Saltar al contenido
EU Rules Finder
Español (Idioma)

Kit documental CRA: documentación técnica, evaluación de riesgos y declaraciones en archivos Word

A partir del 11 de diciembre de 2027, todo producto con elementos digitales vendido en la UE necesita documentación técnica, una evaluación de riesgos de ciberseguridad y una declaración UE de conformidad; las obligaciones de notificación del artículo 14 ya se aplican. Escriba una vez su empresa y sus productos; el kit redacta los documentos que enumera el Reglamento de Ciberresiliencia, en archivos Word que puede editar y conservar.

Comprobado con las fuentes el 16 de octubre de 2026

Fabricante (su empresa)
Representante autorizado en la UE (opcional)

Solo si lo ha designado mediante mandato escrito (artículo 18). Si no, déjelo vacío.

Gestión de vulnerabilidades
Una dirección de correo o un formulario web: su punto único de contacto (artículo 13, apartado 17). También va en security.txt.
Una página web, por ejemplo https://example.com/security.
Por ejemplo: firmware firmado por HTTPS, automático por defecto, aviso a los usuarios en la app.

Productos

Producto 1
Tal como figura en el producto, por ejemplo R-200.
Tal como figura en el producto o su embalaje, para poder identificarlo.
Versiones del firmware o de la app que cubren estos documentos.
Para qué sirve y quién lo usa, por ejemplo una cámara wifi para hogares.
Lo que debe seguir haciendo y cómo se protege a sí mismo y sus datos, por ejemplo transmisión de vídeo, almacenamiento cifrado, actualizaciones firmadas.
Entorno operativo, red, datos y funciones que un atacante podría buscar.
Incluido el uso indebido razonablemente previsible.
Por ejemplo: 7 años.
Al menos cinco años, o el tiempo de utilización previsto si es menor (artículo 13, apartado 8).
Por ejemplo: cuánto tiempo pueden esperar usarlo los usuarios y la vida útil prevista del hardware.

¿No está seguro? El verificador de clase gratuito de la página del Reglamento de Ciberresiliencia se lo dice.

Déjelo vacío si no hay; el archivo dirá TO COMPLETE.
Quién ensayó, número del informe, fecha.
Nombre y número del organismo y el certificado, si intervino.
Por ejemplo la Directiva 2014/53/UE sobre equipos radioeléctricos.
La declaración simplificada indica esta dirección (anexo VI).
Una página web con la información y las instrucciones para los usuarios, si las publica en línea.
Solo si decide ponerla a su disposición.
Requisitos esenciales (anexo I, parte I)

Para cada requisito: ¿se aplica a este producto y cómo lo ha aplicado, o por qué no se aplica? Los que queden sin respuesta se marcan TO COMPLETE. Los documentos citan los requisitos completos.

Idiomas de la declaración UE de conformidad (sus países de venta)

Nada de lo que escriba se envía a ninguna parte. Los datos de su empresa se quedan en este navegador para la próxima vez.

Qué contienen los archivos

  • la documentación técnica de cada producto, punto por punto según el anexo VII;
  • la evaluación de riesgos de ciberseguridad del artículo 13, con cada requisito esencial del anexo I, parte I, citado completo y su respuesta al lado: se aplica y cómo, o no se aplica y por qué;
  • la declaración UE de conformidad (anexo V) y la declaración simplificada (anexo VI) en cada idioma elegido, con el texto publicado en el Diario Oficial en ese idioma;
  • la información e instrucciones para el usuario que pide el anexo II, con el fin del período de soporte como mes y año;
  • para la empresa: una política de divulgación coordinada de vulnerabilidades, un procedimiento de gestión de vulnerabilidades según el anexo I, parte II, el procedimiento de notificación del artículo 14 con sus plazos, un registro de vulnerabilidades y un archivo security.txt para su sitio web.

Qué no hace el kit

No decide nada por usted. La categoría de su producto y el procedimiento de evaluación de la conformidad los elige usted; el kit solo ofrece los procedimientos que el artículo 32 permite para la categoría elegida. Lo que deje vacío queda marcado TO COMPLETE. El kit nunca escribe que se cumple un requisito, que se superó un ensayo o que se aplicó una norma: eso lo demuestra su evaluación de la conformidad y, para los productos importantes y críticos, un organismo notificado.

Si el Reglamento cubre su producto y en qué categoría está: la comprobación gratuita de la página del Reglamento de Ciberresiliencia. Notificar una vulnerabilidad aprovechada o un incidente grave: el registro de notificaciones CRA gratuito.

Nada de lo que escribe sale de su navegador; los archivos se crean en su dispositivo. Plantillas, no asesoramiento jurídico. Las declaraciones citan el Diario Oficial; todo lo que escribe queda tal cual y no se traduce.

Fuentes