La ley de ciberresiliencia fija requisitos de seguridad para los productos digitales comercializados en la Unión Europea. Conocida como Cyber Resilience Act (CRA), exige proteger dispositivos y programas desde su diseño y corregir vulnerabilidades posteriores. Entró en vigor en 2024, pero se aplica por etapas: algunas notificaciones ya son obligatorias y los requisitos principales llegarán en diciembre de 2027. Esta guía explica obligaciones y plazos.
La Ley de Ciberresiliencia obliga a los fabricantes de productos digitales a incorporar seguridad desde el diseño, gestionar vulnerabilidades y proporcionar actualizaciones. También establece responsabilidades para importadores y distribuidores. La notificación de vulnerabilidades explotadas e incidentes graves es obligatoria desde septiembre de 2026, mientras que su aplicación general comienza en diciembre de 2027.
¿Qué es la Ley de Ciberresiliencia (CRA)?
La Ley de Ciberresiliencia, conocida también como Cyber Resilience Act (CRA), es el Reglamento (UE) 2024/2847, que establece un marco común de ciberseguridad para los productos con elementos digitales comercializados en la Unión Europea. Su aprobación responde a una preocupación creciente: las vulnerabilidades de un dispositivo o programa informático pueden comprometer no solo la seguridad de sus usuarios, sino también la de otros sistemas conectados.
Por ello, la normativa busca reforzar la protección de estos productos y atribuir mayores responsabilidades a quienes los fabrican y comercializan. Tiene carácter horizontal, lo que significa que abarca productos de diferentes sectores económicos, aunque contempla determinadas exclusiones.
¿Qué significa ciberresiliencia?
Para comprender esta ley, es esencial entender el concepto de ciberresiliencia. La ciberresiliencia es la capacidad de una organización, sistema o producto para anticiparse a las amenazas digitales, resistir incidentes de seguridad y recuperar su funcionamiento cuando estos se producen.
A diferencia de la ciberseguridad, centrada principalmente en prevenir, detectar y responder a los ataques, la ciberresiliencia también pone el foco en mantener la continuidad y limitar las consecuencias de posibles fallos. En el ámbito empresarial, esto implica combinar medidas preventivas con procedimientos de respuesta y recuperación que reduzcan el impacto de los incidentes.
¿Qué productos y empresas están sujetos a la ley de ciberresiliencia?
La norma afecta a los productos con elementos digitales cuyo uso previsto o previsible implica conectarse a otro dispositivo o una red. Incluye sistemas operativos, aplicaciones, routers, cámaras conectadas, componentes vendidos por separado y determinados servicios de procesamiento remoto vinculados al producto. Excluye determinados productos sanitarios, vehículos y equipos aeronáuticos sujetos a regulación sectorial, según cada caso.
La mayor responsabilidad recae en el fabricante, incluso si vende con su marca productos desarrollados por terceros. El importador verifica requisitos antes de introducirlos en la UE; el distribuidor comprueba las condiciones que le corresponden. Un representante autorizado actúa según su mandato. También alcanza a fabricantes extracomunitarios. El software libre no comercial tiene un régimen diferente, pero el código abierto comercial no está exento por definición.
Las obligaciones dependen del producto, su comercialización y el papel de cada empresa.
Por ejemplo, la Ley de Ciberresiliencia puede afectar a una empresa que fabrica routers, cámaras de vigilancia conectadas o termostatos inteligentes, así como a una desarrolladora de sistemas operativos o aplicaciones que intercambian datos con otros dispositivos. También alcanza a empresas que importan relojes inteligentes de fabricantes extracomunitarios o distribuyen estos productos en el mercado europeo. En todos los casos, las obligaciones concretas dependen de las características del producto y del papel que desempeña cada empresa en su comercialización.
- Un distribuidor o importador puede asumir obligaciones propias del fabricante si comercializa un producto bajo su marca o lo modifica sustancialmente. La función contractual inicial no siempre determina la responsabilidad final.
¿Me afecta la CRA?
Comprueba estas cuatro cuestiones
¿Es un producto digital con conexión de datos prevista o previsible?
¿Se comercializa en la Unión Europea?
¿Existe alguna exclusión legal aplicable?
Identifica tu papel y clasifica el producto
Fabricante, importador, distribuidor u otro agente. Determina qué obligaciones te corresponden.
Esquema orientativo basado en el Reglamento (UE) 2024/2847. El ámbito de aplicación debe comprobarse según las características del producto y las excepciones legales.
¿Qué requisitos de ciberseguridad establece la CRA?
El anexo I de la Ley de Ciberresiliencia establece requisitos esenciales para proteger los productos con elementos digitales durante todo su ciclo de vida. Las obligaciones no se limitan a su comercialización, sino que también abarcan el mantenimiento, la corrección de fallos y la respuesta ante amenazas. Entre los principales requisitos destacan:
- Seguridad desde el diseño y por defecto: los productos deben incorporar medidas de protección desde su desarrollo y comercializarse sin vulnerabilidades explotables conocidas.
- Evaluación de riesgos: los fabricantes deben identificar las amenazas y adoptar medidas de seguridad adecuadas, además de mantener la documentación técnica correspondiente.
- Gestión de vulnerabilidades: es obligatorio detectar y corregir fallos, establecer una política de divulgación coordinada y elaborar una lista de materiales del software (SBOM).
- Actualizaciones de seguridad: deben ofrecerse gratuitamente durante el periodo de soporte, generalmente de cinco años como mínimo, salvo las excepciones previstas según el tiempo de uso del producto.
- Notificación de vulnerabilidades e incidentes: desde el 11 de septiembre de 2026, los fabricantes deben comunicar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad del producto.
Para estas notificaciones, el artículo 14 establece una alerta temprana en un máximo de 24 horas y una comunicación más completa en 72 horas desde que se tenga conocimiento del problema. El informe final debe presentarse, según el supuesto, en los 14 días posteriores a la disponibilidad de una medida correctora o en el plazo de un mes desde la notificación de 72 horas. Estas comunicaciones se realizan a través de la plataforma habilitada por ENISA.
En noviembre de 2026 ya se notifican determinados incidentes, aunque la aplicación general llegue en 2027.
¿Cómo se clasifican los productos según la Ley de Ciberresiliencia?
La Ley de Ciberresiliencia distingue varias categorías de productos según sus funciones y su relevancia para la ciberseguridad. Esta clasificación determina cómo debe demostrarse el cumplimiento de los requisitos: algunos fabricantes pueden realizar una evaluación interna, mientras que otros necesitan la intervención de un organismo especializado, denominado organismo notificado.
Una vez demostrada la conformidad, el fabricante debe elaborar la declaración UE correspondiente y colocar el marcado CE, que indica el cumplimiento de los requisitos legales aplicables, aunque no garantiza la ausencia absoluta de vulnerabilidades.
Categorías de productos según la CRA
La categoría determina cómo debe evaluarse el cumplimiento de los requisitos de ciberseguridad.
| Categoría | Ejemplos | Evaluación de conformidad |
|---|---|---|
| Por defecto | Videojuegos y aplicaciones de uso general | Autoevaluación del fabricante |
| Importante · Clase I | Navegadores y routers | Autoevaluación bajo determinadas condiciones; en otros casos, evaluación externa |
| Importante · Clase II | Cortafuegos e hipervisores | Evaluación por terceros mediante organismo notificado |
| Crítico | Tarjetas inteligentes y elementos seguros | Evaluación externa o certificación europea cuando proceda |
Fuente: Reglamento (UE) 2024/2847, anexos III, IV y VIII. Los procedimientos concretos dependen de la categoría y las condiciones aplicables.
¿Cuándo se aplica la ley de ciberresiliencia?
El reglamento se aplica gradualmente para permitir la adaptación de fabricantes, autoridades y evaluadores. Los productos comercializados antes del 11 de diciembre de 2027 quedan sujetos a los nuevos requisitos generales si sufren después una modificación sustancial. La excepción es el artículo 14: sus notificaciones también alcanzan a productos anteriores.
La siguiente cronología recoge las principales fechas de aplicación del reglamento:
10 de diciembre de 2024
Entrada en vigor del Reglamento (UE) 2024/2847.
11 de junio de 2026
Aplicación de las disposiciones sobre organismos de evaluación notificados.
11 de septiembre de 2026
Comienza la obligación de notificar vulnerabilidades e incidentes conforme al artículo 14.
11 de diciembre de 2027
Aplicación general de la Ley de Ciberresiliencia.
- El inicio de la aplicación general de la CRA no determina cuándo termina el soporte de un producto. Cada fabricante debe fijar y comunicar por separado ese periodo de asistencia.
Sanciones en la Ley de Ciberresiliencia
El artículo 64 de la Ley de Ciberresiliencia establece distintas sanciones económicas según la gravedad y el tipo de incumplimiento. Las multas buscan garantizar que los productos digitales cumplan los requisitos de seguridad y que las empresas asuman sus responsabilidades. Se distinguen tres niveles:
- Hasta 15 millones de euros o el 2,5% de la facturación mundial anual: por incumplir los requisitos esenciales de ciberseguridad, las obligaciones de los fabricantes o la notificación de vulnerabilidades explotadas activamente e incidentes graves.
- Hasta 10 millones de euros o el 2% de la facturación mundial anual: por incumplir determinadas obligaciones de importadores y distribuidores, así como requisitos relacionados con la documentación y los procedimientos de conformidad.
- Hasta 5 millones de euros o el 1% de la facturación mundial anual: por facilitar información incorrecta, incompleta o engañosa a las autoridades de vigilancia del mercado o a organismos notificados en respuesta a sus solicitudes.
En cada caso se aplica el límite máximo más elevado, aunque las multas no son automáticas: su cuantía depende de factores como la gravedad de la infracción, su duración y el tamaño de la empresa. Las autoridades también pueden exigir medidas correctoras o la retirada de productos.
¿Cómo se relaciona la CRA con la normativa de ciberseguridad en España?
En España no existe una única ley de ciberseguridad, sino un conjunto de normas nacionales y europeas que regulan distintos aspectos de la protección digital. Por ejemplo, la CRA regula productos; mientras que la directiva NIS2 se centra en la gestión de riesgos de determinadas entidades; y el Reglamento (UE) 2019/881 establece el marco europeo de certificación y el papel de ENISA.
Todas estas normas son complementarias, por lo que una misma empresa puede estar sujeta a varias de ellas. En España, este marco se completa con el Esquema Nacional de Seguridad (ENS), aplicable al sector público y a determinados proveedores, el RGPD en materia de protección de datos personales y DORA para la resiliencia operativa digital del sector financiero. Estas disposiciones se explican con mayor profundidad en nuestra guía de cumplimiento normativo digital.
Tres normas, tres enfoques
¿Qué regula cada normativa europea de ciberseguridad?
CRA
Reglamento (UE) 2024/2847
Seguridad de los productos digitales, desde el diseño hasta su mantenimiento.
NIS2
Directiva (UE) 2022/2555
Gestión de riesgos y seguridad de determinadas entidades y sus sistemas.
Cybersecurity Act
Reglamento (UE) 2019/881
Marco europeo de certificación de ciberseguridad y funciones de ENISA.
Son normas complementarias: una misma empresa puede estar sujeta a varias de ellas.
La aplicación de estas normas también requiere la intervención de organismos especializados. En el ámbito de la CRA, INCIBE-CERT figura como CSIRT coordinador de referencia para España, mientras que el Centro Criptológico Nacional (CCN) desempeña funciones relacionadas con la seguridad del sector público y participa en el ámbito de la certificación de ciberseguridad.
- La categoría de un producto no se decide por su apariencia o precio, sino por las funciones que realiza. Esa diferencia condiciona cómo debe acreditarse su conformidad ante las autoridades.
- La seguridad exigida por la CRA también depende de la organización interna: si desarrollo, compras y soporte trabajan por separado, resulta más difícil mantener decisiones y evidencias coherentes.
- El calendario obliga a diferenciar dos tareas: atender las notificaciones ya exigibles y preparar los procedimientos de conformidad futuros. Confundir ambas puede generar prioridades incorrectas en la planificación empresarial.
¿Cómo prepararse para la CRA y qué formación se necesita?
La adaptación a la Ley de Ciberresiliencia requiere revisar cómo se diseñan, comercializan y mantienen los productos con elementos digitales. El primer paso consiste en identificar los productos afectados, determinar las responsabilidades de cada empresa y comprobar qué requisitos de seguridad les corresponden. A partir de ahí, es necesario evaluar los riesgos, establecer procedimientos para detectar y corregir vulnerabilidades, planificar las actualizaciones de seguridad y preparar la documentación que permita demostrar el cumplimiento normativo.
Este proceso exige conocimientos técnicos y normativos especializados, especialmente en seguridad de productos, evaluación de conformidad y gestión de incidentes. Por ello, la formación en ciberresiliencia resulta relevante para profesionales relacionados con este ámbito. Además, estas formaciones permiten ampliar las competencias necesarias para trabajar en ciberseguridad.
Cumplir la CRA requiere seguridad durante todo el ciclo de vida, no solo obtener el marcado CE.
Preguntas frecuentes sobre la ley de ciberresiliencia
¿Qué es la ley de ciberresiliencia?
Es el Reglamento (UE) 2024/2847, que establece requisitos obligatorios de seguridad para productos con elementos digitales. Pretende reducir vulnerabilidades durante su diseño, comercialización y soporte, con obligaciones específicas para fabricantes, importadores y distribuidores. Su ámbito de aplicación es europeo y comprende hardware y software conectados.
¿Cuándo entra en vigor la ley de ciberresiliencia?
Entró en vigor el 10 de diciembre de 2024, aunque su aplicación general empieza el 11 de diciembre de 2027. Desde el 11 de septiembre de 2026 ya se exige notificar determinados incidentes y vulnerabilidades. Por ello, algunos fabricantes tienen obligaciones actuales antes del plazo general.
¿La CRA afecta al software de código abierto?
Depende de su comercialización. El software libre fuera de una actividad comercial queda, en general, excluido; si se vende como producto, pueden aplicarse obligaciones de fabricante. Los administradores que apoyan sostenidamente determinados proyectos abiertos tienen un régimen especial y deberán empezar sus notificaciones en diciembre de 2027.
¿Qué diferencia hay entre la CRA y la directiva NIS2?
La CRA establece requisitos de seguridad para productos digitales y sus fabricantes, importadores y distribuidores. NIS2 obliga a determinadas entidades esenciales e importantes a gestionar riesgos e incidentes. Una misma compañía puede quedar sujeta a ambas, pero los ámbitos y las obligaciones son distintos y deben analizarse por separado.
¿Qué pasa si un fabricante no cumple la CRA?
Puede recibir órdenes de corregir problemas, restricciones de comercialización o retiradas de productos. También son posibles las multas administrativas previstas en el artículo 64, con límites distintos según la infracción. La cuantía concreta depende del incumplimiento y sus circunstancias, por lo que no todas las faltas acarrean la sanción máxima.
¿Los fabricantes de fuera de la UE deben cumplir la CRA?
Sí. Cuando comercializan productos comprendidos en el reglamento dentro de la Unión, su domicilio fuera de Europa no los exime. Los importadores y distribuidores europeos también tienen deberes de verificación antes de vender. Es importante definir correctamente quién actúa como fabricante, importador o representante autorizado.
¿Todos los productos necesitan una certificación externa?
No. Muchos productos admiten una evaluación interna del fabricante. Algunas categorías importantes requieren un organismo notificado si no concurren determinadas condiciones técnicas; para otras, su intervención es obligatoria. Primero se debe comprobar la categoría exacta y el procedimiento aplicable, sin confundir marcado CE con certificación externa automática.
