Reglamento (UE) 2024/2847
El CRA en una página
Calendario, categorías y vías de evaluación, notificación del artículo 14 y sanciones del Cyber Resilience Act, con la estructura que aplica CRA App para clasificar cada producto.
Calendario
| Fecha | Qué se aplica |
|---|---|
| 10/12/2024 | Entrada en vigor del Reglamento (UE) 2024/2847 |
| 11/06/2026 | Disposiciones sobre organismos notificados (capítulo IV) |
| 11/09/2026 | Notificación de vulnerabilidades explotadas activamente e incidentes graves (artículo 14) a través de la plataforma única de notificación de ENISA (artículo 16) |
| 11/12/2027 | Aplicación completa: requisitos esenciales, evaluación de la conformidad, declaración UE y marcado CE |
Categorías y vías de evaluación
| Categoría | Ejemplos de la norma | Vía |
|---|---|---|
| Por defecto | La mayoría de productos con elementos digitales | Módulo A (control interno) u otra vía a elección del fabricante |
| Importante, clase I (Anexo III) | Gestores de identidades, navegadores, gestores de contraseñas, VPN, gestión de red, sistemas operativos, routers y módems, microcontroladores con funciones de seguridad | Módulo A si se aplican en su totalidad normas armonizadas, especificaciones comunes o certificación europea (nivel sustancial o superior); si no, B+C o H |
| Importante, clase II (Anexo III) | Hipervisores, cortafuegos, sistemas de detección y prevención de intrusiones, microprocesadores y microcontroladores resistentes a manipulación | B+C o H con organismo notificado, o certificación europea (nivel sustancial o superior) |
| Crítico (Anexo IV) | Dispositivos de hardware con cajas de seguridad, pasarelas de contadores inteligentes, tarjetas inteligentes | Certificación europea cuando se exija; si no, como clase II |
La descripción técnica de cada categoría está en el Reglamento de Ejecución (UE) 2025/2392.
Notificación (artículo 14)
| Plazo | Vulnerabilidad explotada activamente | Incidente grave |
|---|---|---|
| 24 horas | Alerta temprana | Alerta temprana |
| 72 horas | Notificación | Notificación con evaluación inicial |
| Informe final | En un plazo de 14 días desde que se dispone de una medida correctora o de mitigación | En el plazo de un mes desde la notificación |
La notificación se presenta a través de la plataforma única de ENISA y se dirige al CSIRT coordinador del Estado miembro en el que el fabricante tiene su establecimiento principal.
Sanciones (artículo 64)
| Incumplimiento | Máximo |
|---|---|
| Requisitos esenciales del Anexo I y obligaciones de los artículos 13 y 14 | 15 M€ o 2,5% de la facturación mundial anual, la cifra mayor |
| Otras obligaciones de fabricantes, importadores, distribuidores y organismos | 10 M€ o 2%, la cifra mayor |
| Información incorrecta, incompleta o engañosa a organismos o autoridades | 5 M€ o 1%, la cifra mayor |
No se imponen multas a microempresas ni a pequeñas empresas por incumplir el plazo de alerta temprana de 24 horas, ni a los administradores de software de código abierto (artículo 64.10).
Fuentes
- Reglamento (UE) 2024/2847 (Cyber Resilience Act), EUR-Lex
- Reglamento de Ejecución (UE) 2025/2392, EUR-Lex
- Reglamento (UE) 2023/1230 de Máquinas, EUR-Lex
- Directiva (UE) 2022/2555 (NIS2), EUR-Lex
- Comisión Europea: Cyber Resilience Act
- ENISA, Agencia de la Unión Europea para la Ciberseguridad
Consultadas el 06/11/2026.
Esta página resume el reglamento con carácter orientativo para la clasificación. No constituye asesoramiento jurídico ni certificación. La conformidad la declara el fabricante y, cuando el CRA lo exige, interviene un organismo notificado.