Cyber Resilience Act: cómo afecta el CRA a los fabricantes de equipos industriales

La entrada en vigor del Cyber Resilience Act, también conocido como CRA o Ley de Ciberresiliencia, marca un antes y un después para los fabricantes de equipos conectados y productos con elementos digitales comercializados en la Unión Europea.

Hasta ahora, muchos fabricantes abordaban la ciberseguridad como una capa adicional: algo que se revisaba al final del desarrollo, cuando el producto ya estaba prácticamente terminado o incluso en el mercado. Con el CRA, ese enfoque deja de ser suficiente.

La nueva normativa europea obliga a integrar la ciberseguridad desde las primeras fases de diseño, a gestionar vulnerabilidades durante todo el ciclo de vida del producto y a demostrar técnicamente que el producto cumple con unos requisitos mínimos de seguridad.

¿Qué es el Cyber Resilience Act (CRA)?

El Cyber Resilience Act es el Reglamento (UE) 2024/2847, una norma europea que establece requisitos horizontales de ciberseguridad para los productos con elementos digitales comercializados en la Unión Europea. Su objetivo es que los productos de hardware y software lleguen al mercado con menos vulnerabilidades y que los fabricantes asuman la seguridad durante todo el ciclo de vida del producto. 

La Comisión Europea define el CRA como un marco regulador aplicable a productos de hardware y software, también denominados “productos con elementos digitales”, que se comercializan en el mercado de la UE. 

Esto incluye una gran variedad de productos: equipos conectados, dispositivos industriales, software, componentes digitales, sistemas IoT, soluciones embebidas, productos con acceso remoto, dispositivos de comunicación, aplicaciones y otros elementos que puedan interactuar con redes, datos o sistemas digitales.

¿Cuándo entra en vigor el CRA?  Fechas clave

El Cyber Resilience Act entró en vigor el 10 de diciembre de 2024. Sin embargo, su aplicación será progresiva. Las principales obligaciones del reglamento serán aplicables a partir del 11 de diciembre de 2027, mientras que las obligaciones de notificación de vulnerabilidades explotadas activamente e incidentes graves son de aplicación desde el 11 de septiembre de 2026. 

Estas fechas son importantes porque muchas empresas tienden a interpretar 2027 como el único horizonte relevante. Sin embargo, el primer hito operativo ya es una realidad: desde el 11 de septiembre de 2026, los fabricantes deben reportar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos, dentro de los plazos que marca la norma. Al tratarse de un Reglamento europeo, la obligación aplica igual en España que en el resto de la UE, sin necesidad de transposición, y se canaliza a través de INCIBE-CERT como CSIRT nacional.

Por eso, aunque 2027 pueda parecer lejano, la adaptación al CRA debería empezar ya. Rediseñar productos, documentar requisitos, revisar firmware, validar comunicaciones, preparar procesos de actualización o definir procedimientos de gestión de vulnerabilidades no son tareas inmediatas.

¿A quién afecta el CRA?

Como ya hemos adelantado, el CRA afecta principalmente a los fabricantes de productos con elementos digitales, aunque también impacta en importadores, distribuidores, desarrolladores e integradores. En el ámbito industrial, puede afectar a equipos que incorporen software, firmware, conectividad, comunicaciones remotas o integración con otros sistemas, como dispositivos IoT, sistemas embebidos, equipos de control o software de supervisión.

La clave no es si un producto "parece digital", sino si puede conectarse, comunicarse, procesar datos o interactuar con otros sistemas. En ese caso, el CRA puede implicar nuevas obligaciones en su diseño, documentación, comercialización y mantenimiento.

¿Qué riesgos y sanciones conlleva no cumplir el CRA?

El incumplimiento del CRA no es una cuestión menor: el reglamento prevé multas administrativas de hasta 15 millones de euros o el 2,5 % de la facturación anual mundial de la empresa —lo que resulte mayor— para los incumplimientos más graves, relacionados con los requisitos esenciales de ciberseguridad. Otras infracciones pueden acarrear sanciones de hasta 10 millones de euros (2 %) o 5 millones de euros (1 %), según su gravedad. Además de la sanción económica, las autoridades de vigilancia del mercado pueden ordenar la retirada del producto o restringir su comercialización, un riesgo que en la práctica suele pesar incluso más que la multa. 

¿Qué exige el CRA a los fabricantes de equipos conectados?  8 retos clave

El CRA obligará a los fabricantes a demostrar que sus productos han sido diseñados, desarrollados y mantenidos teniendo en cuenta la ciberseguridad durante todo su ciclo de vida. Esto implica integrar la seguridad desde el diseño, reducir vulnerabilidades antes de la comercialización, proteger accesos, datos y comunicaciones, facilitar actualizaciones de seguridad, gestionar vulnerabilidades e incidentes, preparar documentación técnica y aportar evidencias de conformidad para el marcado CE CRA.

En la práctica, estas obligaciones se traducen en ocho grandes retos para los fabricantes de equipos conectados:

1. Arquitecturas heredadas y deuda técnica

Muchos equipos industriales fueron diseñados hace años, cuando la ciberseguridad no era un requisito de partida. Incorporar ahora arranque seguro, cifrado, protección de accesos o mecanismos de actualización puede requerir rediseños parciales y no simples ajustes.

2. Inventario y gestión del SBOM

El fabricante deberá tener mayor visibilidad sobre los componentes de software incluidos en cada producto: librerías, dependencias, componentes open source y software de terceros. Además, este inventario deberá mantenerse actualizado con cada nueva versión.

3. Actualizaciones de seguridad

El CRA exigirá capacidad para corregir vulnerabilidades durante la vida útil del producto. En equipos industriales, esto puede ser complejo por la conectividad limitada, las redes aisladas o las ventanas de mantenimiento reducidas.

4. Identidad y autenticación de dispositivos

Los equipos conectados necesitarán mecanismos sólidos para identificarse, autenticarse y comunicarse de forma segura. La gestión de certificados, credenciales y accesos pasará a ser una parte esencial del diseño del producto, en línea con estándares como IEC 62443 aplicados a la ciberseguridad de dispositivos industriales.

5. Gestión de vulnerabilidades post-mercado

El cumplimiento no termina cuando el producto se comercializa. Los fabricantes deberán contar con procesos para recibir, analizar, priorizar y responder a vulnerabilidades detectadas en productos ya desplegados.

6. Seguridad de la cadena de suministro de software

Los productos suelen integrar componentes de terceros, sistemas embebidos, librerías open source o stacks de comunicación externos. El fabricante deberá conocer y gestionar los riesgos asociados a todo lo que incorpora en su producto.

7. Equilibrio entre seguridad y disponibilidad en entornos OT

En industria, aplicar una actualización puede implicar parar un proceso o una línea de producción. Por eso, las medidas de ciberseguridad deberán diseñarse teniendo en cuenta también la continuidad operativa del cliente final.

8. Recursos y capacidades internas

Muchas empresas, especialmente pymes industriales, no disponen de equipos especializados en ciberseguridad de producto. El CRA exigirá capacidades técnicas, organizativas y documentales que quizá no existan todavía dentro de la empresa.

Cómo puede ayudar CIRCE a prepararse para el CRA

CIRCE ayuda a fabricantes, desarrolladores e integradores a transformar las exigencias del CRA en una hoja de ruta técnica adaptada a sus productos.

El acompañamiento incluye:

• Evaluación inicial del producto o familia de productos
• Análisis de vulnerabilidades y riesgos
• Revisión de firmware, software, comunicaciones y arquitectura
• Definición de requisitos de ciberseguridad
• Diseño seguro desde fases tempranas
• Hardening de equipos, aplicaciones, APIs y comunicaciones
• Definición de testbooks y pruebas de ciberseguridad
• Ensayos en laboratorio sobre equipos reales
• Validación frente a requisitos CRA, estándares y requisitos de cliente 
• Soporte en documentación técnica y gestión del ciclo de vida seguro

CIRCE cuenta con un laboratorio de ciberseguridad industrial equipado con la tecnología más avanzada del sector, con capacidades específicas en dispositivos OT y Smart Grid: análisis de tráfico, escaneo de red, validación de contramedidas, pruebas sobre equipos reales y análisis del impacto funcional de posibles ciberataques.

Somos la empresa validadora de ciberseguridad de dispositivos en industrias estratégicas como la energía, lo que nos permite convertir el CRA en un plan de trabajo concreto: diagnóstico, priorización, pruebas sobre equipos reales, mejoras técnicas y documentación.

¿Fabricas o integras equipos conectados? En CIRCE podemos ayudarte a evaluar cómo afecta el CRA a tus productos, identificar brechas de ciberseguridad y definir una hoja de ruta técnica para prepararte antes. 

El CRA no es la única normativa que está reforzando la ciberseguridad de los productos y servicios industriales. Descubre también qué exige la Directiva NIS2 y cómo prepararte.