
Imaginemos un fabricante que comercializa en la Unión Europea un dispositivo de control industrial conectado. El equipo técnico recibe información fiable de que una vulnerabilidad presente en una versión concreta del producto está siendo explotada por un actor malintencionado en sistemas de usuarios.
La empresa analiza la información disponible y determina que el supuesto cumple los criterios aplicables a una vulnerabilidad explotada activamente. Desde el momento en el que el fabricante tiene conocimiento empieza a ser crítico el control de los plazos.
- Dentro de las primeras 24 horas: realizar la alerta temprana correspondiente a través de la plataforma de notificación.
- Dentro de las primeras 72 horas: ampliar la comunicación con la información disponible exigida por el CRA, salvo que ya se haya facilitado.
- Durante la investigación: identificar productos y versiones afectados, analizar la explotación y preparar medidas correctoras o paliativas.
- Cuando exista una medida correctora o paliativa: facilitar la información necesaria y gestionar su aplicación.
- Informe final: presentarlo como máximo 14 días después de que la medida correctora o paliativa esté disponible.
Este ejemplo es únicamente ilustrativo. La obligación concreta siempre debe analizarse según los hechos, el producto afectado y los criterios establecidos en el Reglamento.
La lección práctica: los plazos comienzan a contar desde que el fabricante tiene conocimiento del supuesto notificable. Por eso, detectar un problema rápidamente no es suficiente: también hay que disponer de un proceso interno capaz de evaluarlo y escalarlo.
Preguntas frecuentes sobre el Cyber Resilience Act
¿Cuándo entra en aplicación el Cyber Resilience Act?
El CRA entró en vigor el 10 de diciembre de 2024. El capítulo IV es aplicable desde el 11 de junio de 2026, las obligaciones de notificación del artículo 14 empiezan a aplicarse el 11 de septiembre de 2026 y el Reglamento será aplicable con carácter general a partir del 11 de diciembre de 2027.
¿Qué cambia el 11 de septiembre de 2026?
Desde esa fecha los fabricantes sujetos al Reglamento deben notificar las vulnerabilidades explotadas activamente y los incidentes graves que repercutan en la seguridad de sus productos con elementos digitales, siguiendo el procedimiento y los plazos previstos en el CRA.
¿El Cyber Resilience Act afecta a fabricantes de maquinaria?
Puede afectar a determinados productos industriales con elementos digitales, pero no debe asumirse que cualquier máquina esté automáticamente incluida. El ámbito debe analizarse para cada producto y teniendo en cuenta también la normativa sectorial aplicable. La documentación oficial del CRA incluye los sistemas de control industrial entre los ejemplos de hardware que puede quedar cubierto.
¿Cuánto tiempo hay para notificar una vulnerabilidad explotada activamente?
El fabricante debe realizar una alerta temprana, sin demora indebida y como máximo dentro de las primeras 24 horas desde que tiene conocimiento. Posteriormente debe completar la notificación dentro de las 72 horas, salvo que la información correspondiente ya se haya aportado.
¿Dónde se realizan las notificaciones del CRA?
Las notificaciones se gestionan mediante la CRA Single Reporting Platform, establecida y mantenida por ENISA para centralizar este proceso. Según la información publicada por ENISA a 10 de septiembre de 2026, la plataforma está prevista para estar disponible desde el 11 de septiembre de 2026.
¿Las obligaciones de septiembre de 2026 afectan a productos comercializados anteriormente?
Sí, en lo que respecta a las obligaciones de notificación. La Comisión Europea indica que estas se aplican a todos los productos con elementos digitales que hayan sido puestos a disposición en el mercado de la Unión, incluidos aquellos que ya se encontraban en el mercado antes del 11 de diciembre de 2027.
Qué debería hacer ahora una empresa industrial
El inicio de las obligaciones de notificación convierte septiembre de 2026 en un buen momento para pasar de una revisión teórica del Cyber Resilience Act a una preparación operativa.
Una empresa industrial que comercialice productos con elementos digitales debería empezar por cuatro acciones:
- Identificar los productos potencialmente afectados y documentar por qué están o no dentro del ámbito del Reglamento.
- Definir un flujo interno de gestión de vulnerabilidades e incidentes que permita reaccionar en plazos de 24 y 72 horas cuando corresponda.
- Asignar responsabilidades claras entre producto, ingeniería, IT/OT, ciberseguridad, calidad y dirección.
- Preparar la transición hacia diciembre de 2027, revisando progresivamente requisitos de producto, gestión de vulnerabilidades, documentación y evaluación de conformidad.
El CRA no sustituye las medidas tradicionales de ciberseguridad industrial. Las complementa desde otra perspectiva: no solo importa proteger la planta y sus redes, sino también garantizar que los productos digitales que se ponen en el mercado se desarrollen y mantengan con requisitos de ciberseguridad adecuados.
Si quieres revisar primero la seguridad de tus entornos industriales, consulta también nuestro checklist de ciberseguridad industrial 2026, centrado en redes OT, PLC, SCADA, CNC, accesos, copias de seguridad y respuesta ante incidentes.
Refuerza la ciberseguridad de tu empresa
Consulta nuestro checklist de ciberseguridad industrial 2026 y revisa medidas prácticas para proteger maquinaria, redes OT y sistemas industriales.