Cyber Resilience Act: qué es y qué obligación entra en vigor el 11 de septiembre de 2026
Si tu empresa fabrica, importa o distribuye productos que se conectan a una red —desde un router hasta una máquina industrial con sensores, pasando por una app de gestión— hay una fecha que probablemente no tenías marcada en el calendario: el 11 de septiembre de 2026. Ese día empieza a aplicarse una de las obligaciones más concretas del Cyber Resilience Act (CRA), el reglamento europeo de ciberseguridad para productos digitales.
No es el gran momento del CRA. Ese llegará en diciembre de 2027. Pero el 11 de septiembre es el primer hito que exige tener algo funcionando desde ya.
Qué es el Cyber Resilience Act
El CRA formalmente, el Reglamento (UE) 2024/2847— es una norma de la Unión Europea que fija requisitos de ciberseguridad obligatorios para los «productos con elementos digitales»: cualquier hardware o software que se conecte, directa o indirectamente, a otro dispositivo o a una red. El abanico es amplio: dispositivos IoT, electrodomésticos conectados, routers, cámaras, software de gestión, aplicaciones móviles, sistemas industriales.
Su idea de fondo se puede resumir en una frase, aunque aplicarla sea otra historia: que la seguridad se integre desde el diseño del producto y se mantenga durante todo su ciclo de vida, en lugar de añadirse después, cuando algo ya ha fallado.
El reglamento entró en vigor el 10 de diciembre de 2024. Pero, como ocurre con buena parte de la normativa europea de calado, se aplica de forma escalonada. Conviene tener el calendario completo delante para no confundir «en vigor» con «exigible»:
- Diciembre de 2024 — entrada en vigor del reglamento.
- Junio de 2026 — empiezan a aplicarse las reglas sobre notificación de los organismos de evaluación de la conformidad (Capítulo IV).
- Septiembre de 2026 — arranca la obligación de notificar vulnerabilidades explotadas activamente e incidentes graves (artículo 14). Es el tema de este artículo.
- Diciembre de 2027 — aplicación plena: requisitos esenciales de diseño, evaluación de la conformidad, marcado CE y documentación técnica.
Toda esta información está detallada en el resumen oficial de la Comisión Europea sobre el CRA.
Qué obliga concretamente desde el 11 de septiembre de 2026
A partir de esa fecha, los fabricantes deben notificar dos tipos de eventos: una vulnerabilidad que esté siendo explotada activamente en su producto, y un incidente grave que afecte a su seguridad. Los plazos, según la propia página oficial de obligaciones de notificación del CRA, son estos:
- 24 horas desde que se tiene conocimiento, para una alerta temprana.
- 72 horas para una notificación completa, con descripción del problema y medidas adoptadas.
- 14 días para el informe final de una vulnerabilidad explotada, contados desde que hay una medida correctora disponible.
- 1 mes para el informe final de un incidente grave.
La notificación se envía una única vez, a través de la Single Reporting Platform (SRP) que gestiona ENISA. Va dirigida al CSIRT del país donde el fabricante tiene su establecimiento principal y, de forma simultánea, a la propia ENISA. Ese CSIRT se encarga después de compartirla con el resto de CSIRTs de los países donde el producto esté disponible.
Un matiz que conviene aclarar: no depende de cuándo se lanzó el producto
Es fácil asumir que esta obligación afecta solo a lo que se lance a partir de ahora. No es así. La obligación de notificación alcanza a cualquier producto con elementos digitales que siga disponible en el mercado de la UE, con independencia de cuándo se puso a la venta por primera vez. Un equipo lanzado hace años, si sigue comercializándose y aparece en él una vulnerabilidad activamente explotada, entra dentro del ámbito de la norma desde el 11 de septiembre de 2026.
Qué implica en la práctica
Lo menos evidente de esta fecha es que no da margen de reacción: exige tener el proceso de vigilancia y respuesta montado antes del 11 de septiembre, no construirlo a partir de ese día. En la práctica hacen falta al menos dos piezas:
- Un inventario de componentes del producto —qué lleva dentro, de qué proveedores, con qué versiones— imprescindible para saber si una vulnerabilidad conocida te afecta.
- Un circuito de aviso interno claro: quién detecta, quién decide si se trata de «explotación activa» o «incidente grave», y quién redacta y envía la notificación en cuestión de horas.
Como referencia, el incumplimiento de los requisitos esenciales del CRA o de las obligaciones de los artículos 13 y 14 puede acarrear sanciones de hasta 15 millones de euros o el 2,5% de la facturación mundial, lo que sea mayor (artículo 64 del Reglamento). Una matización: las microempresas y pequeñas empresas quedan exentas de sanción específicamente por no cumplir el plazo de 24 horas, aunque no del resto de obligaciones. No es un dato para generar alarma, sino para dimensionar correctamente la importancia de la norma.
Dónde encaja la certificación
Aquí es donde muchas organizaciones descubren que no parten de cero. Un sistema de gestión de seguridad de la información certificado en ISO 27001 ya aporta buena parte de la base que pide el CRA: gestión de incidentes, roles y responsabilidades definidos, trazabilidad, mejora continua.
Dicho esto, conviene ser honestos: tener el certificado no es lo mismo que tener el proceso listo para reaccionar en 24 horas. La certificación aporta la estructura; la preparación operativa —el inventario actualizado, el simulacro hecho, el responsable identificado— hay que construirla y probarla aparte.
Qué revisar esta semana
Si tu empresa fabrica, importa o distribuye productos con elementos digitales, tres preguntas rápidas para situarte:
- ¿Sabemos exactamente qué componentes lleva nuestro producto, incluidos los de terceros?
- ¿Tenemos un circuito interno capaz de notificar en menos de 24 horas si detectamos explotación activa?
- ¿Sabemos a qué CSIRT y a través de qué plataforma tendríamos que reportar?
Si alguna de las tres queda sin respuesta clara, todavía hay tiempo para resolverlo antes de que el 11 de septiembre deje de ser una fecha en el calendario y pase a ser una obligación en curso.
En URS Spain acompañamos a las organizaciones en la certificación ISO 27001 como base para afrontar exigencias regulatorias como el CRA. Si quieres profundizar en la gestión de incidentes y en normativa de ciberseguridad, ISO Training Center Spain ofrece formación específica, como el curso de Directiva NIS2: guía legal y técnica de cumplimiento normativo y el de ISO/IEC 27001:2022 Implantación.
