Saltar al contenido
EU Rules Finder
Español (Idioma)

Checklist del Cyber Resilience Act: su puntuación de preparación para el CRA

El Reglamento de Ciberresiliencia (Cyber Resilience Act) impone al fabricante de un producto con elementos digitales una serie de obligaciones: notificaciones, requisitos de seguridad del producto, gestión de las vulnerabilidades y documentos. Responda a cada una para su producto y vea en qué punto está y qué queda pendiente, con el artículo de cada punto.

Comprobado con las fuentes el 17 de octubre de 2026

Su preparación para el CRA

Responda a cada fila para un producto. La puntuación solo cuenta sus respuestas; no se comprueba, envía ni guarda nada.

Obligaciones de notificación (artículo 14): desde el 11 de septiembre de 2026, también para productos que ya están en el mercado
Requisitos del producto (anexo I, parte I): desde el 11 de diciembre de 2027

«No se aplica» solo si su evaluación de los riesgos de ciberseguridad así lo muestra, con la justificación en la documentación técnica (artículo 13, apartado 4).

Gestión de las vulnerabilidades (anexo I, parte II): desde el 11 de diciembre de 2027
Obligaciones de los fabricantes (artículo 13): desde el 11 de diciembre de 2027

Preparación: 0 %

Hecho: 0 de 38 filas aplicables

Sin respuesta: 38 (contadas como no hechas)

Por ámbito

  • Notificación0%
  • Requisitos del producto0%
  • Gestión de las vulnerabilidades0%
  • Obligaciones de los fabricantes0%

Puntos pendientes

  • Vulnerabilidades aprovechadas activamente: alerta temprana en 24 horas, notificación en 72 horas, informe final a más tardar 14 días después de que haya una corrección disponible, a través de la plataforma única de notificación (Article 14(1), (2); Sin respuesta) Registro de notificaciones CRA
  • Incidentes graves que repercuten en la seguridad del producto: alerta temprana en 24 horas, notificación en 72 horas, informe final en el plazo de un mes desde la notificación (Article 14(3) to (5); Sin respuesta) Registro de notificaciones CRA
  • Sabe qué CSIRT designado como coordinador recibe sus notificaciones: el del Estado miembro de su establecimiento principal en la UE o, si no lo tiene, según el orden del artículo 14, apartado 7 (Article 14(7); Sin respuesta) Registro de notificaciones CRA
  • Se informa a los usuarios afectados, y cuando proceda a todos los usuarios, de la vulnerabilidad o del incidente y de las medidas que pueden tomar (Article 14(8); Sin respuesta) Registro de notificaciones CRA
  • Ciberseguridad adecuada a los riesgos (Annex I, Part I(1); Sin respuesta)
  • Sin vulnerabilidades aprovechables conocidas (Annex I, Part I(2)(a); Sin respuesta)
  • Seguro por defecto, con restablecimiento (Annex I, Part I(2)(b); Sin respuesta)
  • Actualizaciones de seguridad, automáticas por defecto (Annex I, Part I(2)(c); Sin respuesta)
  • Protección frente al acceso no autorizado (Annex I, Part I(2)(d); Sin respuesta)
  • Confidencialidad de los datos (Annex I, Part I(2)(e); Sin respuesta)
  • Integridad de datos, órdenes y configuración (Annex I, Part I(2)(f); Sin respuesta)
  • Minimización de datos (Annex I, Part I(2)(g); Sin respuesta)
  • Disponibilidad de las funciones esenciales (Annex I, Part I(2)(h); Sin respuesta)
  • Impacto limitado en otros dispositivos y redes (Annex I, Part I(2)(i); Sin respuesta)
  • Superficies de ataque limitadas (Annex I, Part I(2)(j); Sin respuesta)
  • Mitigación de la explotación (Annex I, Part I(2)(k); Sin respuesta)
  • Registro y supervisión de seguridad, con exclusión voluntaria (Annex I, Part I(2)(l); Sin respuesta)
  • Eliminación segura de todos los datos y ajustes (Annex I, Part I(2)(m); Sin respuesta)
  • Vulnerabilidades y componentes identificados y documentados, con una nomenclatura de materiales de los programas informáticos que cubra al menos las dependencias de máximo nivel (Annex I, Part II(1); Sin respuesta) Generador de SBOM
  • Vulnerabilidades abordadas y subsanadas sin demora, con actualizaciones de seguridad, separadas de las de funcionalidad cuando sea técnicamente viable (Annex I, Part II(2); Sin respuesta)
  • Pruebas y revisiones eficaces y periódicas de la seguridad del producto (Annex I, Part II(3); Sin respuesta)
  • Vulnerabilidades corregidas divulgadas públicamente una vez disponible la actualización de seguridad (Annex I, Part II(4); Sin respuesta)
  • Una política de divulgación coordinada de vulnerabilidades, puesta en marcha y aplicada (Annex I, Part II(5); Sin respuesta)
  • Una dirección de contacto para notificar vulnerabilidades y medidas para compartir información sobre ellas, también en componentes de terceros (Annex I, Part II(6); Sin respuesta)
  • Actualizaciones distribuidas de forma segura, y automática cuando proceda para las de seguridad (Annex I, Part II(7); Sin respuesta)
  • Actualizaciones de seguridad difundidas sin demora y de forma gratuita (salvo acuerdo distinto con un usuario profesional para un producto a medida), con mensajes de aviso (Annex I, Part II(8); Sin respuesta)
  • Evaluación de los riesgos de ciberseguridad realizada, documentada, actualizada durante el período de soporte e incluida en la documentación técnica (Article 13(2) to (4); Sin respuesta) Kit documental CRA (de pago)
  • Diligencia debida con los componentes de terceros y de código abierto; las vulnerabilidades halladas en ellos se comunican a la persona o entidad que fabrica o mantiene el componente (Article 13(5), (6); Sin respuesta)
  • Período de soporte fijado según el tiempo que se espera que el producto esté en uso: al menos cinco años, salvo que se espere un uso más corto (Article 13(8); Sin respuesta)
  • Cada actualización de seguridad sigue disponible al menos 10 años después de su publicación, o durante el resto del período de soporte si es más largo (Article 13(9); Sin respuesta)
  • Fin del período de soporte, al menos mes y año, indicado con claridad en el momento de la compra (Article 13(19); Sin respuesta)
  • Número de tipo, lote o serie en el producto, o en el embalaje o un documento adjunto si no es posible (Article 13(15); Sin respuesta)
  • Nombre, dirección postal y correo electrónico u otros datos de contacto digitales en el producto, el embalaje o un documento adjunto, y un punto de contacto único para los usuarios (Article 13(16), (17); Sin respuesta)
  • Información e instrucciones para el usuario (anexo II) entregadas con el producto y disponibles al menos 10 años, o durante el período de soporte si es más largo (Article 13(18), Annex II; Sin respuesta) Kit documental CRA (de pago)
  • Documentación técnica (anexo VII) elaborada antes de introducir el producto en el mercado (Article 13(12), Article 31, Annex VII; Sin respuesta) Kit documental CRA (de pago)
  • Procedimiento de evaluación de la conformidad elegido y realizado (artículo 32); los productos importantes y críticos tienen menos vías (Article 13(12), Article 32; Sin respuesta) Comprobación de la clase CRA
  • Declaración UE de conformidad elaborada y marcado CE colocado; una copia o la declaración simplificada se entrega con el producto (Article 13(12), (20), Articles 28 and 30; Sin respuesta) Kit documental CRA (de pago)
  • Documentación técnica y declaración conservadas al menos 10 años después de la introducción en el mercado, o durante el período de soporte si es más largo (Article 13(13); Sin respuesta)

Sus propias respuestas, no una evaluación: la puntuación no demuestra que el producto cumpla el Reglamento.

Qué cubre la comprobación

  • Las obligaciones de notificación (artículo 14): vulnerabilidades aprovechadas activamente e incidentes graves, al CSIRT designado como coordinador y a la ENISA a través de la plataforma única de notificación, e información a los usuarios.
  • Los requisitos esenciales de ciberseguridad del producto (anexo I, parte I): un requisito general y trece específicos.
  • Los requisitos de gestión de las vulnerabilidades (anexo I, parte II): ocho puntos, entre ellos la nomenclatura de materiales de los programas informáticos.
  • Las demás obligaciones de los fabricantes (artículo 13): evaluación de riesgos, componentes, período de soporte, actualizaciones, marcados, información para el usuario, documentación técnica, evaluación de la conformidad, declaración y marcado CE, conservación de los documentos.

Fechas

  • El artículo 14 (notificaciones) se aplica desde el 11 de septiembre de 2026, también a los productos introducidos en el mercado antes del 11 de diciembre de 2027 (artículo 69, apartado 3, y artículo 71, apartado 2).
  • El resto del Reglamento se aplica desde el 11 de diciembre de 2027. Un producto introducido en el mercado antes de esa fecha solo queda sujeto si, a partir de ella, es objeto de una modificación sustancial (artículo 69, apartado 2).

Cómo se calcula la puntuación

Solo cuentan las filas con la respuesta «Hecho». «Hecho en parte», «Sin empezar» y las filas sin respuesta cuentan como pendientes, de modo que la puntuación nunca muestra más de lo que usted ha respondido. «No se aplica» quita una fila del total; solo existe para los requisitos específicos del anexo I, parte I, punto 2, que se aplican sobre la base de la evaluación de los riesgos de ciberseguridad y cuando proceda, y la documentación técnica debe justificarlo (artículo 13, apartado 4). El porcentaje se redondea a la baja.

Qué no hace la comprobación

No prueba ni evalúa su producto: la puntuación cuenta sus propias respuestas, y una puntuación alta no demuestra que el producto cumpla el Reglamento. Cubre solo a los fabricantes, no a los importadores (artículo 19), los distribuidores (artículo 20) ni los administradores de comunidad de programas informáticos de código abierto (artículo 24). Para la clase de su producto y su procedimiento de evaluación de la conformidad, use la comprobación CRA; para los plazos de notificación, el registro de notificaciones CRA; para la nomenclatura de materiales, el generador de SBOM.

Sus respuestas no salen de su navegador ni se guardan: al recargar la página se borran. Copie o imprima el resultado para conservarlo.

Fuentes