1. Delimitar el producto y el operador responsable
Un consultor CRA debe resolver el alcance del producto, la condición jurídica del operador y la vía de evaluación de conformidad antes de contratar ensayos o redactar una declaración. El resultado útil es una decisión justificada por familia de productos, no una oferta genérica de certificación.
El Reglamento (UE) 2024/2847 ya está en vigor. Desde el 11 de septiembre de 2026 los fabricantes deben notificar vulnerabilidades explotadas activamente e incidentes graves; la mayoría de las demás obligaciones se aplicará desde el 11 de diciembre de 2027. Hay que separar ambas fases.
1. Delimitar el producto y el operador responsable
Determine qué se suministra realmente en el mercado de la UE y por quién. Llamar a algo «plataforma» o «IoT» no resuelve su inclusión en el CRA.
- Inventaríe productos de hardware y software, componentes comercializados por separado, versiones, finalidad, interfaces y procesamiento remoto necesario para su funcionamiento.
- Identifique fabricante, titular de marca, importador y distribuidor; examine desarrollo por contrato y modificaciones sustanciales, sin atribuir toda obligación a la fábrica.
- Compruebe suministro comercial, exclusiones y normas sectoriales de la UE; para código abierto importa la actividad efectiva, no solo la licencia.
2. Matriz de vías: la categoría no equivale al alcance de los ensayos
Compare la función principal con los anexos III (importantes) y IV (críticos), incluidas las descripciones técnicas de la Comisión, antes de elegir conforme al artículo 32.
| Categoría del producto | Vía estratégica de evaluación |
|---|---|
| Categoría general | Se permite el control interno del módulo A; no se exige automáticamente un laboratorio externo. |
| Importante, clase I | El módulo A puede utilizarse si se cumplen íntegramente las condiciones aplicables sobre normas armonizadas, especificaciones comunes o certificación admisible; en caso contrario se requiere B+C o H con organismo notificado, salvo que sea aplicable la excepción específica del artículo 32.5 para software libre y de código abierto. |
| Importante, clase II | Prevea B+C o H con organismo notificado o un sistema cualificado de certificación de ciberseguridad de la UE expresamente aplicable y legalmente disponible; examine además la excepción del artículo 32.5 para software libre y de código abierto. |
| Crítico (anexo IV) | Tome como punto de partida la intervención de un organismo notificado; examine el artículo 32 y las alternativas de certificación legalmente disponibles. |
Excepción para los productos que reúnan las condiciones del software libre y de código abierto: conforme al artículo 32.5, los fabricantes de productos del anexo III pueden utilizar uno de los procedimientos del artículo 32.1, incluido el módulo A, siempre que la documentación técnica del artículo 31 esté a disposición del público cuando el producto se introduzca en el mercado. No es una exención general del CRA.
En clase I, citar un borrador de norma o probar una cláusula no acredita el derecho al módulo A. Documente la categoría exacta, fundamento técnico e hipótesis pendientes.
3. Hechos que pueden cambiar la recomendación
La vía se deduce de la clasificación, no del nombre comercial ni de una marca CE existente.
- Función de seguridad principal: la función de cortafuegos puede importar más que el nombre del aparato; integrar un componente no reclasifica automáticamente el producto final.
- Modelo de entrega: componente vendido solo, firmware integrado, dependencia de la nube, código abierto no comercial y modificación sustancial posterior requieren análisis distintos.
- Estado normativo: distinga normas armonizadas publicadas con cobertura pertinente de borradores, normas voluntarias y pruebas que no cumplen las condiciones legales de la vía.
4. Análisis de brechas: convertir cada carencia en una decisión
Compare los requisitos aplicables del anexo I con controles reales y pruebas utilizables. Un proceso inexistente no es lo mismo que un documento ausente.
| Brecha o activador | Prueba y decisión |
|---|---|
| Clasificación incierta | Aplazar la vía; obtener primero arquitectura, uso previsto y clasificación según los anexos. |
| Riesgo de diseño seguro | Vincular amenazas, ajustes seguros por defecto, control de acceso y ensayos con la evaluación de riesgos del producto. |
| Gestión de vulnerabilidades no demostrada | Verificar responsable de notificaciones, recepción de avisos, divulgación coordinada, correcciones, actualizaciones y justificación del período de soporte. |
| Cadena probatoria débil | Conciliar inventario de componentes/SBOM, datos de proveedores, alcance de pruebas, versiones y expediente técnico; identificar qué rehacer. |
Priorice las brechas que cambian la vía legal o impiden controlar riesgos. Registre por separado carencia, responsable, prueba, decisión e incertidumbre residual.
5. Reutilizar pruebas sin aceptar conclusiones infundadas
Los ensayos de penetración, materiales ISO/IEC 27001, informes de proveedores y expedientes CE pueden ahorrar trabajo, pero no acreditan por sí solos la conformidad CRA.
- Reutilice informes solo para producto/versión, riesgo, exigencia y método equivalentes; identifique cobertura obsoleta y nuevos ensayos.
- Vincule componentes de terceros y dependencias de software con la evaluación del propio fabricante; los certificados de proveedores no transfieren automáticamente su responsabilidad.
- Mantenga coherentes la evaluación de riesgos, el expediente técnico y los procesos de vulnerabilidades con la vía elegida.
6. Ordenar decisiones antes de ejecutar
La asesoría estratégica debe dejar una hoja de ruta verificable, no prometer aprobación automática.
- Crear un registro por producto de alcance, funciones y exclusiones; señalar dudas de clasificación.
- Redactar un informe de vía con anexos, estado de normas y procedimiento, incluida la dependencia de organismos notificados.
- Priorizar brechas del anexo I, documentos y procesos de soporte; asignar equipos y decisiones de reutilización.
- Activar por separado la notificación obligatoria desde el 11 de septiembre de 2026, y planificar después la conformidad hacia el 11 de diciembre de 2027 revisando transiciones y cambios de cada producto.
7. Dónde termina la estrategia y comienza la ejecución
Esta página aborda la elección previa. Implantación, coordinación de ensayos y expediente técnico constituyen otro servicio; el presupuesto exige un estudio independiente de costes. Antes de contratar tareas posteriores, solicite una clasificación razonada y dudas pendientes.
Implantación del cumplimiento CRA · Costes y presupuesto CRA
Fuentes oficiales primarias
Preguntas frecuentes
¿Un backend SaaS orientado a la UE entra automáticamente en el CRA?
No. Determine si el procesamiento remoto integra el producto con elementos digitales y es necesario para sus funciones; un servicio independiente no puede tratarse sin más como hardware. Revise arquitectura y contratos.
¿Puede un producto de clase I someterse siempre a una autoevaluación de conformidad?
No. Compruebe las condiciones del artículo 32.2 sobre normas armonizadas, especificaciones comunes o certificación aplicable. Si no se cumplen, corresponde un procedimiento con organismo notificado, salvo que sea aplicable la excepción específica del artículo 32.5 para software libre y de código abierto.
¿El código abierto excluye al producto terminado?
No. Importan la comercialización del producto y el papel de la organización. Las actividades no comerciales vinculadas al software libre y las entidades que apoyan de forma continuada su desarrollo deben analizarse por separado.
¿Qué ocurre con dispositivos ya vendidos en la UE?
La obligación de notificación de fabricantes rige desde el 11 de septiembre de 2026, también para productos cubiertos ya disponibles. Para 2027, revise primera comercialización, modificaciones sustanciales posteriores y régimen transitorio.
¿Sustituye un ensayo de penetración o certificado ISO la evaluación CRA?
No. Aproveche pruebas pertinentes, pero documente separadamente alcance, riesgos, condiciones de vía, conformidad y obligaciones durante el ciclo de vida.