Software de cumplimiento del CRA: qué obligaciones del Reglamento de Ciberresiliencia cubre CE-Copilot
Quien busca software CRA encuentra dos tipos de herramientas: herramientas de desarrollo que generan una SBOM, analizan el código en busca de vulnerabilidades y distribuyen actualizaciones, y software de cumplimiento que gestiona la clasificación, la evaluación, las evidencias y las notificaciones. CE-Copilot pertenece al segundo tipo. Esta guía expone hasta qué punto CE-Copilot cubre las obligaciones del Reglamento de Ciberresiliencia: obligación por obligación, con la referencia jurídica y el plan.
Cobertura, obligación por obligación
De 25 ámbitos de obligaciones, CE-Copilot cubre 12 y 8 en parte; 5 quedan fuera del software. En los tres casos, la implementación técnica en la máquina y la responsabilidad siguen en manos del fabricante.
Cubierto en CE-Copilot (12)
El software le guía a través de la obligación y documenta el resultado.
Comprobar el ámbito de aplicación
Art. 2; art. 3, punto 1
El buscador de normas solo propone el CRA como aplicable cuando la descripción de la máquina muestra una conexión de datos; las afirmaciones negativas no cuentan y, sin evidencia, el CRA queda pendiente de revisión. En el módulo de Ciberseguridad, usted comprueba la conexión de datos y las exclusiones del artículo 2, incluido el Reglamento Delegado (UE) 2025/1535.
a partir de Starter
Clasificar los productos importantes y críticos
Arts. 7 y 8; anexos III y IV
Usted indica la funcionalidad básica y marca las categorías aplicables de los anexos III y IV, con las descripciones técnicas del Reglamento de Ejecución (UE) 2025/2392. La clasificación solo es vinculante una vez que usted la confirma.
a partir de Starter
Obligaciones según la fecha de introducción en el mercado
Art. 69; art. 71, apdo. 2
La fecha confirmada determina qué obligaciones se aplican a una unidad: las obligaciones de notificación desde el 11 de septiembre de 2026, todo el Reglamento para la introducción en el mercado a partir del 11 de diciembre de 2027 y, del mismo modo, tras una modificación sustancial a partir de ese día.
a partir de Starter
Determinar el procedimiento de evaluación de la conformidad
Art. 32
La aplicación deriva de la clasificación los procedimientos permitidos. Tiene en cuenta que, para los productos de la clase I sin norma armonizada, especificación común ni esquema de certificación, el control interno (módulo A) no está disponible.
a partir de Starter
Evaluar los riesgos de ciberseguridad
Art. 13, apdos. 2 y 3
El alcance de la evaluación, con la finalidad prevista, el uso razonablemente previsible, el entorno operativo, los activos que deben protegerse y las condiciones de uso, además de las amenazas con sus medidas y el riesgo residual. Se basa en el inventario de interfaces del proyecto.
a partir de Professional
Documentar los requisitos del anexo I
Anexo I, partes I y II; art. 13, apdo. 4
Una matriz con el tenor de cada requisito: si se aplica sobre la base de la evaluación de riesgos, con una justificación cuando no se aplica, además de la implementación y las evidencias. La parte I, punto 1, y los requisitos de gestión de vulnerabilidades de la parte II se aplican siempre.
a partir de Professional
Componentes de terceros y código abierto
Art. 13, apdo. 5
Una lista de componentes que identifica los programas informáticos libres y de código abierto y registra la evidencia de la diligencia debida para cada componente.
a partir de Professional
Fijar el periodo de soporte
Art. 13, apdos. 8 y 19
El periodo de soporte con su justificación a partir del tiempo de uso previsto, una comprobación frente al mínimo de cinco años y la fecha final que debe comunicarse a los usuarios en el momento de la compra.
a partir de Professional
Gestionar los casos de notificación del artículo 14
Art. 14, apdos. 1 a 4; art. 69, apdo. 3
Por cada caso: el momento en que se tuvo conocimiento, la alerta temprana en un plazo de 24 horas, la notificación en un plazo de 72 horas y el informe final, con un semáforo en la página del proyecto, plantillas de texto que siguen el tenor del artículo 14, el CSIRT competente y el número de caso de la plataforma de notificación. Los casos notificados no se pueden eliminar.
a partir de Professional
Información para el usuario del anexo II
Art. 13, apdo. 18; anexo II
Usted mantiene la información del anexo II una sola vez. Aparece en el informe CRA y en el capítulo de ciberseguridad del manual de instrucciones (módulo adicional a partir de Professional).
a partir de Professional
Documentación técnica
Art. 31; anexo VII
Una sección de ciberseguridad conforme al anexo VII en la lista de comprobación de la documentación técnica (a partir de Starter), además del informe CRA en PDF y Word y un capítulo propio en el dossier completo (a partir de Professional).
a partir de Starter
Declaración UE de conformidad
Art. 28; anexo V
El CRA solo aparece en la declaración cuando la clasificación y la fecha están confirmadas y las obligaciones principales se aplican a la unidad. El procedimiento y las especificaciones aplicadas tienen sus propios campos.
a partir de Starter
Cubierto en parte (8)
Una parte está en el software; el resto lo aporta usted.
Nomenclatura de materiales de los programas informáticos (SBOM)
Anexo I, parte II, punto 1
CE-Copilot guarda el archivo SBOM en el proyecto, por ejemplo en formato CycloneDX o SPDX, y registra si los usuarios tienen acceso a él y cómo. La SBOM la genera y la analiza usted con sus herramientas de desarrollo.
a partir de Professional
Gestionar las vulnerabilidades
Anexo I, parte II, puntos 2 a 8
Para la corrección, las pruebas periódicas, la divulgación de las vulnerabilidades solucionadas, la política de divulgación coordinada de vulnerabilidades, la distribución segura y las actualizaciones de seguridad gratuitas, usted documenta la implementación y las evidencias en la matriz. Los avisos de seguridad y la política de divulgación los redacta y publica usted mismo.
a partir de Professional
Punto de contacto único para las vulnerabilidades
Art. 13, apdo. 17
Usted introduce el punto de contacto en la sección de vulnerabilidades de la página del proyecto; aparece en el informe CRA y en la información para el usuario. El buzón o el portal de notificación lo gestiona usted mismo.
a partir de Professional
Informar a los usuarios de los incidentes
Art. 14, apdo. 8
Cada caso tiene una plantilla para la información a los usuarios y registra como evidencia cuándo se informó a los usuarios. La información a sus clientes la envía usted.
a partir de Professional
Modificación sustancial
Art. 3, punto 30; art. 22
En la aplicación, la fecha de una modificación sustancial activa las obligaciones del Reglamento. Si una actualización de software o una transformación es sustancial, lo valora usted.
a partir de Starter
Versiones de software y series de productos
Art. 13, apdos. 8 y 10
El periodo de soporte, la evaluación y los casos de notificación se llevan por proyecto. Varias versiones de software entregadas, o una vulnerabilidad que afecta a varias series de productos, se gestionan a través de los proyectos individuales.
Copia o declaración UE de conformidad simplificada
Art. 13, apdo. 20; anexo VI
La aplicación genera la declaración íntegra en PDF y Word para que acompañe al producto. Una declaración simplificada conforme al anexo VI con la dirección de internet la redacta usted mismo.
a partir de Starter
Conservar los documentos durante diez años
Art. 13, apdo. 13
Los proyectos con casos notificados están bloqueados frente a la eliminación, y usted exporta el informe y el dossier en PDF y Word. La conservación durante diez años se organiza en su propio archivo.
Queda en manos del fabricante (5)
Sin función propia en CE-Copilot; usted cumple la obligación fuera del software.
Desarrollo seguro y pruebas de seguridad
Anexo I, parte I, punto 2
La implementación técnica, las pruebas de penetración y las revisiones de código se realizan en su desarrollo. CE-Copilot documenta qué medida cumple qué requisito.
Notificación en la plataforma de la ENISA
Arts. 14 y 16
Usted presenta la notificación a través de la plataforma única de notificación de la ENISA. CE-Copilot no está conectado a la plataforma; los plazos, las plantillas y las evidencias proceden de la aplicación.
Evaluación por un organismo notificado
Art. 32, apdos. 2 a 4
Cuando el procedimiento exige un organismo notificado, usted lo contrata. El informe y la documentación técnica de CE-Copilot sirven de base.
Medidas correctoras, recuperación e información a las autoridades
Art. 13, apdos. 21 a 23
Las medidas correctoras, la retirada del mercado, la cooperación con la vigilancia del mercado y la comunicación en caso de cese de actividades quedan en manos del fabricante.
Obligaciones de los importadores y distribuidores
Arts. 19 y 20
CE-Copilot está concebido para fabricantes. Las obligaciones de verificación de los importadores y distribuidores no se representan por separado.
Junto al CRA: el mismo inventario de interfaces alimenta la evaluación de la protección contra la corrupción con arreglo al anexo III, puntos 1.1.9 y 1.2.1, del Reglamento de máquinas y la lista de comprobación de la EN 18031 para los equipos radioeléctricos, con las restricciones de la Decisión de Ejecución (UE) 2025/138. Más información en la guía Ciberseguridad de la maquinaria.
Cómo reconocer un buen software CRA
Siete preguntas que conviene plantear a cualquier software CRA, y cómo las responde CE-Copilot:
1. ¿Deriva el software las fechas de referencia a partir de la fecha de introducción en el mercado?
Que una máquina esté sujeta solo a las obligaciones de notificación o a todo el Reglamento depende de esa fecha y de las modificaciones sustanciales posteriores (artículos 69 y 71).
En CE-Copilot: Sí. Una fecha que solo se ha leído de la descripción no tiene efecto jurídico hasta que usted la confirma.
2. ¿Conoce los plazos de notificación en horas y en días naturales?
La alerta temprana y la notificación corren en horas desde el conocimiento, el informe final en días o en un mes; en caso de emergencia, las evidencias tienen que estar disponibles.
En CE-Copilot: Sí. Plazos por caso con semáforo, plantillas de texto y un registro de evidencias que ya no se puede eliminar una vez notificado el caso.
3. ¿Documenta el anexo I requisito por requisito?
El artículo 13, apartado 4, exige una justificación para cada requisito que no se aplica; el anexo VII exige una descripción de cómo se aplica cada uno.
En CE-Copilot: Sí. Una matriz con tenor, aplicabilidad, justificación, implementación y evidencias.
4. ¿Conecta el CRA con el Reglamento de máquinas y la Directiva sobre equipos radioeléctricos?
En la maquinaria coexisten la protección contra la corrupción (anexo III, puntos 1.1.9 y 1.2.1, del Reglamento de máquinas), la ciberseguridad de los equipos radioeléctricos y el CRA.
En CE-Copilot: Sí. Un único inventario de interfaces para las tres evaluaciones, en el mismo expediente que la evaluación del riesgo y la declaración de conformidad.
5. ¿Genera documentos que encajan en el expediente CE?
La documentación técnica, la declaración de conformidad y el manual de instrucciones tienen que decir lo mismo.
En CE-Copilot: Sí. Informe CRA, capítulo del dossier, sección de la documentación técnica, declaración y capítulo del manual de instrucciones a partir de los mismos datos.
6. ¿Separa las evidencias internas de los documentos para clientes?
Las vulnerabilidades abiertas no deben figurar en un documento que se entrega a clientes u organismos.
En CE-Copilot: Sí. El capítulo del dossier no muestra casos de notificación; el informe completo lleva un aviso de confidencialidad.
7. ¿Siguen siendo las consecuencias jurídicas reglas fijas en lugar de decisiones de una IA?
Las fechas de referencia, los procedimientos y los plazos tienen que ser trazables.
En CE-Copilot: Sí. Estas reglas son lógica fija; los borradores de texto de la IA solo se usan cuando usted los confirma.
Para quién es adecuado CE-Copilot como software CRA
- Fabricantes de máquinas y de maquinaria especial cuyas máquinas intercambian datos a través de bus de campo, Ethernet, mantenimiento remoto, nube o radio.
- Fabricantes de instalaciones e integradores que introducen en el mercado instalaciones encadenadas como fabricante y evalúan la ciberseguridad del conjunto.
- Fabricantes que entregan antes del 11 de diciembre de 2027: las obligaciones de notificación ya se les aplican hoy, y las demás secciones preparan las unidades posteriores.
- CE-Copilot no está pensado como herramienta de desarrollo de software: los generadores de SBOM, los escáneres de vulnerabilidades y los servidores de actualizaciones siguen siendo herramientas independientes.
Situación jurídica
Las obligaciones de notificación del artículo 14 se aplican desde el 11 de septiembre de 2026, también a las máquinas con conexión de datos que ya se han introducido en el mercado (artículo 69, apartado 3). Las demás obligaciones se aplican a los productos introducidos en el mercado a partir del 11 de diciembre de 2027 (artículo 71, apartado 2). A la fecha de la situación jurídica de esta guía no se ha publicado en el Diario Oficial ninguna norma armonizada con arreglo al CRA, por lo que todavía no existe presunción de conformidad mediante normas armonizadas con arreglo al artículo 27. En CE-Copilot, las especificaciones aplicadas como la IEC 62443 se registran como tales. Cómo funciona la aplicación según la fecha de introducción en el mercado se muestra en la guía Software para el Reglamento de Ciberresiliencia aplicado a la maquinaria; los planes figuran en la página de precios.
FAQ
Preguntas frecuentes
¿Qué software necesito para cumplir el CRA?
¿Cubre CE-Copilot todas las obligaciones del Reglamento de Ciberresiliencia?
¿Está CE-Copilot sujeto al CRA?
¿Hay una lista de comprobación del CRA en CE-Copilot?
¿Para qué productos es adecuado CE-Copilot como software CRA?
¿Qué plan incluye las funciones del CRA?
¿Sustituye CE-Copilot a un organismo notificado o al asesoramiento jurídico?
Cumplimiento de la normativa de máquinas de la UE en la propia empresa, en español
Esta guía ha sido elaborada por el equipo que está detrás de CE-Copilot, una plataforma de software para todo el proceso CE de máquinas en la UE: clasificación de directivas, un buscador de normas con 3600+ normas y su estado de armonización, evaluación del riesgo según EN ISO 12100, documentación de la seguridad funcional, informes de ensayo, documentación técnica, manual de instrucciones y declaración UE de conformidad. Los documentos se exportan en inglés o en alemán, la declaración UE de conformidad además en francés e italiano. La plataforma está disponible en español y en inglés; la IA redacta, usted revisa y aprueba.
Más guías
Esta guía es información general para fabricantes de máquinas, contrastada con los textos jurídicos oficiales de la UE a fecha de 30 de octubre de 2026. No constituye asesoramiento jurídico. Para decisiones sobre su producto concreto, consulte los textos jurídicos (EUR-Lex) o a un asesor cualificado.