Software para el Reglamento de Ciberresiliencia aplicado a la maquinaria: aplicar el CRA en CE-Copilot
Desde el 11 de septiembre de 2026, los fabricantes de máquinas con conexión de datos deben notificar las vulnerabilidades aprovechadas activamente y los incidentes graves, también en el caso de las máquinas ya introducidas en el mercado, y a partir del 11 de diciembre de 2027 se aplica íntegramente el Reglamento de Ciberresiliencia. Esta guía resume las novedades y explica después cómo realizar el trabajo en CE-Copilot: los pasos, dónde están en la aplicación, qué produce cada uno y qué deja el software deliberadamente en sus manos.
Novedades
Desde el 11 de septiembre de 2026
Obligaciones de notificación con arreglo al artículo 14 del CRA
Las vulnerabilidades aprovechadas activamente y los incidentes graves que repercuten en la seguridad del producto se notifican a través de la plataforma única de notificación (Single Reporting Platform) de la ENISA al CSIRT designado como coordinador y a la ENISA: una alerta temprana en un plazo de 24 horas y una notificación en un plazo de 72 horas desde que se tiene conocimiento de ellos, seguidas de un informe final. Esto también abarca las máquinas con conexión de datos que ya se han introducido en el mercado (artículo 69, apartado 3).
A partir del 20 de enero de 2027
Protección contra la corrupción con arreglo al Reglamento de máquinas
Según el anexo III, puntos 1.1.9 y 1.2.1, del Reglamento (UE) 2023/1230, los dispositivos conectados, los accesos remotos y las intervenciones en el software y los datos no deben dar lugar a una situación peligrosa. CE-Copilot lo trata en la evaluación del riesgo según la EN ISO 12100.
Hasta el 10 de diciembre de 2027
Ciberseguridad de los equipos radioeléctricos
Los equipos radioeléctricos comprendidos en el Reglamento Delegado (UE) 2022/30 que se introduzcan en el mercado entre el 1 de agosto de 2025 y el 10 de diciembre de 2027 deben cumplir los requisitos aplicables del artículo 3, apartado 3, letras d), e) y f), de la Directiva sobre equipos radioeléctricos. La EN 18031 solo otorga presunción de conformidad dentro de las restricciones de la Decisión de Ejecución (UE) 2025/138, por ejemplo no cuando los usuarios pueden optar por no usar ninguna contraseña. El Reglamento Delegado (UE) 2026/339 deroga esta disposición con efecto desde el 11 de diciembre de 2027.
A partir del 11 de diciembre de 2027
El Reglamento de Ciberresiliencia se aplica íntegramente
Para las máquinas introducidas en el mercado a partir de esa fecha, o modificadas sustancialmente a partir de ella: requisitos del anexo I, evaluación de riesgos de ciberseguridad, periodo de soporte, evaluación de la conformidad con arreglo al artículo 32, declaración UE de conformidad y marcado CE (artículo 71, apartado 2, artículo 69, apartado 2).
El ámbito de aplicación, la clasificación, los procedimientos y las sanciones, con todas las referencias jurídicas, se tratan en el Reglamento de Ciberresiliencia para la maquinaria; cómo encaja con el Reglamento de máquinas y la Directiva sobre equipos radioeléctricos se explica en ciberseguridad de la maquinaria.
Seis pasos en CE-Copilot
1. Comprobar si se aplica el CRA
Starter y planes superioresBuscador de normas y descripción de la máquina
El buscador de normas solo marca el CRA como aplicable cuando la descripción muestra una conexión de datos; las afirmaciones negativas como «sin conexión de datos» no cuentan y, sin evidencia, aparece como «REVISAR» y sin marcar. Se añade una nota sobre la obligación de notificación.
2. Clasificar y confirmar la fecha
Starter y planes superioresEvaluación del riesgo, módulo de Ciberseguridad
Conexión de datos, exclusiones del artículo 2, funcionalidad básica y categoría del anexo III o IV, además de la fecha de introducción en el mercado confirmada. La aplicación deriva qué obligaciones se aplican y, cuando se aplican las obligaciones principales, los procedimientos permitidos del artículo 32.
3. Registrar interfaces y activos
Starter y planes superioresEvaluación del riesgo, módulo de Protección contra la corrupción (a partir de Professional también en la página del proyecto)
Un único inventario alimenta tres evaluaciones: la protección contra la corrupción del Reglamento de máquinas, la ciberseguridad de los equipos radioeléctricos y el CRA. De cada interfaz se registran la accesibilidad, la protección del acceso y la vía de actualización.
4. Evaluar los riesgos y acreditar los requisitos
Professional y planes superioresPágina de proyecto Ciberseguridad (CRA)
Alcance de la evaluación, amenazas con medidas y riesgo residual, una matriz de requisitos del anexo I, partes I y II, componentes de terceros, periodo de soporte, gestión de vulnerabilidades con almacenamiento de la SBOM e información para el usuario del anexo II.
5. Configurar las notificaciones y seguir los casos
Professional y planes superioresPágina del proyecto, sección de notificaciones
CSIRT coordinador y disponibilidad y, por cada caso, el momento en que se tuvo conocimiento, los plazos con semáforo y preaviso, plantillas de texto conformes con el tenor del artículo 14 y el número de caso de la plataforma.
6. Generar las evidencias y los documentos
según el móduloExportaciones, declaración de conformidad, manual de instrucciones
Informe CRA en PDF y Word, un capítulo en el dossier completo, una sección en la documentación técnica, los puntos de ensayo C1 a C10, el CRA como acto jurídico en la declaración y el capítulo de ciberseguridad del manual de instrucciones.
Las funciones en detalle
Obligaciones derivadas de la fecha de introducción en el mercado confirmada
La aplicación trata los artículos 69 y 71 del CRA como reglas fijas: para las unidades introducidas en el mercado antes del 11 de diciembre de 2027 solo se aplican las obligaciones de notificación; para las introducidas en el mercado a partir de esa fecha, o modificadas sustancialmente a partir de ella, se aplica todo el Reglamento. Una fecha simplemente leída de la descripción de la máquina no tiene efecto jurídico hasta que usted la confirme.
La página del proyecto, el informe, el dossier, la declaración de conformidad, el informe de ensayo y el manual de instrucciones dicen todos lo mismo. A una máquina introducida en el mercado antes del 11 de diciembre de 2027 no se le asigna una evaluación de la conformidad del CRA; para una posterior, la aplicación muestra las obligaciones del anexo I.
Un único inventario para el Reglamento de máquinas, los equipos radioeléctricos y el CRA
Las interfaces como bus de campo, OPC UA, mantenimiento remoto, USB o radio y los activos que dependen de ellas se registran una sola vez. La evaluación de la corrupción, la lista de comprobación de la EN 18031 y la evaluación de riesgos del CRA se basan todas en él.
Nada de tres listas que se desajustan. Una nueva interfaz aparece en todas las evaluaciones en las que es relevante.
Matriz de requisitos del anexo I con justificación, implementación y evidencias
Para la parte I, punto 2, letras a) a m), se registra si el requisito se aplica sobre la base de la evaluación del riesgo, con una justificación si no se aplica; el punto 1 y la parte II sobre gestión de vulnerabilidades se aplican siempre. Para cada requisito se documentan la implementación y las evidencias.
Es lo que exigen a la documentación técnica el artículo 13, apartados 3 y 4, y el anexo VII. El estado de cada sección es siempre visible y los puntos abiertos aparecen como avisos en el informe.
Casos de notificación del artículo 14 con seguimiento de plazos y plantillas
Desde el momento en que se tiene conocimiento, la aplicación calcula la alerta temprana (24 horas), la notificación (72 horas) y el informe final (para las vulnerabilidades, a más tardar 14 días después de que se disponga de una medida correctora o paliativa; para los incidentes, en el plazo de un mes desde la notificación) y los marca como «vence pronto» en la página del proyecto antes de que venzan. Mientras la evaluación inicial está abierta, la aplicación hace correr los plazos a modo de precaución desde el momento de conocimiento registrado. Los casos notificados permanecen registrados y no se pueden eliminar.
Cuando importa, cada hora cuenta. Las plantillas siguen el tenor del artículo 14: usted completa los huecos y presenta la notificación a través de la plataforma de la ENISA.
Informe CRA, capítulo del dossier y documentación técnica
El informe CRA reúne todas las secciones de la página del proyecto en PDF o Word, con un aviso de confidencialidad. En el dossier completo aparece como capítulo sin casos de notificación y sin la protección de acceso ni la vía de actualización de cada interfaz; la documentación técnica recibe una sección sobre el anexo VII.
Los clientes y los organismos reciben solo lo que les corresponde. Internamente conserva el informe completo con cada caso y cada plazo.
Declaración de conformidad, informe de ensayo y manual de instrucciones coherentes entre sí
La declaración solo cita el Reglamento cuando la clasificación y la fecha están confirmadas y se aplican las obligaciones principales; los campos del procedimiento se rellenan de antemano. El informe de ensayo marca C1 a C10 como obligatorios según la fecha y señala un «no aplicable» contradictorio. El manual de instrucciones recibe un capítulo de ciberseguridad con la información para el usuario, presentada como información del anexo II una vez confirmada la clasificación.
El Reglamento solo aparece en la declaración cuando se aplica a esta unidad, y la comprobación avisa de los datos que faltan. La información para el usuario se mantiene una sola vez y se encuentra en el informe y en el manual.
Qué muestra la aplicación según la fecha de introducción en el mercado
La fecha confirmada determina qué obligaciones se aplican a una unidad. CE-Copilot deriva la misma respuesta en cada documento:
| Ámbito | Fecha no confirmada | Antes del 11 de diciembre de 2027 | Desde el 11 de diciembre de 2027, o con modificación sustancial a partir de esa fecha |
|---|---|---|---|
| Obligaciones de notificación del artículo 14 | se aplican a todo producto incluido | se aplican | se aplican |
| Declaración de conformidad | CRA sin marcar, motivo indicado bajo las casillas | sin declaración con arreglo al CRA, motivo indicado bajo las casillas | CRA marcado (con clasificación confirmada), campos del procedimiento rellenados de antemano |
| Documentación técnica, sección del anexo VII | preparación sin marcadores obligatorios | preparación sin marcadores obligatorios | puntos obligatorios |
| Informe de ensayo C1 a C10 | clasificación y proceso de notificación obligatorios, aviso ante «no aplicable» | clasificación y proceso de notificación obligatorios | los diez puntos obligatorios |
| Manual de instrucciones, capítulo de ciberseguridad | información del fabricante, sin comprobación obligatoria | información voluntaria | regla de comprobación y advertencia de exportación; información del anexo II con clasificación confirmada |
| Informe CRA | advertencia «fecha no confirmada» | nota sobre preparación voluntaria | aplicación plena con el procedimiento del artículo 32 |
Lo que CE-Copilot deliberadamente no hace
- No notifica a la ENISA. Usted presenta la notificación a través de la plataforma única de notificación; CE-Copilot aporta plazos, plantillas y el registro de evidencias.
- No ofrece asesoramiento jurídico ni conformidad automática. Usted confirma la clasificación, la fecha y la evaluación; la implementación técnica y la aprobación siguen en manos del fabricante.
- No puede crear una presunción de conformidad: para ello hacen falta una norma armonizada, una especificación común o un esquema de certificación, y todavía no existe ninguno bajo el CRA (fuentes a 11 de septiembre de 2026); registre especificaciones como la IEC 62443 en calidad de especificaciones aplicadas.
- No genera la SBOM. Esta procede de sus herramientas de desarrollo; CE-Copilot la guarda.
- No usa IA para las consecuencias jurídicas. Las fechas de referencia, los procedimientos y los plazos son reglas fijas, y la clase se deriva de las categorías que usted marca.
Cómo se ve el resultado
El dossier de ejemplo de una celda de soldadura robotizada con mantenimiento remoto contiene el capítulo de ciberseguridad (capítulo 7, pp. 151–164), y el manual de instrucciones de ejemplo contiene el capítulo de ciberseguridad (capítulo 13, pp. 119–123). La celda se introduce en el mercado antes del 11 de diciembre de 2027, de modo que se ve cómo la aplicación trata las obligaciones de notificación como aplicables y las demás secciones como preparación. Los planes figuran en la página de precios.
FAQ
Preguntas frecuentes
¿Presenta CE-Copilot las notificaciones a la ENISA?
¿Lo necesito si mi máquina se introduce en el mercado antes del 11 de diciembre de 2027?
¿Qué plan incluye qué funciones del CRA?
¿Sustituye la evaluación de riesgos del CRA a la evaluación del riesgo según la EN ISO 12100?
¿Decide una IA la clasificación o los plazos?
¿Genera CE-Copilot la nomenclatura de materiales de los programas informáticos (SBOM)?
Cumplimiento de la normativa de máquinas de la UE en la propia empresa, en español
Esta guía ha sido elaborada por el equipo que está detrás de CE-Copilot, una plataforma de software para todo el proceso CE de máquinas en la UE: clasificación de directivas, un buscador de normas con 3600+ normas y su estado de armonización, evaluación del riesgo según EN ISO 12100, documentación de la seguridad funcional, informes de ensayo, documentación técnica, manual de instrucciones y declaración UE de conformidad con exportaciones en inglés, alemán, francés e italiano. La plataforma está disponible en español y en inglés; la IA redacta, usted revisa y aprueba.
Más guías
Esta guía es información general para fabricantes de máquinas, contrastada con los textos jurídicos oficiales de la UE a fecha de 15 de septiembre de 2026. No constituye asesoramiento jurídico. Para decisiones sobre su producto concreto, consulte los textos jurídicos (EUR-Lex) o a un asesor cualificado.