Coste de cumplimiento del CRA: preparar un presupuesto realista
Coste de cumplimiento del CRA: preparar un presupuesto realista
No existe un precio único del Reglamento de Ciberresiliencia de la UE (CRA) ni una tasa obligatoria de certificación para todos los productos. Separe los trabajos específicos del producto, la vía de evaluación y la seguridad posterior a su comercialización. El marcado CE no es un certificado CRA que se compra.
¿Existe una tasa oficial del CRA?
El Reglamento (UE) 2024/2847 no fija una tarifa uniforme europea para el control interno del fabricante ni para colocar el marcado CE. El control interno no exige automáticamente pagar a un organismo notificado. Cuando proceda una evaluación de terceros, solicite una oferta para su alcance exacto; ensayos y asesoramiento son servicios distintos. No se presenta una cifra universal en euros porque no está acreditada.
Las notificaciones del artículo 14 se aplican desde el 11 de septiembre de 2026, también a productos comercializados anteriormente en la UE. La mayoría de las demás obligaciones se aplican desde el 11 de diciembre de 2027. El presupuesto de 2026 debe cubrir ya la capacidad de notificar.
La clasificación del producto determina la vía y el gasto
Con arreglo al artículo 32, compruebe la función principal en los anexos III y IV y las descripciones técnicas oficiales. Esta tabla ayuda a presupuestar, pero no sustituye a una clasificación formal.
| Tipo de producto | Posible vía de conformidad | Efecto sobre el coste |
|---|---|---|
| Productos ordinarios | Generalmente cabe el control interno del fabricante (módulo A). | Evaluación de riesgos, pruebas documentales y expediente técnico; los ensayos externos no son siempre obligatorios. |
| Productos importantes de clase I | Control interno solo usando normas armonizadas aplicables, especificaciones comunes o sistema de certificación de ciberseguridad de la UE admisible; en otro caso, organismo notificado. Revisar excepción del software libre. | Valore dos alternativas hasta confirmar condiciones: autoevaluación documentada y examen externo. |
| Productos importantes de clase II / productos críticos | Organismo notificado o, cuando sea legalmente disponible y aplicable, sistema de certificación de ciberseguridad de la UE reconocido. Revisar excepción para ciertos productos importantes de código abierto. | Cotizar alcance, módulo, versiones y repetición de ensayos; una declaración propia puede no bastar. |
Desglose de costes para solicitar ofertas
Distinga inversión inicial y gastos durante la vida del producto; asigne responsable, unidades y justificación.
| Concepto | Factor determinante | Solicitar |
|---|---|---|
| Clasificación y brechas | Uso previsto, funciones de seguridad, componentes y controles existentes. | Alcance, ruta legal e hipótesis por escrito. |
| Correcciones y documentación | Diseño seguro, riesgos, vulnerabilidades, proveedores e instrucciones. | Paquetes de trabajo, jornadas y criterios de aceptación. |
| Pruebas y repeticiones | Interfaces, amenazas, entorno, muestras, versiones de firmware y software. | Plan, cantidad de muestras, subsanación y precio de repetición. |
| Evaluación externa | Solo si la vía lo exige o se elige; módulos B+C y H difieren. | Notificación CRA del organismo, entregables, vigilancia y cambios. |
| Producción y versiones | Centros, contratistas, variantes y controles de lanzamiento. | Auditorías de planta justificadas; no hay auditoría universal de fábrica. |
| Ciberseguridad tras la introducción en el mercado y funciones en la UE | Periodo de soporte, supervisión, parches, avisos y servicios reales de representante/importador. | Presupuesto anual y responsabilidades contractuales. |
Tres escenarios presupuestarios, no precios garantizados
- Un único producto de software ordinario con procesos de seguridad consolidados — Puede requerir menos evaluación externa; predominan subsanación, evidencias y procesos de aviso y actualización.
- Clase I con normas de cobertura incierta — Comparar autoevaluación admisible y examen notificado si faltan condiciones. Verificar normas antes de cerrar precio.
- Familia de dispositivos conectados de clase II con actualizaciones frecuentes del firmware — Presupuestar evaluación externa o régimen admisible, muestras representativas y precio de modificaciones y nuevas pruebas; justificar evidencias comunes.
Datos necesarios para un presupuesto fiable
Sin estos datos, una cifra es solo una estimación condicionada.
- Fabricante, marca, canal de suministro UE, importador/representante en su caso y responsabilidades.
- Descripción, uso previsto, funciones, conectividad, entorno y mercados afectados.
- Clasificación CRA razonada; normas, especificaciones o certificación con aplicabilidad contrastada.
- Versiones, variantes, proveedores, lista de componentes de software (SBOM) y dependencias externas/remotas.
- Análisis de riesgos, ensayos, respuesta a incidentes, vulnerabilidades, actualizaciones y expediente disponibles.
- Plazo de soporte, calendario de versiones, posibles modificaciones sustanciales, muestras y personal interno.
Orden de trabajo para evitar costes repetidos
- Definir el producto y las dudas de alcance/clase CRA; no comprar certificación por adelantado.
- Validar la vía legal, normas y regímenes vigentes; comprobar facultades del organismo para ese alcance.
- Reutilizar evidencias técnicas fiables y presupuestar solo las brechas constatadas.
- Acordar por escrito requisitos previos, versiones, muestras, nuevas pruebas, cambios y exclusiones.
- Separar gastos recurrentes de vigilancia, parches, soporte y notificación del artículo 14.
Cómo comparar ofertas y costes recurrentes
Solicite partidas separadas para resultados fijos, extras, horas internas, desplazamientos y visitas justificadas, repeticiones, posible vigilancia, impuestos y soporte. «Certificado CRA por X euros» sin clase ni alcance no es una oferta comparable.
Para la ejecución, consulte los servicios de cumplimiento del CRA; para la clasificación y la estrategia, el asesoramiento sobre clasificación conforme al CRA; y para otros regímenes, los costes del marcado CE. Son cuestiones diferentes.
Fuentes oficiales
- Reglamento (UE) 2024/2847: artículos 32 y 71, anexos
- Comisión: resumen CRA y evaluación de conformidad
- Comisión: obligaciones de notificación
Preguntas frecuentes sobre costes del CRA
¿Se paga una tasa fija por el marcado CE o la declaración CRA?
El CRA no establece una tasa general por colocar el marcado CE ni por redactar la declaración UE de conformidad. El trabajo interno genera costes, y el organismo notificado puede cobrar por su evaluación si interviene.
¿Todo producto de clase I necesita laboratorio externo?
No. Compruebe los requisitos del control interno y las pruebas necesarias. Los ensayos independientes pueden ser convenientes sin ser obligatorios.
¿Una evaluación sirve para toda una familia?
Solo en la medida en que lo justifiquen el procedimiento elegido, la arquitectura común documentada, las diferencias y el alcance aceptado por el organismo evaluador, cuando intervenga. Presupueste variantes, cambios de firmware y posibles nuevos ensayos.
¿Todo fabricante extracomunitario necesita representante de pago?
No debe presumirse. El representante autorizado CRA puede designarse mediante mandato escrito; examine aparte las obligaciones del importador y demás operadores.
¿Por qué presupuestar notificaciones antes de diciembre de 2027?
Las obligaciones del artículo 14 se aplican desde el 11 de septiembre de 2026; la mayoría de las restantes, desde el 11 de diciembre de 2027.