El Reglamento de Ciberresiliencia para la maquinaria: obligaciones, plazos y notificaciones
Si su máquina tiene un controlador con puerto Ethernet, un router de mantenimiento remoto o una consola portátil inalámbrica, casi con seguridad le es aplicable el Reglamento de Ciberresiliencia de la UE. Una parte ya se aplica: desde el 11 de septiembre de 2026, los fabricantes deben notificar las vulnerabilidades aprovechadas activamente y los incidentes graves, incluso en máquinas entregadas hace años. Los requisitos de diseño, gestión de vulnerabilidades y documentación se aplicarán a partir del 11 de diciembre de 2027. Esta guía explica el ámbito de aplicación, los plazos, la clasificación y qué preparar, con las referencias a los artículos que necesita para comprobarlo usted mismo.
Las fechas clave
Publicación en el Diario Oficial
Reglamento (UE) 2024/2847 de 23 de octubre de 2024, DO L, 2024/2847. Corregido por DO L, 2025/90555 de 2 de julio de 2025 (artículo 13, apartado 8, y artículo 64, apartado 10) y por DO L, 2025/90828 de 17 de octubre de 2025 (artículo 67).
Entrada en vigor
Veinte días después de la publicación (artículo 71, apartado 1). En esta fecha todavía no se aplica ninguna obligación a los fabricantes.
Organismos notificados
Se aplica el capítulo IV (artículos 35 a 51), de modo que los organismos de evaluación de la conformidad pueden ser notificados con arreglo al CRA (artículo 71, apartado 2).
Se aplican las obligaciones de notificación
Deben notificarse las vulnerabilidades aprovechadas activamente y los incidentes graves, también en el caso de productos introducidos en el mercado antes de esta fecha (artículo 71, apartado 2, y artículo 69, apartado 3). La Single Reporting Platform (plataforma única de notificación) de la ENISA entró en funcionamiento ese mismo día en una primera versión.
Aplicación plena
Los productos introducidos en el mercado a partir de esta fecha deben cumplir todos los requisitos: anexo I, evaluación de riesgos, evaluación de la conformidad, declaración y marcado CE (artículo 71, apartado 2). Los productos introducidos en el mercado con anterioridad solo quedan incluidos si sufren una modificación sustancial después de esta fecha (artículo 69, apartado 2).
Fin de la validez transitoria de los certificados
Los certificados de examen UE de tipo y las decisiones de aprobación sobre requisitos de ciberseguridad expedidos con arreglo a otra legislación de armonización de la Unión siguen siendo válidos hasta esta fecha, salvo que expiren antes o que esa legislación disponga otra cosa (artículo 69, apartado 1).
Lo que decide qué obligaciones se aplican es, por tanto, la fecha en que un producto se introduce en el mercado de la UE. Para las líneas de productos en curso, las directrices de la Comisión C(2026) 5252 (contenido aprobado el 27 de julio de 2026; sin constancia de adopción formal a 15 de septiembre de 2026) ofrecen cierto alivio: los productos diseñados antes del 11 de diciembre de 2027 e introducidos en el mercado después de esa fecha no tienen que rediseñarse si la evaluación de riesgos muestra que existen medidas adecuadas. La evaluación de la conformidad, la declaración y el marcado CE siguen siendo obligatorios.
¿Entra su máquina en el ámbito de aplicación?
El artículo 2, apartado 1, abarca los productos con elementos digitales comercializados «cuya finalidad prevista o uso razonablemente previsible incluya una conexión de datos directa o indirecta, lógica o física, a un dispositivo o red». Un producto con elementos digitales es cualquier producto de software o hardware junto con sus soluciones de tratamiento de datos a distancia (artículo 3, punto 1), y con arreglo al artículo 3, punto 2, esto incluye el software de tratamiento de datos a distancia diseñado o desarrollado por el fabricante o bajo su responsabilidad, como una aplicación en la nube de la que depende una función de la máquina.
Desencadenantes típicos en la maquinaria
- Interfaz Ethernet o de bus de campo hacia la red de la planta u otras máquinas
- Acceso de mantenimiento remoto mediante router, VPN o portal
- Puerto USB para cargar programas o recetas
- Wi-Fi, Bluetooth o red móvil, incluidas las consolas portátiles inalámbricas
- Conexión a la aplicación en la nube del fabricante
Exclusiones del artículo 2, apartados 2 a 7
- Productos sanitarios y productos sanitarios para diagnóstico in vitro (Reglamentos (UE) 2017/745 y 2017/746)
- Vehículos con arreglo al Reglamento (UE) 2019/2144 y productos de aviación certificados con arreglo al Reglamento (UE) 2018/1139
- Equipos marinos con arreglo a la Directiva 2014/90/UE
- Productos excluidos mediante acto delegado, hasta ahora los regulados por el Reglamento (UE) n.º 168/2013 (artículo 2, apartado 5, Reglamento Delegado (UE) 2025/1535)
- Piezas de repuesto idénticas (artículo 2, apartado 6)
- Productos desarrollados exclusivamente para la seguridad nacional o la defensa (artículo 2, apartado 7)
La maquinaria no figura en esa lista. El considerando 53 va más allá: los fabricantes de maquinaria con arreglo al Reglamento (UE) 2023/1230 deben cumplir tanto el CRA como el Reglamento de máquinas. El proyecto de directrices de la Comisión añade que una conexión de datos requiere información digital codificada, por lo que una máquina puramente mecánica sin controlador ni interfaz queda fuera del CRA. El software necesario para operar, configurar o controlar la máquina cuenta como parte del producto, aunque los clientes lo descarguen por separado.
Obligaciones de notificación que ya se aplican
Dos hechos activan el artículo 14. Una vulnerabilidad aprovechada activamente es aquella respecto de la cual existen pruebas fiables de que un agente malintencionado la ha aprovechado en un sistema sin autorización de su propietario (artículo 3, punto 42). Un incidente grave afecta o puede afectar a la capacidad del producto para proteger la disponibilidad, la autenticidad, la integridad o la confidencialidad de datos o funciones sensibles o importantes, o ha dado o puede dar lugar a la introducción o ejecución de código malicioso en el producto o en la red de un usuario (artículo 14, apartado 5).
| Fase | Vulnerabilidad aprovechada activamente | Incidente grave |
|---|---|---|
| Alerta temprana | sin demora indebida y como máximo 24 horas después de tener conocimiento, indicando los Estados miembros en los que, según el conocimiento del fabricante, se ha comercializado el producto (art. 14, apdo. 2, letra a)) | sin demora indebida y como máximo 24 horas después de tener conocimiento, indicando si se sospechan actos ilícitos o malintencionados y, en su caso, los Estados miembros afectados (art. 14, apdo. 4, letra a)) |
| Notificación | salvo que ya se haya facilitado, sin demora indebida y en un plazo de 72 horas: el producto, la naturaleza general de la explotación y de la vulnerabilidad, las medidas correctoras adoptadas y las medidas que pueden adoptar los usuarios (art. 14, apdo. 2, letra b)) | salvo que ya se haya facilitado, sin demora indebida y en un plazo de 72 horas: naturaleza del incidente, evaluación inicial, medidas adoptadas y medidas que pueden adoptar los usuarios (art. 14, apdo. 4, letra b)) |
| Informe intermedio | a petición del CSIRT (art. 14, apdo. 6) | a petición del CSIRT (art. 14, apdo. 6) |
| Informe final | salvo que ya se haya facilitado, como máximo 14 días después de que se disponga de una medida correctora o paliativa (art. 14, apdo. 2, letra c)) | salvo que ya se haya facilitado, en el plazo de un mes desde la notificación de las 72 horas (art. 14, apdo. 4, letra c)) |
Las notificaciones se presentan a través de la plataforma única de notificación prevista en el artículo 16, mediante el nodo final para notificaciones electrónicas del CSIRT designado como coordinador del Estado miembro en el que el fabricante tiene su establecimiento principal, y son accesibles simultáneamente para la ENISA (artículo 14, apartado 7). El establecimiento principal es aquel en el que se toman predominantemente las decisiones sobre ciberseguridad de los productos o, en su defecto, el Estado miembro de su establecimiento con mayor número de empleados en la UE. Los fabricantes sin establecimiento principal en la UE siguen un orden subsidiario previsto en el mismo apartado: el Estado miembro del representante autorizado que actúe en nombre de la mayoría de sus productos, luego el del importador que introduzca en el mercado la mayoría de ellos, luego el del distribuidor que comercialice la mayoría de ellos y, por último, el Estado miembro en el que se encuentre la mayoría de sus usuarios. También debe informarse a los usuarios afectados y, cuando sea necesario, indicarles medidas paliativas (artículo 14, apartado 8).
El plazo empieza a correr con el conocimiento. Según el proyecto de directrices de la Comisión, un fabricante tiene conocimiento en cuanto una evaluación inicial, realizada sin demora, le da un grado razonable de certeza de que se ha producido una explotación o un incidente grave. Una vulnerabilidad en un componente de terceros solo debe notificarse si se explotó en su propio producto. Cumplir las 24 horas exige un proceso acordado de antemano: quién evalúa, quién notifica y a qué países se vendió cada tipo de máquina.
Alivio para los fabricantes pequeños: las multas del artículo 64 del CRA no se aplican a las microempresas y pequeñas empresas por incumplir únicamente el plazo de 24 horas de la alerta temprana (artículo 64, apartado 10, letra a), con la corrección del DO L, 2025/90555). La obligación de notificar en sí y los demás plazos se mantienen. Tenga en cuenta, no obstante, el calendario: con arreglo al artículo 71, apartado 2, el artículo 64 solo se aplica a partir del 11 de diciembre de 2027, ya que solo se adelantaron el artículo 14 y el capítulo IV. Si las infracciones de las obligaciones de notificación pueden sancionarse antes de esa fecha, y cómo, depende del Derecho nacional; en Alemania, a 15 de septiembre de 2026 no se pudo encontrar la promulgación de la ley nacional de aplicación.
¿Estándar, importante o crítico?
La vía de evaluación de la conformidad depende de la clasificación, y la clasificación sigue la funcionalidad básica del producto (artículos 7, apartado 1, y 8, apartado 1). El Reglamento de Ejecución (UE) 2025/2392 contiene las descripciones técnicas de las categorías. Según el proyecto de directrices de la Comisión, a estos efectos un producto tiene exactamente una funcionalidad básica, que debe indicarse en la documentación técnica.
| Categoría | Qué incluye | Evaluación de la conformidad |
|---|---|---|
| Producto estándar | Todo aquello cuya funcionalidad básica no corresponde a ninguna categoría del anexo III o IV. Aquí se sitúa normalmente la propia máquina. | Control interno (módulo A) o, con carácter voluntario, examen UE de tipo más conformidad con el tipo (módulos B y C), aseguramiento de calidad total (módulo H) o, cuando exista y sea aplicable, un esquema europeo de certificación de la ciberseguridad (artículo 32, apartado 1). |
| Importante, clase I (anexo III) | 19 categorías, entre ellas routers, módems destinados a la conexión a internet y conmutadores (punto 12), interfaces de red físicas y virtuales (punto 10), sistemas operativos (punto 11), sistemas de gestión de red (punto 6) y productos VPN (punto 5). | Módulo A solo si se aplican íntegramente normas armonizadas, especificaciones comunes o esquemas europeos de certificación con nivel de garantía «sustancial» o superior; en caso contrario, módulos B y C o módulo H (artículo 32, apartado 2). |
| Importante, clase II (anexo III) | Hipervisores y sistemas de ejecución de contenedores, cortafuegos, sistemas de detección y prevención de intrusiones, microprocesadores y microcontroladores resistentes a la manipulación. | Módulos B y C, módulo H o, cuando exista y sea aplicable, un esquema europeo de certificación de nivel «sustancial» o superior; el módulo A no está disponible (artículo 32, apartado 3). |
| Crítico (anexo IV) | Dispositivos de hardware con cajas de seguridad, pasarelas de contadores inteligentes y otros dispositivos con fines de seguridad avanzada, tarjetas inteligentes y elementos seguros. | Un esquema europeo de certificación en cuanto un acto delegado con arreglo al artículo 8, apartado 1, lo exija; hasta entonces, los procedimientos de la clase II (artículo 32, apartado 4). |
La regla de integración
El artículo 7, apartado 1, establece que la integración de un producto con la funcionalidad básica de una categoría del anexo III no somete, por sí sola, al producto anfitrión a los procedimientos del artículo 32, apartados 2 y 3. El conmutador gestionable del armario de control, el panel HMI con sistema operativo o la tarjeta de bus de campo no convierten su máquina en un producto importante. La máquina normalmente sigue siendo un producto estándar.
Examine con más detalle el caso si también vende componentes por separado. El Reglamento de Ejecución (UE) 2025/2392 enumera expresamente los controladores y adaptadores de bus de campo entre las interfaces de red de clase I y los sistemas operativos en tiempo real entre los sistemas operativos de clase I. Un router de mantenimiento remoto, una tarjeta de interfaz de bus de campo o un cortafuegos de armario que usted comercialice por separado necesita, por tanto, su propia clasificación.
Evaluación de la conformidad y normas que faltan
Los productos importantes de clase I solo pueden recurrir al control interno si se aplican íntegramente normas armonizadas, especificaciones comunes o esquemas de certificación (artículo 32, apartado 2). Ahí está precisamente el cuello de botella: a 11 de septiembre de 2026 no se ha citado en el Diario Oficial ninguna norma armonizada en virtud del CRA, según los servicios de seguimiento de normas y los informes del sector. La solicitud de normalización M/606 de la Comisión de 3 de febrero de 2025 abarca 41 normas, con trabajos en curso sobre la serie horizontal EN 40000 y, para los productos de tecnología operativa, sobre la serie prEN 50770 basada en la IEC 62443. Un aplazamiento de los plazos de normalización existe solo como proyecto.
Para la propia máquina es menos crítico. Como producto estándar puede recurrir al módulo A sin normas armonizadas; la documentación técnica debe entonces describir las soluciones adoptadas para el anexo I, partes I y II, y enumerar las demás especificaciones técnicas aplicadas (anexo VII, punto 5). La IEC 62443-4-1 y -4-2 siguen siendo la base técnica evidente, aunque un análisis del sector de 6 de julio de 2026 considera improbable una cita en virtud del CRA.
Cuando una máquina entra en el ámbito tanto del Reglamento de máquinas como del CRA, una única declaración UE de conformidad abarca ambos actos y los enumera con sus referencias del Diario Oficial (artículo 28, apartado 3). El anexo V establece qué debe contener la declaración para el CRA.
Qué se aplica a partir del 11 de diciembre de 2027
1. Evaluación de riesgos de ciberseguridad (artículo 13, apartados 2 a 4)
La evaluación parte de la finalidad prevista y del uso razonablemente previsible, tiene en cuenta el entorno operativo, los activos que proteger y el tiempo de uso esperado, y alimenta la planificación, el diseño, la producción, la entrega y el mantenimiento. Para cada requisito del anexo I, parte I, punto 2, debe indicar si se aplica y cómo, y cómo se implementa; un requisito que no se aplica necesita una justificación clara en la documentación técnica. Se documenta y, cuando proceda, se actualiza durante el periodo de soporte (artículo 13, apartado 3).
2. Requisitos del producto (anexo I, parte I)
Sobre la base de la evaluación de riesgos y, cuando proceda, el punto 2 exige:
- aninguna vulnerabilidad explotable conocida en el momento de la comercialización
- buna configuración segura por defecto y una forma de restablecer el estado original
- cla posibilidad de corregir las vulnerabilidades mediante actualizaciones de seguridad
- dprotección frente al acceso no autorizado, p. ej. autenticación y gestión de accesos, con notificación de posibles accesos no autorizados
- econfidencialidad de los datos almacenados, transmitidos o tratados
- fintegridad de los datos, órdenes, programas y configuración, con notificación de las corrupciones
- gminimización de datos
- hdisponibilidad de las funciones esenciales, incluida la resiliencia frente a ataques de denegación de servicio
- iimpacto negativo mínimo en otros dispositivos y redes
- jsuperficies de ataque limitadas, incluidas las interfaces externas
- kmecanismos que reducen el impacto de un incidente
- lregistro o supervisión de la actividad interna pertinente, con posibilidad de desactivación por los usuarios
- meliminación segura y sencilla de todos los datos y ajustes, y transferencia segura de datos
Resumen propio de los puntos a) a m); la redacción vinculante figura en el Reglamento. El punto c) solo exige actualizaciones de seguridad automáticas cuando proceda, y según el considerando 56 las normas correspondientes no deben aplicarse cuando los usuarios normalmente no esperarían actualizaciones automáticas, por ejemplo en entornos industriales donde una actualización automática podría perturbar el funcionamiento.
3. Gestión de vulnerabilidades (anexo I, parte II)
La parte II se aplica sin la salvedad «cuando proceda». Exige una nomenclatura de materiales de los programas informáticos (SBOM) en un formato de uso común y legible por máquina que abarque al menos las dependencias de máximo nivel, la corrección sin demora de las vulnerabilidades mediante actualizaciones de seguridad separadas de las actualizaciones de funcionalidad cuando sea técnicamente viable, pruebas de seguridad periódicas, la publicación de las vulnerabilidades corregidas, una política de divulgación coordinada de vulnerabilidades, una dirección de contacto para las notificaciones de vulnerabilidades, una distribución segura de las actualizaciones y actualizaciones de seguridad gratuitas. La SBOM no tiene que publicarse (considerando 77), pero las autoridades de vigilancia del mercado pueden solicitarla mediante petición motivada (anexo VII, punto 8).
4. Componentes de terceros (artículo 13, apartados 5 y 6)
Los fabricantes deben actuar con la debida diligencia al integrar componentes de terceros, incluido el software de código abierto, de modo que no comprometan la ciberseguridad del producto. Una vulnerabilidad detectada en un componente se comunica a quien lo fabrica o mantiene, junto con cualquier corrección que usted haya desarrollado. Para PLC, HMI, routers y accionamientos, esto significa recopilar y documentar la información de seguridad y los periodos de soporte de sus proveedores.
5. Periodo de soporte (artículo 13, apartados 8, 9 y 19)
El periodo de soporte refleja el tiempo de uso esperado y dura al menos cinco años, salvo que se espere que el producto se utilice durante menos tiempo. El proyecto de directrices de la Comisión aclara que cinco años no es un valor por defecto, y el considerando 60 cita los sistemas de control industrial como ejemplo de uso mucho más largo. La fecha de finalización debe indicarse en el momento de la compra con al menos mes y año, y cada actualización de seguridad sigue disponible durante al menos diez años o el resto del periodo de soporte, si este es más largo. La justificación del periodo elegido pertenece a la documentación técnica.
6. Información para los usuarios (anexo II)
La máquina debe ir acompañada, entre otras cosas, de: datos de contacto del fabricante, punto de contacto único para las notificaciones de vulnerabilidades y la política de divulgación, identificación inequívoca del producto, finalidad prevista con el entorno de seguridad y las propiedades de seguridad, circunstancias conocidas que puedan dar lugar a riesgos significativos de ciberseguridad, en su caso la dirección de internet de la declaración de conformidad, el tipo de soporte de seguridad y el final del periodo de soporte, e instrucciones sobre la puesta en servicio segura, las actualizaciones, la retirada del servicio y la integración. Esto encaja de forma natural en un capítulo específico del manual de instrucciones y debe seguir disponible durante al menos diez años o el periodo de soporte, si este es más largo (artículo 13, apartado 18).
7. Documentación técnica, declaración y marcado CE
Antes de la introducción en el mercado vienen la documentación técnica del anexo VII, la evaluación de la conformidad con arreglo al artículo 32, la declaración UE de conformidad y el marcado CE (artículo 13, apartado 12). La documentación y la declaración se conservan durante al menos diez años o el periodo de soporte, si este es más largo (artículo 13, apartado 13). Los fabricantes también designan un punto de contacto único a través del cual los usuarios puedan ponerse en contacto directamente con ellos (artículo 13, apartado 17).
Relación del CRA con el Reglamento de máquinas y la RED
El CRA no sustituye ningún requisito de la maquinaria. A partir del 20 de enero de 2027, el anexo III del Reglamento de máquinas exige la protección contra la corrupción (sección 1.1.9) y sistemas de mando que, cuando proceda según las circunstancias y los riesgos, resistan los intentos hostiles razonablemente previsibles de terceros de provocar una situación peligrosa (sección 1.2.1). El considerando 53 del CRA señala que el cumplimiento del CRA puede facilitar el cumplimiento de esas secciones, pero el fabricante tiene que demostrar esa sinergia y debe seguir ambos procedimientos de evaluación de la conformidad. El cumplimiento del CRA por sí solo no da presunción de conformidad respecto de las secciones 1.1.9 y 1.2.1. Con arreglo al Reglamento de máquinas, esa presunción procede de las normas armonizadas citadas en el Diario Oficial (artículo 20, apartado 1) o de las especificaciones comunes (artículo 20, apartado 6) y, para estas dos secciones en concreto, también de la certificación o de una declaración de conformidad con arreglo a un esquema del Reglamento sobre la Ciberseguridad (UE) 2019/881 citado en el Diario Oficial (artículo 20, apartado 9).
Si una máquina con módulo de radio se considera un equipo radioeléctrico y cumple los criterios del Reglamento Delegado (UE) 2022/30, como comunicarse a través de internet, los requisitos de ciberseguridad resultantes de la Directiva sobre equipos radioeléctricos se aplican a las unidades introducidas en el mercado hasta el 10 de diciembre de 2027; el Reglamento Delegado queda derogado con efectos a partir del 11 de diciembre de 2027 por el Reglamento Delegado (UE) 2026/339. Cómo interactúan los tres regímenes, y por qué la evaluación de riesgos de ciberseguridad necesita su propio método junto a la EN ISO 12100, se explica en Ciberseguridad de la maquinaria.
Sanciones y autoridades
- Incumplimiento del anexo I o de las obligaciones de los artículos 13 y 14: hasta 15 millones de EUR o el 2,5 % del volumen de negocios mundial anual (artículo 64, apartado 2).
- Infracciones de otras obligaciones, incluidas la declaración, el marcado CE, la documentación técnica y la evaluación de la conformidad: hasta 10 millones de EUR o el 2 % (artículo 64, apartado 3).
- Información incorrecta, incompleta o engañosa facilitada a los organismos notificados y a las autoridades de vigilancia del mercado: hasta 5 millones de EUR o el 1 % (artículo 64, apartado 4).
En cada caso se aplica el importe más elevado; se tienen en cuenta la naturaleza, la gravedad y la duración de la infracción y el tamaño de la empresa (artículo 64, apartado 5). El artículo 64 se aplica a partir del 11 de diciembre de 2027 (artículo 71, apartado 2); si las infracciones de las obligaciones de notificación aplicables desde el 11 de septiembre de 2026 pueden sancionarse antes depende del Derecho nacional.
Los Estados miembros designan sus propias autoridades de vigilancia del mercado. En Alemania, el BSI anunció que su CERT-Bund actúa como CSIRT coordinador desde el 11 de septiembre de 2026, y un proyecto de ley federal de aplicación del CRA (documento del Bundestag 21/6134 de 26 de mayo de 2026) convierte al BSI en autoridad de vigilancia del mercado, autoridad notificante y autoridad sancionadora; a 15 de septiembre de 2026 no se encontró promulgación alguna. En materia de maquinaria, siguen siendo competentes las autoridades de vigilancia del mercado de los Länder alemanes, y cómo se repartirán con el BSI los controles de los aspectos del CRA en la maquinaria sigue abierto. Las obligaciones de los fabricantes se aplican directamente en virtud del Reglamento, en cualquier caso.
Todavía abierto a 15 de septiembre de 2026
- Las directrices de la Comisión C(2026) 5252 de 27 de julio de 2026 han sido aprobadas en cuanto al contenido; no se encontró constancia de adopción formal en todas las lenguas. No son jurídicamente vinculantes; las interpretaciones citadas en esta guía proceden de esa versión.
- No hay ninguna norma armonizada en virtud del CRA citada en el Diario Oficial (fuentes a 11 de septiembre de 2026).
- Todavía no adoptados, entre otros: el formato de la SBOM (artículo 13, apartado 24), el formato y el procedimiento de las notificaciones (artículo 14, apartado 10) y el formulario simplificado de documentación técnica para microempresas y pequeñas empresas (artículo 33, apartado 5).
Cómo lo cubre CE-Copilot
CE-Copilot gestiona el trabajo del CRA en el mismo proyecto que la evaluación del riesgo, la declaración de conformidad y el manual de instrucciones. La clasificación, los plazos y las reglas de procedimiento son lógica fija, no estimaciones de la IA.
- Buscador de normas y evaluación del riesgo (Starter y planes superiores): el buscador de normas solo indica el CRA como obligatorio cuando la descripción de la máquina muestra una conexión de datos, junto con una nota sobre la obligación de notificación. En el editor de evaluación del riesgo, el módulo de ciberseguridad le guía por el ámbito de aplicación, la funcionalidad básica y la clasificación según los anexos III y IV, muestra qué se aplica según la fecha de introducción en el mercado y, para las máquinas introducidas en el mercado a partir del 11 de diciembre de 2027, registra el procedimiento del artículo 32.
- Página de proyecto Ciberseguridad (Professional y planes superiores): inventario de interfaces y activos, evaluación de riesgos de ciberseguridad, matriz de requisitos del anexo I con aplicabilidad, justificación, implementación y evidencias, componentes de terceros, periodo de soporte, gestión de vulnerabilidades con almacenamiento de la SBOM, casos de notificación del artículo 14 con seguimiento de plazos y plantillas, y la información para el usuario del anexo II.
- Documentos: informe CRA en PDF y Word, un capítulo de ciberseguridad en el dossier completo, una sección de ciberseguridad en el expediente técnico, el CRA como acto adicional en la declaración de conformidad (seleccionado solo cuando las obligaciones principales se aplican a la unidad) y un capítulo de ciberseguridad con la información del anexo II en el manual de instrucciones (módulo adicional a partir de Professional, compra única por proyecto).
El recorrido paso a paso está en Software para el Reglamento de Ciberresiliencia aplicado a la maquinaria. Vea el resultado en el dossier de ejemplo (capítulo 7, págs. 151–164) y en el manual de instrucciones de ejemplo (capítulo 13). Los planes figuran en la página de precios.
El software estructura y documenta el trabajo. La evaluación, la implementación técnica y la aprobación siguen en manos del fabricante, y las notificaciones del artículo 14 se presentan a través de la plataforma única de notificación de la ENISA, no desde CE-Copilot.
FAQ
Preguntas frecuentes
¿Se aplica el Reglamento de Ciberresiliencia a las máquinas?
¿Qué tienen que hacer los fabricantes de máquinas desde el 11 de septiembre de 2026?
¿Las obligaciones de notificación abarcan las máquinas que vendimos hace años?
¿Un conmutador o router industrial integrado convierte mi máquina en un producto importante?
¿Necesito un organismo notificado para mi máquina con arreglo al CRA?
¿Cuánto debería durar el periodo de soporte de la maquinaria industrial?
No tenemos establecimiento en la UE. ¿Dónde notificamos?
¿Existen ya normas armonizadas para el Reglamento de Ciberresiliencia?
¿Puede la evaluación de riesgos de ciberseguridad formar parte de nuestra evaluación del riesgo según la EN ISO 12100?
Fuentes
- Reglamento (UE) 2024/2847 (Reglamento de Ciberresiliencia), DO L, 2024/2847, 20 de noviembre de 2024: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32024R2847
- Corrección de errores del Reglamento (UE) 2024/2847, DO L, 2025/90555, 2 de julio de 2025: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=OJ:L_202590555
- Corrección de errores del Reglamento (UE) 2024/2847, DO L, 2025/90828, 17 de octubre de 2025: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=OJ:L_202590828
- Reglamento (UE) 2025/327 (el artículo 104 modifica el artículo 13, apartado 4, del CRA): https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32025R0327
- Reglamento de Ejecución (UE) 2025/2392 de la Comisión (descripción técnica de los productos importantes y críticos): https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32025R2392
- Comisión Europea: directrices sobre la aplicación del CRA, C(2026) 5252 de 27 de julio de 2026: https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- Comisión Europea: normalización del CRA: https://digital-strategy.ec.europa.eu/en/policies/cra-standardisation
- ENISA: se pone en marcha la plataforma única de notificación del CRA, 11 de septiembre de 2026: https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched
- BSI (Oficina Federal alemana de Seguridad de la Información): nota de prensa sobre el inicio de las notificaciones del CRA, 11 de septiembre de 2026 (en alemán): https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/260911_CRA_Meldepflicht_Schwachstellen.html
- Proyecto de ley alemán de aplicación del CRA, documento del Bundestag 21/6134 de 26 de mayo de 2026 (en alemán): https://dserver.bundestag.de/btd/21/061/2106134.pdf
Cumplimiento de la normativa de máquinas de la UE en la propia empresa, en español
Esta guía ha sido elaborada por el equipo que está detrás de CE-Copilot, una plataforma de software para todo el proceso CE de máquinas en la UE: clasificación de directivas, un buscador de normas con 3600+ normas y su estado de armonización, evaluación del riesgo según EN ISO 12100, documentación de la seguridad funcional, informes de ensayo, documentación técnica, manual de instrucciones y declaración UE de conformidad con exportaciones en inglés, alemán, francés e italiano. La plataforma está disponible en español y en inglés; la IA redacta, usted revisa y aprueba.
Más guías
Esta guía es información general para fabricantes de maquinaria, contrastada con los textos jurídicos oficiales de la UE a 15 de septiembre de 2026. No constituye asesoramiento jurídico. Para las decisiones sobre su producto concreto, consulte los textos jurídicos (EUR-Lex) o a un asesor cualificado.